Newsgroup: it.comp.hardware
Titolo: [OT] Grosso guaio a Chinatown: ransomware o simile

[posto anche qui perché it.comp.sicurezza.virus sembra morto, almeno 
qui c'è vita]
 
Mio nipote (9anni) ha messo le mani sul pc di mio papà, cercando di 
scaricare giochi ha in realtà compromesso il sistema con quello che 
molto probabilmente è un rootkit/ramsonware. 
 
Il pc funziona ancora apparentemente bene, tranne alcune cose pesanti 
ma notabili solo da un occhio esperto: 
 
- L'account di amministratore non funziona più, non è più possibile 
avviare nulla che richieda diritti di amministrazione, neppure una 
semplice console.
 
- L'account con cui è stato registrato Windows è cambiato con un nome 
simile ma diverso (es. prima 
pi...@email.com
 adesso pippo(
email.com
)), 
Microsoft lo dichiara compromesso
 
- Ho cambiato le password dell'accout Microsoft e quello Google, in 
qualche modo sono sono tornate quelle iniziali, anche se l'operazione 
era andata a buon fine (?). 
 
- Ho fatto una scansione con Hijackthis, ci sono riuscito ma non è 
stato possibile fare il check del log sul loro sito perchè usciva un 
errore
 
In più:
 
- Ho provato a fare una penna usb con Avira Rescue System, da explorer 
vedevo la penna potevo scrivere e leggere, Unebootin non la vedeva 
 
- Ho provato a eseguire una scansione con Avira Rescue System, la GUI 
non si avvia rimane solo la linea di comando da cui non si può fare 
nulla. In questi casi basterebbe disabilitare il boot sicuro da bios 
(UEFI) ma era già impostato correttamente. Sospetto che il virus abbia 
compromesso anche l'UEFI, lo riflasherò per precauzione. 
 
Dai sintomi vi sembra qualcosa di conosciuto? Idee per risolvere?
 


Imho: prova anche a consultare/chiedere sul forum di Tom's HW 
https://www.tomshw.it/forum/forums/sicurezza.93/
 

_merlinO_ ha usato la sua tastiera per scrivere :

Ad occhio sembra piu' un virus/malware piuttosto che un ransomware...ad
ogni modo prova a vedere se Malwarebytes Anti-Malware riesce
un po' a sanare la situazione.

 molto probabilmente è un rootkit/ramsonware.
 
Se fosse un ransomware te ne accorgeresti subito dai file criptati.
 
In ogni caso la macchina è seriamente compromessa, secondo me ti 
conviene formattare e reinstallare, perdi più tempo nel cercare di 
ripulirla e la certezza di averlo fatto non l'avrai mai lo stesso.
 
 
Certo, l'ideale sarebbe ricaricare una immagine di backup del sistema, 
fatta massimo pochi giorni prima del disastro, ma sarebbe chiedere 
troppo immagino... :-)
 
-- 
Ciao, Guglielmo.

 troppo immagino... :-)
 
Davvero troppo... dovrebbero farsi automaticamente.
 
 

 un po' a sanare la situazione.
 
Non credo che riesca a farlo funzionare, le cose "utili" sono tutte in 
qualche modo bloccate. Cosa faccia di preciso non so, se non cripta 
preferisco... 
 

 Imho: prova anche a consultare/chiedere sul forum di Tom's HW 
https://www.tomshw.it/forum/forums/sicurezza.93/
 
 
Ci guarderò, grazie :)
 

>>>>  
http://www.bb2002.it
 :)  <<<<<
........... [ al lavoro ] ...........

 Dai sintomi vi sembra qualcosa di conosciuto? Idee per risolvere?
 
sicuramente non è ransomware (e lo dico con cognizione di causa :((().
per il resto, tutti gli antivirus - anche gratuiti, permettono di creare cd 
o chiavette avviabili, ed effettuano la scansione fuori dal SO.
Scarica una cosa tipo questa:
https://www.avira.com/it/download/product/avira-rescue-system
 
fai la scansione e fine di tutto, senza bisogno di formattare. Se avessi il 
SO corrotto procedi poi con il disco di Win 
 
 

 molto probabilmente è un rootkit/ramsonware.
 
Due errore grossi come una casa:
 
1) Lasciare solo un bambino davanti ad un computer che si connette ad 
internet da cui, se non opportunamente filtrato, saltano fuori porno su 
porno anche se cerchi giochi.
 
2) Vista la presenza di un bambino "tecnologico" non prevedere la 
creazione di un account protetto da parental control e soprattutto con 
il minimo sindacale dei diritti.
 
Soluzione migliore allo stato attuale non sapendo ricostruire cosa è 
successo davvero IO al posto tuo formatterei la macchina perchè c'è 
tanta roba in grado di girare in background che (ancora) non viene 
riconosciuta dagli antivirus, infine con la macchina pulita metterei in 
pratica il punto uno e due per il futuro prossimo.
 
Saluti.
GabrieleMax

Il 15/06/2018 14:06, _merlinO_ ha scritto:
 
  Idee per risolvere?
 
Educazione dei figli?
 
---
Questa e-mail è stata controllata per individuare virus con Avast antivirus.
https://www.avast.com/antivirus
 
 

 il minimo sindacale dei diritti.
 
Ma si fa presto a parlare... magari quel computer non l'ha mai
utilizzato, era la prima volta che lo prendeva in mano e non si era
pensato a proteggere la cosa... insomma prendono i virus i grandi e
stiamo qui a fare della polemica perchè l'ha preso un bambino??
 
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 senza supervisione
 
Perchè magari il malaware ha sostituito qualche eseguibile rimasto in qualche 
cartella sperduta, il giorno che lo lanci sei da capo
 

 fai la scansione e fine di tutto, senza bisogno di formattare. 
 
L'ho già fatto ma non gira... Richiede una modalità di boot che è già 
impostata nel bios, ma non funziona lo stesso.
 
 

 pratica il punto uno e due per il futuro prossimo.
 
Ho già preso un ssd, procederò a formattare tutto. 
 

 bambini???
 
Male fanno male... A parte lo squallore, non può far bene che la prima idea 
di donna e del sesso sia quello proposto dai porno. E poi possono causare 
dipendenza. 
 

 bambini???
 
rotfl

 Ma cosa fanno di male sti porno???
 
Arricchiscono gli oculisti e gli ortopedici. :-P
 
 
 
-- 
Ciao, Guglielmo.

 ha scritto nel messaggio 
news:201806180...@mynewsgate.net...

Non so se ci crederete ma...
una volta ho trovato un trojan che
molto probabilmente proveniva dalla LAN e NON  da internet.
 
All'accensione del pc, compariva una schermata
pubblicitaria di una finanziaria ammeregana. Tutto qui.
si poteva poi procedere tranquillamente.
 
Formattato il pc ... senza ricaricare  NULLA dal backup...
la mattina dopo ... idem
 
Nessun antivirus/antimalware ha mai rilevato qualcosa.
(Kaspersky, Malwarebytes, Rkill, Eset, Hitman pro, Roguekiller... etc)
 
Successivamente  ho scoperto che nella LAN  degli uffici
c'era un pc che , nel pomeriggio,  "i ragazzi",
i figli del titolare,  usavano per andare
sul famigerato sito Kazaa.
 
In questo secondo pc c'era un'intera collezione  di malware ... :-)))
 
Formattato il pc dei ragazzi ... sparita definitivamente la pubblicità
dal primo pc.
 
ciao
fm 
 
 

 Educazione dei figli?
 
Se conosci un modo per impedire ai nonni di concedere ai nipoti cose che 
gli altri gli vietano sono tutt'orecchi :) 
 

 cartella sperduta, il giorno che lo lanci sei da capo
 
se l'antivirus lo trova nelle cartelle "piu' in vista", lo trova anche 
in quelle piu' infognate.
Non so la situazione del pc (quanti dati/software installati e 
configurati), condizione che potrebbe far propendere per la pulizia o 
per la reinstallazione, ma comunque un tentativo lo farei.
Prima cosa, lavorando fuori rete, fai un backup dei dati. Poi procurati 
un po' di antivirus e qualche tool (per esempio, con parted magic 
dovresti poter avviare una live di linux e attivare "administrator" 
senza password per accedere con pieni poteri).
Poi farei girare malwarebyte, hijackthis e qualche altro av, se fosse 
necessario. E' anche possibile che ad ogni passata si migliori un po' 
la situazione e si possa iniziare a lavorarci su sempre meglio.
Come ti hanno detto, se fosse un ransomware dovresti trovarti varie 
categorie di files ormai compromesse (pdf, files di office, jpg...); se 
non ne hai trovati, piu' probabile che sia qualche virus 
"tradizionale".
Poi, per il bambino, prevederei un account non amministrativo.

 molto probabilmente proveniva dalla LAN e NON  da internet.
[...]
 
Il malaware più strano che ho trovato sostituiva una dll plugin di Winamp e 
durante l'ascolto degli mp3 faceva sentire la voce di un tizio che urlava 
"somatizzi" :D :D :D 
 

 ha scritto nel messaggio 
news:201806180...@mynewsgate.net...

in che senso? Non boota?
Impossibile, se il bios è impostato correttamente deve bootare per forza. 
Stessa cosa se avessi una distro Linux.
Controlla bene il bios, e il cd che sia bootable, ovviamente ;)
 
 

 Controlla bene il bios, e il cd che sia bootable, ovviamente ;)
 
Ci sono impostazioni del bios (ad esempio il secure boot) che impediscono al 
rescue system di Avira di partire. Io le ho controllate tutte, ma non parte lo 
stesso, rimane la linea di comando da cui non puoi fare nulla.
 

 rescue system di Avira di partire.
 
E ovviamente hai gia' provato a disabilitarlo giusto?

 E ovviamente hai gia' provato a disabilitarlo giusto?
 
Yess... in realtà era già impostato correttamente, ma pur provandolo a 
reimpostare non è cambiato nulla. I bios UEFI sono effettivamente attaccabili dai 
malaware :( 
 

 gli altri gli vietano sono tutt'orecchi :)
 
Effettivamente, anche per portare il discorso sui giusti binari senza 
continuare a puntare il dito, hai scritto parole sacrosante, dai nonni 
c'è molto da apprendere ed imho si possono permettere a volte anche di 
"elargire" un po' più di libertà rispetto a quella più limitata concessa 
dai genitori! :)
 
Saluti!
GabrieleMax
 

 stiamo qui a fare della polemica perchè l'ha preso un bambino??
 
I miei due nipoti non hanno mai toccato il mio computer perchè io lo uso 
per lavoro, ogni tanto un "no" può far solo che bene in un mondo in cui 
tutto viene permesso.
 
Saluti.
GabrieleMax

 tutto viene permesso.
 
su questo concordo assolutamente, ma credo che fare i genitori e pure
i nonni non sia proprio cosě semplice da poter criticare il primo che
viene qui con un problema sul pc creato dal figlioletto. Che poi se i
problemi dei figlioletti fossero solo questi...
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,


 problemi dei figlioletti fossero solo questi...
 
Non è mio figlio, è il figlio di mio fratello. 
Comunque l'età c'entra poco, per un periodo ho fatto assistenza negli uffici, 
erano tutti maggiorenni, ma i problemi erano uguali. Anzi, forse è più esperto 
mio nipote. 
 
 

 Non è mio figlio, è il figlio di mio fratello. 
 
parlavo in generale.
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,


 letto le ore o meno...
 
La fruibilità e l'offerta e la pressione non è paragonabile. Se poi è stato 
così non è detto che sia giusto che sia così :) e siamo ottì :D 
 


Normalmente quando ti danno il portatile da controllare...
togli il DVD porno dal lettore...
controlli il pc...
rimetti il pornazzo dove stava prima...
"Tutto a posto dotto' " :-)
 
ciao
fm 
 
 

 Il porno puň causare moltissimi problemi gravi, soprattutto sui piů giovani.  
 
si il calo della vista!
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,


 si il calo della vista!
 
E il gomito del segaiu...ops tennista.
 
-- 
Ciao, Guglielmo.

Nel suo scritto precedente, Guglielmo ha sostenuto :

E i calli alla mano dove li mettiamo?

>>>>  
http://www.bb2002.it
 :)  <<<<<
........... [ al lavoro ] ...........

 E i calli alla mano dove li mettiamo?
 
questo solo per i maschietti perň... :-)


 quale parte di "roba pulita" non è chiara? (davidecit.)
 
La parte in cui comunque rimane un secondo hard disk pieno di cose, che va 
controllato :)