Newsgroup: it.comp.hardware
Titolo: [OT] Virus malefico

Un Cliente ha il PC con questo scherzo:
http://www.megalab.it/articoli.php?id=1108
scherzo però imho più evoluto da quello descritto, in quanto, sia  in
modalità provvisoria che normale, oltre a rendere *vuota* la barra
degli strumenti impedisce il lancio di qualsiasi programma, compresa
relativa installazione. Addirittura è risultato impossibile collegare
un pen drive in quanto inibita la provedura di installazione nuovo HW.
Il Task manager è bloccato anche con comandi da tastiera, addirittura
è impossibile modificare la risoluzione dello schermo. I menù delle
finestre sono modificati con tutte le normali impostazioni
inaccessibili, insomma poensate a una qualunque cosa che si fa
abitualmente su un PC e su questa macchina non è possibile farla ;)
Di conseguenza non riesco a lanciare la soluzione indicata
nell'articolo.
L'unica cosa che posso fare è lavorare sullìHD collegandolo in slave a
una mia macchina, ma così facendo le passate con praticamente tutto
l'esistente a livello di antivirus, antispy, anti tutto non portano ad
alcun risultato, nel senso che l'HD risulta pulito.
L'HD è aziendale, c'è installato un gestionale, pure in rete con
dominio, per cui l'arma finale (format) volevo evitarla, ma è già una
giornata che ci lavoro senza risultati apprezzabili (a mano sono
riuscito a non far apparire più la schermata rossa, ma tutto il resto
non è cambiato).
Qualche idea?
Avrei pensato anche a un CHKDSK da consolle di ripristino, ma a parte
che mi sembra razionalmente inutile, mi terrebbe il PC impegnato per
almeno un paio d'ore, ore che potendo vorrei rendere più costruttive.

 alcun risultato, nel senso che l'HD risulta pulito.
[cut]
Passa VirIT, Norman, DrWeb (e se possibile Kaspersky e NOD32)...quindi 
XoftSpySE, ComboFix e Spybot S&D.
Ciao!
Simone.
-- 
Chuck Norris riesce ad accendere un fuoco con due rametti bagnati.
Sott'acqua. (anonimo) 

 almeno un paio d'ore, ore che potendo vorrei rendere più costruttive.
Da console di ripristino puoi tentare la procedura qui descritta.
http://webcast.broadcastnewsroom.com/articles/viewarticle.jsp?id=8658
dovresti riuscire almeno a far partire XP e vedere cosa c'è che non va.

 Qualche idea?
Da console di ripristino puoi verificare se ci sono servizi attivati 
all'avvio che non dovrebbero esistere e nel caso disabilitarli.
Poi puoi costruire un cd live di BartPE in cui devi inserire un 
programma per modificare il registro remoto di una installazione windows 
e così riesci anche a togliere dll da processi chiave e programmi all'avvio.
Ultimo passo è riavviare in modalità provvisoria e procedere con la 
solita routine di pulizia



Veramente XP parte senza problemi, il punto è che parte con
impostazioni ristrette che rendono impossibile fare praticamente
qualunque cosa, e anche accedendo come administrator non cambia una
cippa :(

 wrote:

Infatti, con quel metodo dovresti avere un sistema pulito, conservando
al tempo stesso i file di configurazione di windows da ripristinare
all'occorrenza. A me in un paio d'occasioni è servito, tanto che mi
sono fatto un file batch per copiare quei cinque files all'occorrenza.
Non ho idea di come funzioni in un dominio di rete però.

e così riesci anche a togliere dll da processi chiave e programmi all'avvio.
Troppo complesso per le mie capacità, purtroppo. Comunque grazie per
il consiglio :)

 almeno un paio d'ore, ore che potendo vorrei rendere più costruttive.
Difatti non servirà a nulla... perciò o fai come ha detto Silver (usando
anche una distro live di Linux magari), oppure vai di formattone che fai
prima. Tanto non credo che sia molto complesso rieseguire le procedure di
collegamento per riattivare il dominio.

Mentre ero distratto, attraverso l'orologio K.I.T.T. mi ha avvisato che 
Rimininformatica mi ha cercato per dirmi:
Bisognerebbe vedere dal domain controller e vedere se riesci a connetterti 
al registro del computer o ai servizi. Loggandoti come domain admin 
logicamente....
-- 
Se la fortuna č cieca, ma tu hai scritto in fronte "sono sfigato" in 
braille......
Solo i FESS tengono in ordine.... i GENI vivono nel CAOS!!! (Cattivik)
Solo i cretini sono sicuri al 100% di quello che dicono. Naturalmente potrei 
sbagliarmi ... 

dominio, per cui l'arma finale (format) volevo evitarla, ma č giŕ una
  Non serve il format... ma l'installazione la perdi... ODDIO! potresti
installare windows in una seconda cartella... dal nome diverso... e poi ogni
volta che un programma ti chiede un pezzo che non trova te lo segni, nome e
disposizione, lo cerchi e glielo dai... ^___^ una volta con win 3.11 funzionava!
adesso non so!
  ... sono i rischi del mestiere... ^__^ se un'azienda non pensa a proteggersi
che paghi l'assistenza sul gestionale!
    CIAO!

Mentre ero distratto, attraverso l'orologio K.I.T.T. mi ha avvisato che 
Rimininformatica mi ha cercato per dirmi:
dimenticavo...
Non funzionano gli EXE, ma i COM?
il cmd è un .exe, ma il command è un .com....
-- 
Se la fortuna è cieca, ma tu hai scritto in fronte "sono sfigato" in 


 il consiglio :)
Dai non ci credo :-P
Sono d'accordo sul fatto che un lavoro del genere non convenga di fronte 
alla velocità di un format, sempre che i backup del gestionale esistano.
Io ovviamente l'ho dovuto fare ad amici che il backup pensavano 
riguardasse la fisioterapia

alla velocità di un format, sempre che i backup del gestionale esistano.
Per esistere esistono, e comunque come dicevo l'HD è tranquillamnete
accessibile se collegato ad un'altra macchina.
Se la cosa non è troppo complessa e vuoi darmi una mano ben venga, sia
chiaro :)))
Male che vada poi formatto, chè tanto il cliente è stato già avvisato
di questa possibilità e una volta tanto non ho sentito singhiozzi
convulsi all'altro capo della cornetta ;D , è che mi da un fastidio
incredibile dovermi arrendere senza avere la *certezza* di aver fatto
il possibile per risolvere.
Resto in devota e rispettosa attesa di input ;)

il cmd è un .exe, ma il command è un .com....
accedendo alla cartella Win32 di Windows il relativo eseguibile parte,
ma poi digitando ad esempio "regedit" non succede assolutamente nulla,
cosa che provata sul mio PC apre regolarmente l'interfaccia relativa.
Dimenticavo anch'io: Hijackthis funziona, ma non risulta niente di
strano nel suo report.

 Come?
Sempre da consolle col comando "disable" seguito dal servizio...

Sempre da consolle col comando "disable" seguito dal servizio...
Proverò.
Oh... Non è che hai in programma di passare per Rimini il prossimo
fine settimana, vero? ;p

Digitando da consolle il comando "servicec.msc"...
Fatto (sia con la C che con la S finale). Risultato: "comando
sconosciuto".
Mais puorquoi, mais pourquoi, mais pourquoi.... ;) Snifff...



...perchè il comando era da dare sì in consolle, ma lanciandola sotto
Windows, non da consolle di ripristino! E il comando corretto è con la
S finale ;)
Purtroppo però l'elenco dei servizi non parte, e al suo posto appare
un'avviso che dice:
"impossibile inizializzare MMC a causa di un errore di installazione o
perchè una parte del registro è danneggiata."
Porcacciaeva...

 Porcacciaeva...
Hai provato combofix ?
Ciao!
Simone.
-- 
Quando Chuck Norris rompe uno specchio, questo, per evitare le sue ire,
sposta i sue 7 anni di sfiga all'umanità. (anonimo) 

Mentre ero distratto, attraverso l'orologio K.I.T.T. mi ha avvisato che 
Lorenz mi ha cercato per dirmi:
net start e net stop???
--
Se la fortuna č cieca, ma tu hai scritto in fronte "sono sfigato" in 


Mentre ero distratto, attraverso l'orologio K.I.T.T. mi ha avvisato che 
Rimininformatica mi ha cercato per dirmi:
il regedit è un .exe.... riesci a crearne una copia con estensione COM e 
provare a lanciarlo???
Se i COM funzionano (come credo e spero), allora il bastardo ha bloccato 
solo gli exe...
Su google dovrebbe esserci la procedura per sbloccarli da registro... A 
memoria non me la ricordo!!!


>Hai provato combofix ?
Tutto inutile: sul PC del cliente il programma manco si avvia, e sul
mio (sempre con l'HD in slave) non trova nulla.


Vai di ripristino del sistema...
Ciao!
Simone.
-- 
eMule di Chuck Norris puo' avere ID Alto, ID Molto Alto e ID Infinito.
(trovato su un forum spagnolo e tradotto da DrFalken) 

solo gli exe...
Mica tutti (me ne sono accorto da poco): ad esempio Office funziona.
Caspita se l'han fatto bene, 'sto puparuolo... A naso direi che blocca
solo le funzioni che possono danneggiarlo, dai singoli eseguibili alle
eventuali utility MS di "esplorazione".
Ad esempio tutti programmi che non vanno o non vanno e basta, oppure
appare un c...o di avviso che dice il programma non può essere
eseguito causa un errore e il consiglio seguente è la reinstallazione.

 Porcacciaeva...
La vedo brutta a questo punto... misà che il sistema è irrecuperabile.

Mentre ero distratto, attraverso l'orologio K.I.T.T. mi ha avvisato che 
Rimininformatica mi ha cercato per dirmi:
e da win il service.msc (come ti hanno consigliato) non funge?
Se attacchi il disco al tuo PC, fai star => esegui => MMC
e poi apri il file services.msc sul disco incriminato (cartella 
windows\system32) riesci a smanettare con i servizi?
Oppure, se il PC è in rete (ma non so se funziona tra 2 pc non nello stesso 
dominio e soprattutto se non si è amministratori della macchina o del 
dominio), aprire regedit su un pc sano, file => connetti a registro di 
sistema in rete


 --
Mah... si puà provare, anche se manco così temo che possa cavare un ragno
dal buco.

gestione dei servizi...
Si, ma se attacca il disco come slave, dici che il virus rompe lo stesso?



Se il disco è quello di sistema allora temo di si...

Wednesday 16 January 2008 10:16: cosi` parlo` Rimininformatica ...
Premetto che non l'ho mai sperimentato (per fortuna).
Usa un cd di boot con Windows XP come suggerito da Silver.
Poi con regedit carichi il file del registry (load hive) dal disco
fisso e vedi se riesci a risolvere.
-- 
--> x3m <--

Se il disco è quello di sistema allora temo di si...
???
Smonta il disco dall'altro pc, lo monta sul suo pc, fa il boot (dal suo 
disco sul suo pc)...
Non è il disco di sistema. O mi sono incasinato i 2 neuroni che ho??



Intendevo dire se è il disco in cui è presente il sistema operativo...:))
E comunque ho vosto che sta prova la già fatta e con esiti non molto
positivi.

 chiaro :)))
Qui trovi info e il download per Bartpe
http://www.nu2.nu/pebuilder/
in poche parole:
- al programma dai in pasto i file di installazione di windows
- dalla schermata plugin abiliti quelli che ti servono seguendo le 
istruzioni che ti dà il programma per farlo funzionare
-masterizzi e provi il tutto.
-occhio se devi includere i driver per rilevare l'hd
Per i plugin già supportati il procedimento è
-installi il software sulla tua macchina
-copi eseguibile e altri file che ti dice il programma nella directory 
della build di BartPe

Silver ha scritto:
  > in poche parole:
Qui è spiegato anche meglio (come modificare il registro remoto)
http://windowsxp.mvps.org/peboot.htm

windows\system32) riesci a smanettare con i servizi?
Questo è da escludere.
services.msc è solo una console, ti mostra i servizi della macchina
avviata al momento.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

avviata al momento.
In effetti è vero. Bisogna aprire services.msc dal domain controller, azione 
=> connetti ad un altro computer ed hai i servizi degli altri PC.
Se non sei in un DC, non so. non ho provato...
