Newsgroup: it.comp.sicurezza.windows
Titolo: Rootkit

Ciao, da un paio di giorni ho il pc praticamente inutilizzabile (SO Win XP 
SP2 aggiornato). Ecco uno stralcio dei problemi, già inserito su 
microsoft.public.it.windowsxp dove però non ho avuto alcuna risposta.
Perdonatemi la confusione evidente nel cercare di descrivere i sintomi, ma 
ho operato in condizioni veramente critiche.
"da stamattina in seguito all'installazione di un programma di conversione
video si sono scatenati una serie continua di problemi nel mio PC (Win XP,
Sp2 aggiornatissimo e protetto).
Numerose schermate blu precedute dal malefico "Bump" o nel caso non
compariva la schemata blu, durante il caricamento di Windows, il "Bump"
anche se a volume più ridotto si sentiva.
Impossibilità di ripristinare una stato precedente nonostante avessi vari
punti di ripristino.
Impossibilità di accedere alla modalità provvisoria.
Unica cosa che sono riuscito a fare è stata una scansione con AD Aware,
mentre Spybot non si avviava. ed un controllo con CCleaner.
Ora sono riuscito ad avviare in mod. provvisoria ed ad utilizzare l'opzione
di ripristino di uno stato sicuramente funzionante e questo mi permette di
comunicare con Voi.
Non accedo alla rete in quanto pur avendo AVG free aggiornato, all'avvio il
sistema mi restituisce il messaggio in cui mi avverte che non è
un'applicazione di Win32 valida, ho paura di beccarmi un virus.
Ho provato ad avviare MRT, ma si blocca sulla cartella che contiene Spybot.
Insomma questa una parte dei numerosi casini."
----------------------------
Al momento sono riuscito a far ripartire la macchina, senza firewall (Kerio) 
perchè all'avvio un messaggio di errore mi segnala "Inizializzazione KFE 
fallita. Driver not found", senza antivirus in quanto non mi permette di 
installare nè AVG free ne Antivir free. Compare anche un altro messaggio di 
errore "Errore in ClntFile".
Da ricerche condotte in rete pare che un rootkit mi abbia infettato e che 
l'unica soluzione per liberarmene sia attivare Avenger, ma qui si entra in 
una sfera (quella della preparazione di script) che non conosco 
assolutamente.
Potete aiutarmi?
Grazie,
Nicola

 Da ricerche condotte in rete pare che un rootkit mi abbia infettato
Fai una scansione Anti-Rootkit con AVG Anti-Rootikit Free:
http://free.grisoft.com/doc/5390/us/frt/0?prd=arw
E con McAfee Rootkit Detective:
http://vil.nai.com/vil/stinger/rkstinger.aspx
Inoltre effettua una scansione con Hijackthis, per controllare
che non vi siano processi nocivi attivi nel sistema, come spiegato qui:
http://privacyonline.altervista.org/hijackthis.html
Se puoi posta qui il log di Hijackthis, così possiamo aiutarti ad
individuare eventuali malware presenti nel sistema.
A questo punto utilizza il System File Checker.
Inserisci il CD originale di Windows XP nel lettore, poi vai su Start ->
Esegui, scrivi il comando "sfc /scannow" (senza virgolette) e dai OK.
Il sistema effettuerà  un controllo di tutti i files importanti di Windows e
provvederà  alla sostituzione di quelli corrotti o mancanti, con gli
originali del CD.
In fine deframmenta il registro di Windows con Auslogics Registry Defrag:
http://tinyurl.com/2nq63r
Vedi se così il problema si risolve.
--
Guida gratuita sulla sicurezza e la privacy on-line:
http://privacyonline.altervista.org
 


Questa ho preferito non provarla per non incasinare ulteriormente.
Che cosa posso fare, spero solo di non dover riformattare, sarebbe una 
tragedia!!!
Ciao e grazie per l'aiuto che mi stai dando.
Nicola

 servizio Windows Defender è terminato in modo imprevisto
Fai un backup dei tuoi importanti e poi fai come segue.
Vai su Start -> Pannello di controllo -> Installazione
applicazioni e disinstalla Windows Defender, tutti i software Anti-Malware,
tutti gli altri programmi ed in fine disinstalla il Service Pack 2 e tutti
gli altri aggiornamenti installati.
NOTA:  se durante la disinstallazione di un software viene chiesto di
riavviare il computer, riavvialo e solo dopo continua a disinstallare gli
altri programmi.
DISATTIVA IL RIPRISTINO DI SISTEMA
Cliccare su Start -> Pannello di controllo -> Sistema -> "Ripristino
configurazione di sistema" e mettere la spunta su "Disattiva Ripristino
configurazione di sistema su tutte le unità" e dare OK.
NOTA: in questo modo il Ripristino di Sistema verrà disabilitato e tutti i
precedenti punti di ripristino verranno eliminati.
ELIMINA GLI ACTIVEX
Cliccare su Start -> Pannello di controllo -> Opzioni Internet ->
Generale -> Impostazioni -> "Visualizza Oggetti", selezionare le varie voci,
cliccare con tasto destro e poi su Elimina.
NOTA: è consigliabile non eliminare gli ActiveX dei programmi importanti,
come ad esempio quelli dell'Anti-Virus e limitarsi a cancellare solo quelli
"sconosciuti" o non più utilizzati.
CANCELLA LA CACHE JAVA
Cliccare su Start -> Pannello di controllo -> Java -> scheda Generale ->
cliccare su Impostazioni nella sezione "File temporanei Internet" ->
"Elimina file", mettere la spunta su tutte le voci e cliccare su OK.
NOTA: le applet e gli script eliminati, potranno essere reinstallati quando
si visiterà un sito che ne richiede l'utilizzo.
Fatto questo, vai in Risorse del computer, clicca con il tasto destro
sull'hard disk "C:" e poi su Proprietà.
Nella schermata che apparirà vai nella sezione Strumenti e clicca su
"Esegui ScanDisk..".
Nella schermata "Controllo disco Sistema" metti la spunta sulle due voci che
si trovano sotto la voce "Opzioni controllo disco", clicca su Avvia e
poi riavvia il computer.
Il sistema eseguirà uno scandisk di 5 passate prima di rientrare in Windows
e correggerà eventuali errori del disco.
Nota: lo scandisk approfondito può durare anche oltre un'ora.
A questo punto reinstalla il Service Pack 2 scaricandolo da qui:
http://tinyurl.com/5emx9
Reinstalla anche tutti gli aggiornamenti per il sistema operativo tramite
Windows Update:
http://v4.windowsupdate.microsoft.com/it/default.asp
In fine fai una scansione Anti-Virus *on-line* utilizzando il servizio
gratuito offerto da Trend Micro:
http://housecall.trendmicro.com/it/
Vedi se così la situazione si sblocca.
Se così fosse potrai reinstallare tutti i programmi Anti-Malware, Firewall e
quant'altro.
Dopo aver installato tutti i vari software ti consiglio di fare un defrag
dell'hard disk con Speed Defrag:
http://www.vcsoftwares.com/SF.exe
Questo programma provvederà a deframmentare l'hard disk appena si avvia
Windows, in modo da poter sistemare anche quei files che normalmente non si
deframmentano perché utilizzati dal sistema.


 Cut..
Hai quasi sicuramente il virus "Bagle".
Cerca in rete per info.

"Alessandro" <alexSPA...@ingracom.com.invalid> ha scritto nel messaggio 
news:fttc5r$u1s$1...@nnrp.ngi.it...

Grazie Alesaandro, vado a vedere.

 Cerca in rete per info.
Al 99% č proprio lui.
Ho trovato questo link per le istruzioni, ora devo decidere quale sistema 
tra quello suggerito qui e quello propostomi da Lothar sia il piů semplice 
da seguire. Se poi vedo che č complicato, formatto, mannaggia a me!!!
Grazie mille per l'aiuto.
Nicola 

 Grazie mille per l'aiuto.
Utilizza Avira AntiVir Rescue System...
http://www.avira.com/en/support/support_downloads.html
http://dl.antivir.de/down/vdf/rescuecd/rescuecd.exe
The Avira AntiVir Rescue System a linux-based application that allows
accessing computers that cannot be booted anymore. Thus it is possible to
repair a damaged system, to rescue data or to scan the system for virus
infections. Just double-click on the rescue system package to burn it to a
CD/DVD. You can then use this CD/DVD to boot your computer. The Avira
AntiVir Rescue System is updated several times a day so that the most recent
security updates are always available.

 
http://dl.antivir.de/down/vdf/rescuecd/rescuecd.exe
...CUT...
Ciao,
ho utilizzato un tool di pulizia, il MiniPE2-XT facendo il boot direttamente 
da lui e , utilizzando Avira mi ha trovato Bagle ed altre porcherie che ha 
messo in quarantena.
Fatto questo ho deframmentato, aperto Windows, pulito con ccleaner dopo aver 
eliminata la creazione di un punto di ripristino.
Ora le cose funzionano molto meglio ma c'è ancora qualche problema che devo 
verificare.
Una volta avviato Win XP mi compaiono due messaggi di errore:
1) Windows defender: application failed to initialize 0x800106ba
2) Inizializzazione KFE fallita: driver not found (si riferisce al firewall 
Sunbelt Personal Firewall che non riesco ad installare).
3) Ho provato a partire in mod provv. ma esce la schermata blu. Se ricompare 
al prossimo tentativo posterò il codice di errore.
Ora proverò a fare un'altra scansione utilizzando Avast, sempre da 
MiniPE2-XT
Grazie per ora della collaborazione,
Nicola

 
http://dl.antivir.de/down/vdf/rescuecd/rescuecd.exe
Alla fine l'ho usato, con una certa difficoltà perchè non conosco il tedesco
e mi ha trovato "Mdelk.exe" che ho eliminato con Spyhunter.
Ho rimosso Windows Defender che si era corrotto, insieme a Sunbelt Firewall.
Una passata con ccleaner, spento e riavviato. Ora pare che tutto funzioni
bene.
Di nuovo grazie a tutti per gli aiuti ed i suggerimenti.
Nicola