MBR danneggiato, posta sparita e Firefox impazzito. Che divaolo è?

[PunkIvi]

Ragazzi sto doventando passo. Ad ogni riavvio devo fixare l'mbr col cd di win se no windows non parte. Oggi poi appena acceso il Pc, tutta la posta di Thunderbird e relative impostazioni sono sparite. Firefox mi ha pure detto che è stato il suo primo avvio, come appena installato.

Cosa diavolo succede? Ho solo il ctfmon che io sappia, ma è lui che fa questi casini?
Aiuto

[ste_95]

scarica virit, e fai una scansione, alla fine riporta il log...

http://www.xnavigation.net/info/419.html

[PunkIvi]

Si stavo gia provando, finora ha trovato solo il ctfmon.... vediamo come va a tra poco.

[ste_95]

finisci e poi posta il log...

aspettiamo...

[PunkIvi]

Non mi sembra sia andata tanto male, cioè intendo rispetto ai "sintomi" che invece rilevo

VirIT eXplorer Lite Log

[SCANSIONE DELLA MEMORIA]
OK
--------------------------------------------------------
11/09/2007 - 11:15:28

[SCANSIONE DEL REGISTRO]
OK

[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK
 
 
Chiavi Registro infette: 0.
Files Infetti: 0.
Files Sospetti: 0.
Files Analizzati: 5637.
Files Totali: 5637.
Chiavi Registro rimosse: 0.
Virus Rimossi: 0.
 
[SCANSIONE DELLA MEMORIA]
OK
--------------------------------------------------------
11/09/2007 - 11:29:51

[SCANSIONE DEL REGISTRO]
OK

[H:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK
 
H:\Recycled\ctfmon.exe Infetto da Trojan.Win32.VB.CS
 * * *  RIMOSSO  * * *
 
Chiavi Registro infette: 0.
Files Infetti: 1.
Files Sospetti: 0.
Files Analizzati: 30693.
Files Totali: 30693.
Chiavi Registro rimosse: 0.
Virus Rimossi: 1.
 
--------------------------------------------------------
11/09/2007 - 11:34:16

[SCANSIONE DEL REGISTRO]
OK

[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK
 
C:\Documents and Settings\Kem\Desktop\kelv\Documents and Settings\Kelv\Desktop\hijackthis\backups\backup-20050729-010955-409.dll Infetto da BHO.HotOffers.F
 * * *  RIMOSSO  * * *
C:\Documents and Settings\Kem\Menu Avvio\Programmi\Esecuzione automatica\ctfmon.exe Infetto da Trojan.Win32.VB.CS
 * * *  RIMOSSO  * * *
C:\Recycled\ctfmon.exe Infetto da Trojan.Win32.VB.CS
 * * *  RIMOSSO  * * *
C:\Recycled\Recycled\ctfmon.exe Infetto da Trojan.Win32.VB.CS
 * * *  RIMOSSO  * * *
C:\WINDOWS\system32\hldrrr.exe Infetto da Trojan.Win32.Mitglieder.AU
 * * *  RIMOSSO  * * *
 
Chiavi Registro infette: 0.
Files Infetti: 5.
Files Sospetti: 0.
Files Analizzati: 156613.
Files Totali: 156613.
Chiavi Registro rimosse: 0.
Virus Rimossi: 5.

che ne dici?

[ste_95]

dico di fare la prima procedura che dico qua:

http://forum.html.it/forum/showthrea...readid=1161200

[PunkIvi]

Ma non ho letto in giro che possa sputtanare l'mbr o cose del genere... no?

[PunkIvi]

Fatto, il risultato:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\hifbwckn

*******************

Script file located at: \??\C:\Documents and Settings\wswgvqoa.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\system32\drivers\hidr.exe not found!
Deletion of file C:\WINDOWS\system32\drivers\hidr.exe failed!

Could not process line:
C:\WINDOWS\system32\drivers\hidr.exe
Status: 0xc0000034



File C:\WINDOWS\system32\drivers\srosa.sys not found!
Deletion of file C:\WINDOWS\system32\drivers\srosa.sys failed!

Could not process line:
C:\WINDOWS\system32\drivers\srosa.sys
Status: 0xc0000034



File C:\WINDOWS\system32\wintems.exe not found!
Deletion of file C:\WINDOWS\system32\wintems.exe failed!

Could not process line:
C:\WINDOWS\system32\wintems.exe
Status: 0xc0000034



File C:\WINDOWS\system32\hldrrr.exe not found!
Deletion of file C:\WINDOWS\system32\hldrrr.exe failed!

Could not process line:
C:\WINDOWS\system32\hldrrr.exe
Status: 0xc0000034



File C:\WINDOWS\system32\trusted.exe not found!
Deletion of file C:\WINDOWS\system32\trusted.exe failed!

Could not process line:
C:\WINDOWS\system32\trusted.exe
Status: 0xc0000034



File C:\WINDOWS\system32\drivers\pci32.sys not found!
Deletion of file C:\WINDOWS\system32\drivers\pci32.sys failed!

Could not process line:
C:\WINDOWS\system32\drivers\pci32.sys
Status: 0xc0000034



Folder C:\WINDOWS\exefnd not found!
Deletion of folder C:\WINDOWS\exefnd failed!

Could not process line:
C:\WINDOWS\exefnd
Status: 0xc0000034

Folder C:\WINDOWS\exefld deleted successfully.


Registry key HKLM\SYSTEM\CurrentControlSet\Services\srosa not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Services\srosa failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Services\pci32 not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Services\pci32 failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Services\pci32
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32
Status: 0xc0000034


Completed script processing.

*******************

Finished!  Terminate.

Ma non ha fatto nulla?!?

[ste_95]

ha tolto solo una cartella...

prova ad azzerare l'MBR con questo tool, masteruzzalo su CD e fai il boot da lì...

http://supergrub.forjamari.linex.org/?section=download

[PunkIvi]

Altra info, virit adesso mi dà questo nella memoria
hifbwckn - system32\drivers\ebdkvkjg.sys
come hidden service. Che è?!?