Virus/Rootkit "Windows XP Repair 2011" (Falso antivirus)

[Stafflute]

[CUT]
2) Problema più grave= Il virus ha lasciato tracce: In entrambi i browser quando clicco su qualsiasi link da google vengo reindirizzato su siti di advertising come cupcakes.com clickbattery.org fantasyhockey.us ecc.(Se clicco più volte sul link alla fine mi reindirizza sulla pagina vera). Inoltre i browser sono un po più lenti di prima.

Hai provato a disabilitare tutti i componenti aggiuntivi sospetti di ogni browser (di solito sono i componenti senza proprietari o di aziende e/o soggetti sconosciuti o non fidati)? Durante l'esecuzione del browser e del task manager appaiono processi sospetti? Dopo aver fatto queste operazioni, hai provato a reinstallare il browser?

NOTA: bisogna anche eliminare tutto l'eliminabile (incluso i punti di ripristino) sia con ccleaner, sia con altri programmi (per esempio ATF cleaner). Infine controllare se le cartelle temporanee siano effettivamente vuote (per esempio per visualizzare tutti i file nella cartella dei file temporanei basta andare sul prompt, CD %temp% e attrib).

Ultima cosa: ho notato che in pannello di controllo strumenti di amministrazione è vuoto!
Ringrazio anticipatamente chi mi aiuterà visto che non vorrei formattare l'hard disk perché il pc mi serve per motivi di studio.

Questa ti dovrebbe ripristinare la cartella "Strumenti d'amministrazione".
http://windowsxp.mvps.org/admintools.htm
In questo link troverai i collegamenti da inserire:
http://www.hwupgrade.it/forum/showthread.php?t=1139246

la cartella Qoobox non me la fa eliminare: accesso negato (più specificatamente accesso negato alla cartella BackEnv che si trova dentro Qoobox.

Dopo aver riavviato il computer, prova ad utilizzare Delete Doctor.
http://www.megalab.it/3132/delete-doctor

[ElKunAguero10]

Allora:
Ho fatto pulizia con ccleaner
Winrecover dopo avermi subito chiesto di riavviare il pc non ha ripristinato gli strumenti di amministrazione.
OTC ha cancellato combofix tdsskiller e parte del contenuto della cartella Qoobox, più precisamente tutto tranne BackEnv.
MEnatwork visto che mi stai aiutando tu te lo chiedo: provo ad utilizzare delete doctor per cancellare qoobox come suggeritomi da Stafflute o attendo istruzioni tue?
E Per quanto riguarda gl istrumenti di amministrazione?
Grazie ancora!

[menatwork]

no non usare quel programma e segui questi passaggi

scarica
inherinit mettilo nella stessa directory della cartella BackEnv e poi trascina la stessa cartella sull'icona di inherinit.Aspetta la scritta OK.

Poi potrai eliminare la cartella qoobox.




riesegui una nuova scansione completa con malwarebyters dopo averlo aggiornato e posta il rapporto che rilascia

[ElKunAguero10]

Ok! Sono riuscito ad eliminare qoobox ma volevo sapere se la scansione con malwarebytes devo farla in modalità normale o provvisoria.
Credo che in modalità normale vada bene, confermi?

[menatwork]

falla in provvisoria e' piu' efficace

[ElKunAguero10]

Allora:
ho eseguito la scansione con malwarebytes e mi ha trovato un virus classificandolo come trojan ma che sono sicuro non essere danno so per il pc (l'ho scaricato ieri dopo aver recuperato parzialmente il pc ed è un "tool" per aggiornare nod32...) quindi non gliel'ho fatto cancellare perché mi serve e vorrei tenerlo.

Mentre eseguivo la scansione con malwarebytes a un certo punto è intervenuto nod32 che ha visto che un file esaminato da malware bytes (e riconosciuto da malwarebytes come bloccato) era invece un virus.
Il report di nod32 su lvirus (Azione da me eseguita: elimina) è il seguente:

20/06/2011 18.16.44 Protezione file system in tempo reale file C:\System Volume Information\_restore{FE8D4886-739C-4BBE-BA35-E537DE219D09}\RP206\A0033949.sys Win32/Olmasco.E trojan horse eliminato - messo in quarantena Si è verificato un evento durante un tentativo di accesso al file da parte dell'applicazione: C:\Programmi\Malwarebytes' Anti-Malware\mbam.exe.

Intanto posto il log di malwarebytes anche se ti ricordo che c'è quel famoso "tool" segnalato come infetto:
LOG DI MALWAREBYTES:
Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Versione database: 6902

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

20/06/2011 18.16.22
log da postare.txt

Tipo di scansione: Scansione completa (C:\|)
Elementi esaminati: 216671
Tempo impiegato: 50 minuti, 27 secondi

Processi infetti in memoria: 0
Moduli di memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Voci infette nei dati di registro: 0
Cartelle infette: 0
File infetti: 1

Processi infetti in memoria:
(Non sono stati rilevati elementi nocivi)

Moduli di memoria infetti:
(Non sono stati rilevati elementi nocivi)

Chiavi di registro infette:
(Non sono stati rilevati elementi nocivi)

Valori di registro infetti:
(Non sono stati rilevati elementi nocivi)

Voci infette nei dati di registro:
(Non sono stati rilevati elementi nocivi)

Cartelle infette:
(Non sono stati rilevati elementi nocivi)

File infetti:
c:\documents and settings\del bove giulio\Desktop\nod_enabler\TNODUP.exe (Trojan.Agent.CK) -> No action taken.

[menatwork]

per cio' che riguarda

C:\System Volume Information\_restore{FE8D4886-739C-4BBE-BA35-E537DE219D09}\RP206\A0033949.sys

e' un'infezione localizzata nel ripristino niente di grave, basta disattivare il ripristino ed elimini tutte le possibili altre infezioni (per sicurezza ti consiglio di farlo)

disattivalo

riavvia

riattivalo e crei un nuovo punto



per il file riconosciuto da mbam

c:\documents and settings\del bove giulio\Desktop\nod_enabler\TNODUP.exe

ti consiglio di controllarlo su virus total e vedi cosa esce fuori

[ElKunAguero10]

Intanto grazie ancora per avermi seguito pazientemente...
COmunque mi sembra avessi il ripristino di sistema già disattivato...
Dico mi sembra perché ora se avdo a start---> tutti i programmi-->accessori Trovo ocmunicazioni e svago vuoti e così anche per quanto rigaurda Utilità di sistema dove anzi c'è un solo collegamento Internet explorer (nessun componente aggiuntivo)
Credo che la scomaprsa di queste voci sia sempre dovuta al rootkit eliminato che mi aveva nascosto tutto (e penso che lo stesso valga per gli strumenti di amministrazione del pannello di controllo che ancora non si sono ripristinati).

Se volessi far ricomaprire queste cosette come potrei fare?

[menatwork]

Se volessi far ricomaprire queste cosette come potrei fare?

prova con questo tool

rimuovi firefox e installa l'ultima versione

hai controllato quel file?

[ElKunAguero10]

Eccomi scusa il ritardo:
1) ho controllato TNODUP.exe su virustotal e secondo alcuni antivirus è un virus (es per kaspersky e avast no per nod32 e mcafee si). Trendmicro è l'unica società che lo considerà crack/patch (ovvero quello che è realmente).
2) Non ho firefox devo comunque installare l'ultima versione?
3) Il tool per ripristinare gl istrumenti di amministrazione non funge: da questo errore:

"Run-time error '-2147024893 (80070003)': Method '~' of object '~' failed"

Cosa faccio?