virus che riavvia il sistema

[menatwork]

Alberto_94 nel report di systemscan vedo ancora molte delle chiavi che in combofix erano eliminate e sono tutte collegate a questa dll

C:\WINDOWS\system32\mbqbexz.dll

fammi un controllo, per fare prima scaricati Everything search engine

inserisci nello spazio bianco mbqbexz.dll e controlla se la rileva ancora nel pc

[Alberto_94]

no non la rileva...

[menatwork]

fai come prima

elimina il vecchio log di combofix e rieseguilo, voglio controllare se si riproduce

prima della scansione controlla con everithing se sono presenti questi servixzi

dllfd

dlvrchpbc

kkjsyz

lpqilgpml

podefpvye

tszenn

tumdw

[R16]

Scusate, ma vi rompo per l'ultima volta.
Vorrei fare una domanda a Alberto_94:
Conosci questo account?:
HsUser_eGp0rM6GzxO

[Alberto_94]

x r16: no non connosco questo account... ma perché me lo chiedi?

[menatwork]

te lo chiede perche' potrebbe essere un acount creato dall'infezione

da start\esegui digita control userpasswords2 e dimmi quali utenti vedi

[Alberto_94]

ok cambio la mia risposta si c'è anche quell'account tra i miei
comunue ecco il report di combofix: http://wikisend.com/download/210616/ComboFix.txt
quelle cose che mi hai chiesto di controllare ci sono tutte ma sono in una sola cartella (C:\Qoobox\Quarantine\Registry_backups) che fino a poco tempo fa non esisteva

[menatwork]

quindi confermi che l'account HsUser_eGp0rM6GzxO lo conosci....meglio cosi'

la cartel la qoobox e' di combofix e devi eliminarla, contiene i back up delle infezioni trovate dal programma

ora segui attentamente questi passaggi, non saltarne nemmeno uno, semmai stampalo


scarica avenger sul desktop

Decomprimi l'archivio

Avvia il file avenger.exe

Copia e incolla nella finestra: "Imput script here" questo testo

Files to replace with dummy:
C:\WINDOWS\system32\mbqbexz.dll


Registry keys to delete:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\d llfd
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\d lvrchpbc
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\k kjsyz
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\l pqilgpml
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\p odefpvye
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\t szenn
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\t umdw
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\d llfd\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\d lvrchpbc\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\k kjsyz\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\l pqilgpml\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\p odefpvye\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\t szenn\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\t umdw\Parameters

Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla i il contenuto del blocco note che apparirà


Risegui anche systemscan avendo cura di eliminare il vecchio log prima della scansione

Posta i due rapporti, avenger e systemscan

[amvinfe]

ciao,
riguardo l'user segnalato da R16, anch'io nutro dei dubbi che sia stato creato dall'utente, se invece è un account creato da Alberto_94 allora gli faccio i miei complimenti per l'immaginazione e l'inventiva... Questo tipo di infezione era tipica, alcuni anni fa, di LinkOptimizer aka Gromozon.

[Alberto_94]

non mi sognerei mai di creare un account con quel nome!
Eccoti i 2 log:
avenger http://wikisend.com/download/447012/avenger.txt
systemscan http://wikisend.com/download/884754/..._30_report.zip
questo virus si sta rivelando proprio una rogna...