come rimuovere il virus Hacktool.Rootkit?

[garu]

Grazie Andorra!!
Ora sembra tutto ok....

[telaio]

Ciao Andorra24,

anch'io avevo beccato questo virus e non riuscivo a toglierlo neanche facendo scansioni con l'AV in modalità provvisoria...
poi cercando in rete sono capitato su questo forum e ho seguito le tue istruzioni

ha funzionato !!!


e non è stato per niente complicato!

grazie 1000


A.

[hilder]

grazie andirra sei mito mi salvato la tesi se passi da crotone fatti sentire o fatti vivo ti offro una birra... anzi 6 ufficialmente invitato alla mia festa di laurea........
senza di te non c'è l'avrei mai fatta...

[under_dj]

Originariamente inviato da andorra24
Se hai problemi con killbox usa delete doctor: http://www.diskcleaners.com/files/deletedr.exe

Come ti ho detto nel post precedente visualizza cartelle e file nascosti e poi controlla se in C:\WINDOWS\ hai qualcuno di questi files:
syst32.dll
syshost.dll
mdm32.dll
winsmgr32.dll
svchost.exe

Ciao Andorra Ho letto tutto quanto...una cosa prima di incominciare a eseguire i passaggi da te elencati: io oltre ad avere service32.exe ho anche svchost.exe...cosa faccio? lo cancello anche questo con killbox?

Grazie 1000

[andorra24]

Originariamente inviato da under_dj
Ciao Andorra Ho letto tutto quanto...una cosa prima di incominciare a eseguire i passaggi da te elencati: io oltre ad avere service32.exe ho anche svchost.exe...cosa faccio? lo cancello anche questo con killbox?

Grazie 1000

Ciao, il file svchost.exe da eliminare deve stare in C:\WINDOWS\ e non devi assolutamente confonderlo con il legittimo svchost.exe che sta in system32.

Per quanto riguarda il file service32.exe devi fare questa operazione. Innanzitutto apri il taskmanager (Ctrl+alt+canc), cerca fra i Processi
service32.exe
se lo trovi lo evidenzi e clicchi Termina processo.

Apri il registro di sistema:
start>esegui>regedit (lo digiti nello spazio)>OK
aperto l’editor del registro, clicca sui + accanto alle singole voci di questo percorso:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run, doppio click su quest’ultima cartella, nella parte destra dovresti trovare
1= C:\WINDOWS\ Service32.exe
Click con il tasto dx su di essa e scegli Elimina.

Segui poi questo percorso:HKEY_LOCAL_MACHINE\SOFTWARE\
doppio click su quest'ultima cartella, se trovi:
9F65E3H10M\
click con il dx e scegli Elimina.
Chiudi il registro
Riavvia il pc.

Con killbox adesso devi eliminare per primo il file Service32.exe e dopo cerca in C:\WINDOWS\ se hai qualcuno dei seguenti files e se lo trovi eliminalo:
syst32.dll
syshost.dll
mdm32.dll
winsmgr32.dll
svchost.exe
iexplore32.dll

[under_dj]

Grazie 1000, risolto...

Riconfermo che è uno scandalo che un colosso come la Symantec e con un prodotto come NIS che pago 70 bei euri non eliminino queste infezioni e sopratutto non spieghino come fare a rimuoverlo eventualmente manualmente nelle loro schede...
Grazie Andorra...No Grazie agli Antivirus...

[roby-lory]

ciao andorra 24 io sono nuovo ho fatto partire il programma con i tuoi dati che sono questi

I files devono essere eliminati singolarmente, prima bisogna eliminare service32.exe. Fai questo procedimento:

scarica avenger sul desktop
http://swandog46.geekstogo.com/avenger.zip
Decomprimi l'archivio

Avvia il file avenger.exe
Seleziona l'opzione "Input Script Manually"
Clicca sulla lente d'ingrandimento

Ti si apre la finestra "View/edit script"
All'interno del box bianco, copia e incolla il seguente codice in neretto:

Registry values to replace with dummy:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

Files to delete:
C:\WINDOWS\service32.exe

Clicca sul pulsante Done
Clicca sull'icona del semaforo verde
Rispondi Yes
Il pc dovrebbe riavviarsi da solo, diversamente riavvialo manualmente.
----------------------------------------------------------------------

Dopo aver eliminato il file service32.exe devi ripetere lo stesso procedimento per eliminare il file syst32.dll:

Avvia il file avenger.exe
Seleziona l'opzione "Input Script Manually"
Clicca sulla lente d'ingrandimento

Ti si apre la finestra "View/edit script"
All'interno del box bianco, copia e incolla il seguente codice in neretto:

Registry values to replace with dummy:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

Files to delete:
C:\WINDOWS\syst32.dll

Clicca sul pulsante Done
Clicca sull'icona del semaforo verde
Rispondi Yes
Il pc dovrebbe riavviarsi da solo, diversamente riavvialo manualmente.

Fammi sapere se i 2 files sono spariti.



mi viene fuori un blocnotes con scritto queste cose
Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Service s\wudyusbs

*******************

Script file located at: \??\C:\WINDOWS\fkunqpeb.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\service32.exe not found!
Deletion of file C:\WINDOWS\service32.exe failed!

Could not process line:
C:\WINDOWS\service32.exe
Status: 0xc0000034

Registry value HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows|AppInit_DLLs replaced with dummy successfully.

Completed script processing.

*******************

Finished! Terminate.

cosa devo fare? aiutami

[83kiara83]

Ciao, ho seguito le vostre indicazioni per eliminare sto virus e ci sono riuscita...GRAZIE!
Solo una cosa: mi sono comparse nel desktop 2 librerie dll formate da soli numeri. COsa sono? Le devo eliminare?
Grazie a chiunque mi risponda

[wGesù]

salve..
(mi scuso se riporto di nuovo questa pagina di Andorra24... ma mi sono "arenato" qui.. )


Vai su start/risorse del computer/strumenti/opzioni cartella/visualizzazione e metti la
spunta su visualizza cartelle file nascosti e togli la spunta da ''nascondi i file protetti di
sistema (consigliato)''.

Controlla se hai il seguente file: C:\WINDOWS\service32.exe

Se lo trovi fai questo procedimento:

vai su START - ESEGUI e digita regedit

Si apre l'editor, clicchi sui + accanto alle singole voci di questo percorso:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\policies\Explorer\Run

e cancella la chiave 1 = C:\WINDOWS\service32.exe (click col destro e scegli Elimina)

Chiudi il registro e riavvia il pc.

Scarica killbox: http://killbox.net/downloads/KillBox.exe
con killbox elimina il seguente file:
C:\WINDOWS\service32.exe
dopo averlo eliminato andrai ad eliminare il secondo file:
C:\WINDOWS\IEXPLORE32.DLL

Per sicurezza controlla anche l'eventuale presenza di qualcuno di questi files in
C:\WINDOWS\
syst32.dll
syshost.dll
mdm32.dll
winsmgr32.dll


- volevo chiedere un aiuto sull'utilizzo di killbox o deleterdr
(cioè come agire dopo averli aperti) perche non mi sono fidato ad usarli
per paura di creare danni al pc dell'ufficio in cui lavoro
che si è infettato.. (ora scrivo da casa)
- una cosa ancora... i file dll elencati mi confermate che non devono
esserci per stare ok..?

grazie 1000 (e un saluto particolare ad Andorra24 anche se non potrà risp magari)

buone cose a tutti!

[andorra24]

Originariamente inviato da wGesù
salve..
(mi scuso se riporto di nuovo questa pagina di Andorra24... ma mi sono "arenato" qui.. )


Vai su start/risorse del computer/strumenti/opzioni cartella/visualizzazione e metti la
spunta su visualizza cartelle file nascosti e togli la spunta da ''nascondi i file protetti di
sistema (consigliato)''.

Controlla se hai il seguente file: C:\WINDOWS\service32.exe

Se lo trovi fai questo procedimento:

vai su START - ESEGUI e digita regedit

Si apre l'editor, clicchi sui + accanto alle singole voci di questo percorso:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\policies\Explorer\Run

e cancella la chiave 1 = C:\WINDOWS\service32.exe (click col destro e scegli Elimina)

Chiudi il registro e riavvia il pc.

Scarica killbox: http://killbox.net/downloads/KillBox.exe
con killbox elimina il seguente file:
C:\WINDOWS\service32.exe
dopo averlo eliminato andrai ad eliminare il secondo file:
C:\WINDOWS\IEXPLORE32.DLL

Per sicurezza controlla anche l'eventuale presenza di qualcuno di questi files in
C:\WINDOWS\
syst32.dll
syshost.dll
mdm32.dll
winsmgr32.dll


- volevo chiedere un aiuto sull'utilizzo di killbox o deleterdr
(cioè come agire dopo averli aperti) perche non mi sono fidato ad usarli
per paura di creare danni al pc dell'ufficio in cui lavoro
che si è infettato.. (ora scrivo da casa)
- una cosa ancora... i file dll elencati mi confermate che non devono
esserci per stare ok..?

grazie 1000 (e un saluto particolare ad Andorra24 anche se non potrà risp magari)

buone cose a tutti!

wGesù ma tu hai i files citati nel mio post? Hai controllato in C:\WINDOWS\ quali files tra quelli elencati ti ritrovi? Per quanto riguarda killbox e' molto semplice da usare. Per eliminare con killbox il file service32.exe fai cosi:

Apri KillBox
inserisci all'interno della stringa bianca questo percorso:
C:\WINDOWS\service32.exe
metti la spunta alla voce "Delete on Reboot", clicca sul bottone con una X bianca a sfondo rosso. Come vedi e' molto semplice.