Rootkit - Physicaldrive0

[sghemonfox]

Ciao a tutti....

Quando accendo il computer compare questo messaggio
MBR : \\\PHYSALDRIVE0

E' un virus perché Avast lo segnala ma non riesco ad eliminarlo

Qualcuno sa dirmi che tipo di virus è e sopratutto come devo comportarmi?

Ciao e grazie a tutti in anticipo.....

[amvinfe]

ciao,

vedi se può esserti utile questo altro 3d

http://forum.html.it/forum/showthrea...readid=1228696

[sghemonfox]

Ciao grazie e, come da tuo consiglio, ho fatto come da consigli sull'altro post....
qui di seguito quello che ho scritto di la ma al momento ancora non ho risolto.... aspetto una risposta e poi ti faccio sapere.... Grazie.

Quando accendo il computer compare questo messaggio
MBR : \\\PHYSALDRIVE0

E' un virus perché Avast lo segnala ma non riesco ad eliminarlo

ho seguito le indicazioni che avete dato a Stomer82.
Lanciato AVG Antirootkit... non trovato nulla.
Disattivato ripristino e fatta scansione completa in modalità provvisoria con Avast: nulla
Scaricato mbr.exe.
Disattivato Avast e Lanciato Mbr,
Questo è il Log:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
MBR rootkit code detected !
malicious code @ sector 0x98a412b size 0x1cb !
copy of MBR has been found in sector 62 !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.

Ora non ho capito l'ultima operazione che ha fatto Stomer82 e cioè - inserito comando da prompt - .... come si fà?

[amvinfe]

Sposta l'seguibile (mbr.exe) in C:\

Da Start>Esegui scrivi

C:\mbr.exe -f

dai l'OK

Riavvia il pc, allega il responso del tool.

[sghemonfox]

ciao fatto come mi hai consigliato....
ecco il risultato:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
MBR rootkit code detected !
malicious code @ sector 0x98a412b size 0x1cb !
copy of MBR has been found in sector 62 !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.
original MBR restored successfully !

Ho riavviato e non mi è uscito più l'avviso di Avast riguardo al Rootkit...

N.B. Però ho un problemino e non so se dipende da questo...
Aprendo il TAsk Manager mi appare solo la finestra degli utenti attivi senza i tasti in alto (processi prestazioni ecc ecc) e mi rimane sempre in vista non potendolo chiudere.. Bohh che sarà?
Grazie grazie...

[amvinfe]

scarica sul desktop
http://www.suspectfile.com/systemscan
aprilo ed assicurati che tutte le opzioni siano spuntate, clicca su "Scan Now" al termine della scansione verranno rilasciati (sempre sul desktop all'interno della cartella suspectfile) due file. Portati in
http://www.freefilehosting.net/index.cfm
carica il file con estensione .zip e scrivi, nella tua prossima risposta, l'URL per scaricare il file.


Ricordati d'effettuare la scansione senza connessione attiva e con l'antivirus disabilitato salvo poi riattivarlo a scansione terminata.

NB
la durata della scansione può risultare lunga, potrebbe addirittura sembrare che il programma non stia lavorando, non preoccuparti non è così

[sghemonfox]

Ciao.. Prima di tutto vorrei ribadire i miei ringraziamenti x l'aiuto che ci date....
Allora fatto come mi hai consigliato, ecco il link:

Direct Link
http://www.freefilehosting.net/download/3fcf7

Non so se ti occorrono ma ti metto pure l'Html Code e il Link Forum :
15_04_2008_13_59_report.zip

15_04_2008_13_59_report.zip
Grazie, aspetto tue notizie....

[amvinfe]

Non connesso e con l'antivurs disabilitato

Apri SystemScan>Clicca su "Removal Script".
Allinterno del box bianco copia ed incolla i valori riportati qui sotto in rosso:

Files to delete:
C:\WINDOWS\temp\bca4e2da.$$$
C:\WINDOWS\temp\fa56d7ec.$$$
C:\DOCUME~1\Nico\IMPOST~1\Temp\r1570536896.exe
C:\DOCUME~1\Nico\IMPOST~1\Temp\r3868008218.exe
C:\DOCUME~1\Nico\IMPOST~1\Temp\r3900206184.exe
C:\DOCUME~1\Nico\IMPOST~1\Temp\r4094750115.exe

ora clicca su "Proceed with removal".

Il pc dovrebbe riavviarsi da solo, diversamente riavvialo manualmente

Portati in C:\ postami il contenuto del log generato da Avenger (avenger.txt)


NB
hai un pvt urgente.

Grazie

[sghemonfox]

Come sempre grazie....
Fatto come mi hai consigliato solo che al momento del riavvio il pc si è bloccato ed ho dovuto staccare la spina... al secondo riavvio tutt'ok.

Ho appena provato a riaprire il task ed il problema sussiste ancora....

Ti allego la risposta....

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Service s\qbwciiet

*******************

Script file located at: \??\C:\obbwhrsk.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\temp\bca4e2da.$$$ deleted successfully.
File C:\WINDOWS\temp\fa56d7ec.$$$ deleted successfully.
File C:\DOCUME~1\Nico\IMPOST~1\Temp\r1570536896.exe deleted successfully.
File C:\DOCUME~1\Nico\IMPOST~1\Temp\r3868008218.exe deleted successfully.
File C:\DOCUME~1\Nico\IMPOST~1\Temp\r3900206184.exe deleted successfully.
File C:\DOCUME~1\Nico\IMPOST~1\Temp\r4094750115.exe deleted successfully.
Program C:\Documents and Settings\Nico\Desktop\sys30941.exe successfully set up to run once on reboot.

Completed script processing.

*******************

Finished! Terminate.

N.B provvederò subito a fare ciò che mi hai consigliato nel pvt... Grazie millle

[eraser]

Se il task manager ti si vede così, allora prova a cliccare due volte con il tasto sinistro del mouse sulla parte grigia della finestra (il bordo intorno)