Ciao a tutti, questo è il mio primo post.
Si, sono l'ennesima vittima di Gromozon/LinkOptimizer.
Ma prima di tutto, a mò di presentazione, una premessa telegrafica.
Non sono un frequentatore "attivo" di forum: di solito trovo le info che mi servono nelle guide e nei topic già aperti.
Non sono un esperto, anzi a dirla tutto il più delle volte mi sembra un traguardo già capire i passaggi minimi e far partire un programma.
Con questo virus sono andato da solo finchè ho potuto, ma ora mi servirebbe un pò d'aiuto su come proseguire nella procedura di rimozione, e visto che c'è sempre qualcuno disponibile e gentile fino all'inverosimile anche con i "cap'e'ciuccio" come me vi provo a spiegare la mia situazione.
Firefox mi dava in continuazione i msg di errore Shockwave e Flash. Fra le connessioni ne vedo a un tratto una con un nome strano. La elimino. Cerco qualche info, trovo in Document and Settings un profilo utente con lo stesso nome strano e lo cancello manualmente.
Cancello il profilo anche dalla finestra Account (esegui: conrol userpasword2, mi sembra).
Continuo a informarmi e cerco di scaricare i tool Prev e Sym, incontrando le difficoltà comuni a molti altri "infetti": chiusura imporvvisa dei browser, impossibilità di accedere ai siti che ospitano i file e ai forum che ne parlano, ecc.
Alla fine li lancio, ecco i dettagli:
1) Prev
Removal tool loaded into memory
------------------------------------
Executing rootkit removal engine....
------------------------------------
Disabling rootkit file: \\?\C:\WINDOWS\system32\lpt1.pmc
\\?\C:\WINDOWS\system32\lpt1.pmc
Resetting file permissions...
Clearing attributes...
Accesso negato - C:\_cleaned.tmp
Removing file...
Rootkit removed! Cleaning up...
Removing temp files...
Scanning: C:\WINDOWS
Scanning: C:\Programmi\File comuni
Gromozon-Related Malicious Code Detected!
FileName: C:\WINDOWS\yhgpe1.dll
>>>Error: File C:\WINDOWS\yhgpe1.dll could not be removed - it will be removed on the next reboot.
Trojan.Gromozon Removed!
2) Sym
Symantec Trojan.Linkoptimizer Removal Tool 1.0.8
service: QnJKP (logon as: .\MxBQVa, passed filters)
Trojan.Linkoptimizer has not been found on your computer.
Faccio altre scansioni con Sophos Antirootkit, F-Secure Blacklihgt: non segnalano niente. Faccio una passata con CureIt e con un anti spyware (avg). Niente.
Gmer però non mi parte in nessun modo, nè cambiando nome nè in modalita' provvisoria. Provo a scaricare da altre due fonti con il nome già cambiato (usando un altro pc), ma il rislutato è sempre lo stesso.
Rilancio il tool prev: niente, ma eseguo comunque una scansione completa.
Faccio una scansione con VirIt aggiornato, che mi trova ed elimina il Bho e non trova nient'altro.
Hijackthis non c'è verso di farlo partire: anche qui le ho provate tutte: col nome cambiato, scaricandolo da più fonti, ecc. No way.
Gmer uguale: non va.
ANALISI dopo questi primi tentativi (in base a quanto indicato nella vs guida)
Non ho più l'utente con nome strano in Document and Settings.
Ho controllato con myinstaller e non ho un'installazione chiamata LinkOptimizer o negli altri modi indicati dalle guide che ci sono in giro.
Non ho dll nascoste in c:\Windows.
Non ho file nascosti con estensione exe, dll o temp in c:\Programmi nè in c:\Windows\Temp.
Mi rimangono sul pc:
Nei Servizi - QnJKP associato a ./MxBQVa, che è lo stesso nome dell'utente nascosto, con tipo di avvio Automatico. Ma non è attivo.
Dalle Proprietà di questo servizio vedo il percorso del file eseguibile:
c:\Programmi\WindowsNT\mGFkHr.exe. Vado a vedere e nella stessa cartella c'è anche
c:\Programmi\WindowsNT\kjFiRn.exe.
Entrambi sono in verde (criptati? se mi ricordo bene dalla guida...).
Adesso dovrei usare Gmer e Hijackthis per postare un log ma non mi parte nessuno dei due...
E per finire, ogni volta che provo anche solo a digitare gmer o hijackthis su un motore di ricerca qualsiasi mi si chiude il browser.
Un'altra cosa strana: facendo tasto destro/proprietà sulla dll di gmer (c:\windows\gmer.dll) si chiude la finestra. Sembra che tutto quello che sia collegato al nome o al programma venga bloccato immediatamente.
E qui che mi fermo, perchè un pò la disinstallazione manuale mi spaventa (non è il mio pc personale, non vorrei fare un casino), anceh perchè nella spiegazione si fa rifimento a file e parti del virus che io non ho/non sono capace di trovare (si, l'ho attivata la visualizzazione dei file nascosti).
Qualcuno mi consiglierebbe come andare avanti? Qualsiasi proposta mi sarebbe di grande aiuto.
Madonna, ho scritto un casino. Spero di essere stato chiaro.
Grazie.
In allegato provo a mettere gli screenshot di cartelle e contenuti, magari servono, visto che non posso postare log di hjt e gmer.
Rispondi quotando
....ma poi lui ha incasinato tutto. Mi spiego. 
, che ripristini anche i file infetti 
, nella cartella presente in C:\Programmi\Regseeker non vi sia anche l'altro backup, il primo.
spero d'essere stato abbastanza chiaro, se ti serve altro chiedi pure..
