Olimpo Informatico

[Maffu]

Salve, il mio pc è impazzito.

Intanto vi do le informazioni base:
Windows XP sp3
Kaspersky antivirus 2010
Spybot

Cominciamo a spiegare:
Il primo problema che si è verificato è stato l'apertura incontrollata di finestre di avviso di errore di applicazione, o immagine danneggiata, per tutto quello che aprivo, seguito da avvisi di database obsoleti, e problemi di chiave, di kaspersky (avevo ancora il 2009). Il tutto mi costringeva a chiudere e riavviare in modalità provvisoria.
Le scansioni di Kav, spybot, Hijackthis, e i vari programmi di riparazione del registro non mi segnalavano nulla.
Report Combofix

In seguito ho disinstallato e reinstallato (con riavvii nel mentre) kaspersky 2010, e i problemi di applicazione non si sono più verificati, ma In compenso ci sono cmq altri problemi:
dice che sta per scaricare un file "STSF.tmp" e mi chiede di selezionare il programma per leggerlo, ho trovato il file e l'ho eliminato in modalità provvisoria.
In contemporanea al download intruso si sono verificati problemi con la connessione, ovvero mi dice che è connesso ma non va internet, e se provo il ripristino mi dice che è impossibile.
Appena si accende il pc, inoltre, ci sono problemi di applicazione con Spybot, che viene chiuso all'istante.
In modalità provvisoria però funziona tutto normale, anche internet..
(mentre provavo a sistemare ha fatto un giorno che non andava più il mouse..finchè non ho reinstallato kaspersky).

Eccovi i report:
Combofix
Hijackthis

Grazie, attendo fiduciosa una risposta

[bdoriano]

Ciao Maffu,

nel primo log di combofix si nota che ha eliminato diversi intrusi.
Adesso mi controllo anche gli altri logs che hai postato e poi vediamo il da farsi.

[Maffu]

Ok! ho fatto la scansione online con Eset e anche quello mi ha eliminato una cosa..
Grazie XD

[Maffu]

Ehm..non mi ricordo se l'avevo scritto..ma cmq..a forza di insistere e ignorare i vari errori firefox è partito, in compenso msn e tt le chat non vanno, dice che c'è un problema di ip..eppure l'antivirus non è attivo, e anche se la connessione per firefox va se provo a ripristinare mi dice che è impossibile.. o.o me non capisce..

[bdoriano]

Ciao Maffu,

scusa, mi sono dimenticato di te... ma rimediamo subito.
Hai un'infezione da MBR Rootikit

1. Scarica questo programma e salvalo in C:\
   
2. Clicca Start
   
3. Clicca Esegui...
   
4. Digita:

   Codice:

   cmd

   
   
   
5. Clicca su ok
   
6. si apre la finestra DOS, digita:
   

   Codice:

   CD \

   
   premi invio
   
7. digita:
   

   Codice:

   mbr -f

   
   premi invio
   
8. digita:
   

   Codice:

   exit

   
   premi invio
   
   
9. Riavvia il pc
   
10. Posta qui il contenuto del log C:\mbr.log

Esegui una nuova scansione con Combofix.

[Maffu]

ok, fatta la scansione..ho cambiato mbr.log, in mbr.txt per copiare il testo:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Ora faccio la scansione con Combofix in modalità provvisoria.

[Maffu]

Ecco il report di combofix:

log3.txt

[bdoriano]

Stranamente, il log di combofix ripresenta l'infezione da MBR rootkit...

Segui la guida per utilizzare la console di ripristino, in particolare, usa il comando fixmbr come descritto qui.
Dopodiché, rifai la scansione con combofix e posta il log. Ricordati che i logs vanno caricati su uno dei servizi di hosting indicati in questa discussione.