Olimpo Informatico

[webmasterone]

niente
Combofix ha rilevato sospetta attvità rootkit
riavviamo............

[R16]

Scarica TDSSKiller.zip sul desktop:
link
Estrai i dati in una cartella e fai doppio clik su TDSSKiller.exe
clicca su "Start Scan"
Se trova qualche infezione di default avrai l'opzione "Cure" per cui, clicca su "Continue".
Se un file sospetto viene trovato,l'azione di default sarà skip,clicca su "Continue".
Se è richiesto il riavvio, acconsenti. (per eliminare l'infezione è necessario riavviare il pc)
Se nessun riavvio è richiesto clicca su report e salva il contenuto in un file di testo.
Il log lo trovi in C:\
Postalo qui.

Per ultimo:
Segui le istruzioni di questo topic per usare Systemscan:
http://forum.zeusnews.com/viewtopic.php?p=210548#210548

Posta i log con le solite modalità.

N.B:
Disistalla Combofix.

[webmasterone]

TdsKiller non ha trovato niente
TDSSKiller.txt

Systemscan
ecco il log
01_05_2011_00_00_report.zip

[webmasterone]

[R16]

Avrei voluto che eliminassi Combofix, prima di fare la scansione con Systemsca.... ma la colpa è mia che non te l'ho detto.
Comunque elimina Combofix con OTC by OldTimer.
Dammi il tempo di analizzare Systemscan.

[webmasterone]

allora aspetta un attimo
faccio ancora un po' di pulizia
rimuovo combofix
e riavvio system scan
poi ti riallego qui i log

[R16]

Ciao Web.
Quando è finita la scansione di Systemscan, (non postare il log) esegui queste indicazioni:
Avvia nuovamente SystemScan

Metti il segno di spunta a I have read and agree. Please let me free to proceed e clicca su Proceed

clicca su Removal Script .

Nel riquadro inserisci il seguente script: (fai il copia-incolla)

[webmasterone]

[webmasterone]

nel frattempo ho fatto anche una scansione con rootkitrevealer di sysinternals (link)

questo è il risultato:
HKU\S-1-5-21-436374069-1957994488-1801674531-1003\Console 01/05/2011 16.13 0 bytes Security mismatch.
HKU\S-1-5-21-436374069-1957994488-1801674531-1003\Console\%SystemRoot%_system32_cmd.exe 01/05/2011 16.13 0 bytes Security mismatch.
HKLM\SECURITY\Policy\Secrets\SAC* 16/04/2011 17.01 0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI* 16/04/2011 17.01 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN 16/04/2011 23.32 0 bytes Security mismatch.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\CertMapping 16/04/2011 23.32 0 bytes Security mismatch.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Client 16/04/2011 23.32 0 bytes Security mismatch.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Listener 16/04/2011 23.32 0 bytes Security mismatch.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Plugin 16/04/2011 23.32 0 bytes Security mismatch.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Service 16/04/2011 23.32 0 bytes Security mismatch.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\WinRS 16/04/2011 23.32 0 bytes Security mismatch.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\WinRS\CustomRemoteShell 16/04/2011 23.32 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000001 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000002 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000003 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000012 30/04/2011 23.38 0 bytes Security mismatch.
HKLM\SOFTWARE\Swearware\backup\winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000013 30/04/2011 23.38 0 bytes Security mismatch.
F: 01/01/1601 2.00 0 bytes Error mounting volume
G: 01/01/1601 2.00 0 bytes Error mounting volume
K: 01/01/1601 2.00 0 bytes Error mounting volume
L: 01/01/1601 2.00 0 bytes Error mounting volume

[webmasterone]

Ecco, perfetto !!!

ora chissà come mai non mi legge tutti e 4 gli hd esterni...
se ci clicco in esplora risorse, mi dice che non sono formattati, se li voglio formattare?
ovviamento ho detto NO

che succhede ?

si è risputtanato il MBR ?
profo a rifare il FixMBR ?

eppure me li vede tutti con MBR WinXp ?????

Size Device Name MBR Status
--------------------------------------------
1863 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A
931 GB \\.\PhysicalDrive2 RE: Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A
931 GB \\.\PhysicalDrive3 RE: Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A
931 GB \\.\PhysicalDrive5 RE: Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A
931 GB \\.\PhysicalDrive4 RE: Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A
465 GB \\.\PhysicalDrive1 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A

[R16]

Ciao.
Io ti voglio dare solo un mio parere, poi, il pc è tuo, e farai quello che vuoi.
A mio avviso, non c'è nessuna infezione.
Non ci si deve basare, solo su quello che dice Combofix.
D'accordo che è un programma formidabile, ma anche lui, non è esente da bug, e qualche "cantonata" la prende pure lui.
Quando dice che rileva attività rootkit, è troppo generico.
Ci sono anche file, del tutto legittimi, che agiscono "da rootkit".
Poi, le altre scansioni che abbiamo fatto, sono risultate prive di una qualche infezione attiva. (compreso l'MBR, che hai riscritto)
Le eliminazioni fatte, non erano infezioni, ma "rimasugli" di software di terze parti.
Per cui, se il pc và bene, e non presenta nessun problema, non vedo la necessità di formattare.
Poi, mettiamo che formatti, e ti togli lo sfizio di fare una scansione con Combofix, e ti dice che "rileva attività del tubo" cosa fai, formatti di nuovo?
Poi come detto sopra, il pc è tuo.

[webmasterone]

ok,
dammi solo una mano adesso a risistemare gli hd esterni....
se perdo i dati sono rovinato...


cosa mi suggerisci di fare ?

[R16]

Cosa hanno gli HD esterni?
Che problemi ti procurano?

[webmasterone]

come ho scritto poco fa, nonostante MbrCeck li veda tutti e 4 con MBR WinXp
nonostante li vedo tutti e quattro in esplora risorse
nonostante li vedo tutti e quattro in gestione disco (Come : Layout Partizione, Tipo Di Base, file system non marca niente, a differenza degli altri che vengono segnati come NTFS, Stato Integro (attivo) per tree, solo Integro un altro)
se ci clicco sopra mi dice che non sono formattati, e mi chiede se voglio formattare

ovviamente dico di no

che è successo ?

ho provato a scollegarlo, e collegarlo ad altro pc, dove ho 7, ma anche luio non vede il contenuto, e mi chiede se voglio formattarlo.....

[R16]

Hai spostato i file che ti ho detto nel cestino?
Se sì, prova a ripristinarli, e riavvia il pc.

[webmasterone]

no, non li avevo ancora cancellati....

[R16]

Deve essere successo qualcosa, quando hai riscritto l'MBR sulle periferiche.
Intanto ti consiglio di salvare i dati da qualche altra parte. (CD o DVD).
Poi, non essendo il mio campo,devo fare qualche ricerca.

[webmasterone]

è quello che penso anche io...

salvare i dati... e come , se non li vedo ?
;(

ho letto questo 3d

[R16]

Ho editato il tuo post.
E' vietato postare link di altri siti.
In ogni caso devi reperire qualche software che ti recupera quei dati.

[webmasterone]

chiedo scusa, non ci pensavo.
sono leggermente in ansia per i miei dati...
scusa ancora