Olimpo Informatico

[Danielix]

Ciao ragazzi, il computer dei miei figli piccoli ha preso Sality (qui il report di VirusTotal).
Si presenta come un collegamento a un programma per MS-DOS, di nome bbmwk.pif, piazzato nella root di C:\ e con proprietà di file nascosto e file di sistema (per Bdo e R16: chiaramente ce l'ho e se vi serve ve lo passo alla solita maniera ).

Dopo qualche ricerca in Rete ho scoperto che è una bestiolina veramente dannosa e soprattutto difficile da rimuovere, e che l'unica maniera per riuscirci è usare un apposito tool di Kaspersky: SalityKiller.
L'ho scaricato, e dopo averlo lasciato lavorare in pace una mezz'oretta, a suo dire ha totalmente bonificato il computer.

Effettivamente dopo il riavvio sembrava non esserci alcuna anomalia, peccato però che adesso quando cerco di entrare in C:\ (da Risorse del computer) mi appare questo:

Simpatico, vero?
E non c'è verso di entrare in C, e quindi in Programmi o Windows.
Ora, siccome:

[bdoriano]

Ma ciao Dan!

Potresti usare Kaspersky Rescue Disk per fare una scansione da esterno.

Ovviamente, sai già come inviarmi la bestiolina, vero?

[R16]

[bdoriano]

Sono andato a documentarmi un pochetto e, giusto per promemoria, lascio qualche indicazione.

Il virus Sality è particolarmente rognoso e, in caso di presenza di pc in rete, cerca di infettare anche gli altri pc. Inoltre, disabilita eventuali antivirus e infetta anche i files di sistema.

Prima di procedere con la rimozione è d'obbligo disconnettere dalla rete il pc infetto.

Alcune pagine con i tools utilizzabili:

• Kaspersky
  
• AVG
  
• Norton
  
• McAfee

Dopo la rimozione, è obbligatorio controllare i files di sistema con l'apposito comando (es.: sfc /scannow).

[bdoriano]

Ancora meglio, in questo caso, utilizzare uno dei CD live disponibili:

• Kaspersky Rescue CD
  
• Avira AntiVir Rescue System
  
• AVG Rescue CD
  
• Dr.Web® LiveCD

Solo per citarne qualcuno

[Danielix]

[R16]

edit.

[bdoriano]

[Danielix]

Aggiornamento:
ho scaricato Kaspersky Rescue CD e bruciato in CD, l'ho lanciato sulla macchina dei piccoli e... ha trovato 375 tra trojan e virus!
Non ho neppure cliccato su 'Disinfetta': domani vado di format e chi s'è visto s'è visto.

Una curiosità che forse può interessarvi: il virus Sality, oltre a infettare immediatamente qualsiasi chiavetta usb appena inserita, fa una cosa estremamente maligna: in C:\ mette un file autorun.inf con le istruzioni per lanciare all'avvio un file che crea sul momento sempre in C:\, entrambi con la proprietà "Nascosto", e quando da 'Opzioni cartella' tu metti la spunta su "Visualizza file e cartelle nascosti", li vedi, li elimini (usando Unlocker poiché sono "in uso") ma immediatamente non vedi più i file nascosti, ossia rimette la spunta su "Non visualizzare file e cartelle nascosti"!
Allora tu vai di nuovo su 'Opzioni cartella', rimetti la spunta su visualizza e... ci trovi di nuovo il file autorun.inf e un altro file con un nome ogni volta random.
Puoi fare questo giochino mille volte, e mille volte ricompare un file con un nome diverso e il suo bravo autorun.inf per lanciarlo

Mi piacerebbe allora (giusto per curiosità e sfida) sapere dove si trova fisicamente il virus, e nei processi non c'è...

E mi piacerebbe sapere anche come mai, con 375 tra virus e trojan, quel Pc non dà alcun problema: tutto funziona regolarmente...

[bdoriano]

Puoi postare il log dell'elenco dei files trovati infetti?

Magari c'è qualcosa di interessante...

[Zeus]

Comunque i virus si prendono anche senza scaricare software strani... le vulnerabilità di sistema operativo, browser e applicazioni varie (office, acrobat, flash, ecc.) e via dicendo sono sempre più numerose.

[Danielix]

Sì, infatti... qualcosa è successo...

@ bdo & R16:
triste notizia, amici miei: avendo per le mani il cd di Kaspersky Rescue CD mi son detto "massì, facciamo una scansione al mio, giusto per", e il risultato è triste e curioso al contempo: mi ha trovato 3 file infetti (uno .exe e due .pif), tutti e tre identificati come Virus Sality.
La parte curiosa è che me li ha trovati solo esclusivamente dentro un punto di ripristino, che ho provveduto ad eliminare subito.
Ora, so bene che la prima cosa che fa un malware dopo aver infettato un computer è posizionarsi dentro ai punti di ripristino, ma nel mio caso i tre file erano solo lì! O almeno, Kaspersky non ha rilevato null'altro... Che significa??

[R16]

Ciao Dan.

[bdoriano]

[Danielix]

[bdoriano]

Se Sality trova una cartella condivisa in rete, va a lasciare il suo ricordino.
Anche nell'utilizzo di macchine virtuali si è soliti usare cartelle condivise per scambiare files.
Quindi, è probabile che ci sia traccia del virus nel pc reale... ma dovrebbe essere solo una traccia (a meno che non venga condivisa una cartella di sistema del pc reale o, peggio ancora, l'intero disco).

[R16]

Ciao Dan.
Gli stessi file che ho trovato nel mio.
Chiariamo subito: io li ho buttati nel cestino.
E restano lì, finchè non mi convinco che sono legittimi.
Oppure finchè il pc non mi dia qualche problema per entrare nel Prompt dei comandi. (cosa non successa fino adesso.)
Non dimentichiamo, che il "balordo" agisce anche con finestre DOS, e aprendo MSDOS_default (1 dei 3 file trovati) mi dà una strana finestra Dos.
Non collegata a nessun programma. (le "Proprietà" indicano un generico "Windows")

Sarebbe interessante se bdoriano facesse una ricerca su un XP pulito, e con la funzione "Cerca" trovasse i file .pif nella nostra stessa posizione.

Solo allora, rischio di ripristinarli dal cestino.

[Danielix]

[bdoriano]

Affidabilità tra buona e ottima.

Nell'elenco ho dimenticato di menzionare l'ottimo Bitdefender rescue cd.
Giusto come prova del 9...

Un antivirus on-demand?
Potresti installare Avira Free e cambiare le impostazioni della Realtime protection per avviarla solo in fase di lettura.
Un'ottima alternativa è BitDefender Free, ma non so ancora dirti come configurarlo (devo trovare il tempo di giocarci).

Dimenticavo: sembra che anche Emsisoft Anti-Malware rappresenti una buona alternativa.

[R16]