ciao ragazzi
sono una nuova iscritta
il mio nod32 di punto in bianco mi ha mostrato "finestra rossa" avvisandomi di un certo
MEBROOT.CA e non può in nessun modo eliminarlo...
il pc sembra funzionare correttamente ma già mi sembra un pò lento!!
Cosa mi è capitato??
ciao

Ciao purtroppo si tratta di un TROJAN che si insedia nel MASTER BOOT RECORD del pc il suo nome puo essere anche SINOWAL, se utilizzi il sistema di BANCA online evita di inserire dati sensibili fino a quando un esperto ti dara' consigli come eliminarlo.

ciao r16 e grazie mille per l'aiuto, uso windows xp professional SP2..dai vostri commenti sembra un brutto cliente, eccovi il file di testo che ho trovato in c:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.6 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\ACPI -> 0x81c125a0
\Driver\atapi -> 0x81f19ad8
\Device\Harddisk0\DR0 -> ParseProcedure -> 0x81c19060
NDIS: Scheda Fast Ethernet VIA compatibile -> SendCompleteHandler -> 0x81c793a0
Warning: possible MBR rootkit infection !
copy of MBR has been found in sector 0x0FFFAC44
malicious code @ sector 0x0FFFAC47 !
PE file found in sector at 0x0FFFAC5D !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.

PER r16:

ho lanciato gmer da c: in mod provv come indicato da te nel precedente post!
poi ho riavviato e rifatto gmer per crearmi il log...giusto? era questa la sequenza; l'unica cosa è che gmer non mi ha chiesto il salvataggio del log quindi non ho potuto rinominare il log con mbr2 come da te suggerito; comunque ho notato che il log era diverso dal precedente quindi penso che sia questo l'ultimo e quello corretto:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.6 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 0x0FFFAC44
malicious code @ sector 0x0FFFAC47 !
PE file found in sector at 0x0FFFAC5D !

Volevo farti anche notare che nod32 ha smesso di visualizzarmi la finestra "rossa" di allarme virus...
ma non sò se significhi che il problema sia risolto!

ciao

Eccomi qua r16
allora ho fatto tutto come mi hai suggerito
questo è il file generato con Wikisend:

report.txt

attendo nuove notizie,ciao a presto

Non so se sei d'accordo r16 ma io gli farei installare anche il service pack3.Scusa l'intromissione.
Ciao pakky benvenuta in aiutamici.

Allora r16
ho fatto tutto!!! Fino al service pack3...
questo eil log di hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15.14.29, on 11/09/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16876)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tiscali.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [egui] "C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Programmi\Eset\nod32krn.exe (file missing)
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 3502 bytes

ciao fammi sapere...

ok..meno male...
siete stati gentilissimi e disponibilissimi!
Mi avete risolto un bel problema...
voi fate parte di quei pochi siti utili della rete, vista l'immondizia che circola!!!!
Faccio le ultime operazioni e ..se non mi sentirete vorrà tutto ok!!!
Ciao e grazie ancora

Scarica MBR.EXE direttamente nella Directory C:\ (è importante che venga scaricato in C:\ )
http://www2.gmer.net/mbr/mbr.exe
Clicca Start

Clicca Esegui...

Digita: cmd

si apre la finestra DOS, digita: CD \

premi invio

digita: mbr -f (fai il copia-incolla)

premi invio

Poi digita: exit

premi invio

Riavvia il pc

Posta qui il contenuto del log C:\mbr.log

Fai una nuova scansione con Systemscan e posta il log.

Ciao fazzo72 .
Il pc dovrebbe avere anche delle altre infezioni.
Apri un nuovo topic, (per evitare confusione) e ti seguirò lì.