Aiutamici Forum
Benvenuto Ospite Cerca | Topic Attivi | Utenti | | Log In | Registra

CRASH GRAVE DI SISTEMA DOPO PULIZIA REGISTRO... Opzioni
g.seveso
Inviato: Sunday, December 08, 2013 12:12:02 PM

Rank: AiutAmico

Iscritto dal : 10/4/2000
Posts: 43
Windows 7 Pro 64 bit - portatile Toshiba Satellite L750D
Ho incautamente eseguito una pulizia del registro del portatuile di mia moglie con Quicksys RegDefrag 2.9 (che su un altro PC non mi ha mai dato problemi).
Al riavvio il disastro..! Ho provato con tutte le soluzioni proposte all'avvio. E' anche impossibile il "Ripristino a una condizione precedente" in quanto non è possibile selezionare il disco di sistema C:
Del resto ho visto che il programma di risoluzione di Windows propone il drive X: che non sapevo nemmeno esistesse-
L'unica alternativa sembra essere ricaricare Windows tramite Toshiba HDD Recovery, cancellando dunque tutti i dati e i programmi.
AIUTO! C'è qualcosa da tentare prima di perdere 6 mesi di lavoro? A tanto infatti risale l'ultimo backup su hdk esterno.
Grazie per una indicazione o consiglio!
Un marito disperato! Brick wall
GIORGIO
Sponsor
Inviato: Sunday, December 08, 2013 12:12:02 PM

 
r16
Inviato: Sunday, December 08, 2013 4:18:57 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Ciao.
Proviamo questa carta della disperazione:

Possiedi una pennetta formattata?

Se sì, scarica nella pennetta questo file:

Installa la versione adatta al tuo Sistema Operativo (32 bit oppure 64 bit )

http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/

Inserisci la Pendrive nel Pc infetto.
Avvia il pc in Modalità provvisoria. (f8)
Attenzione: NON devi entrare in Modalità provvisoria ma.....

Cliccare su Ripristina il computer tra le opzioni disponibili (in alto)

Seleziona la lingua
Seleziona il tuo account
Saranno ora disponibili le seguenti opzioni

Commenta:
Ripristino all'avvio / Startup Repair
Ripristino configurazione di sistema / System Restore
Ripristino immagine di sistema / Windows Complete Pc Restore
Strumento di diagnostica memoria Windows / Windows Memory Diagnostic Tool
Prompt Dei Comandi / Command Prompt


Seleziona Prompt Dei Comandi

Nel Prompt dei Comandi scrivi notepad e premi Invio.

Si aprirà un file di testo
Nel menu in alto clicca file e seleziona Apri.

Cerca la lettera a cui è riferita la pennetta usb.

Questa operazione serve per verificare con certezza quale lettera è assegnata alla pennetta.

Una volta identificata la lettera della pennetta:

Nel Prompt dei comandi digita E:\frst.exe dove E è la lettera che è stata assegnata alla tua Pendrive, per cui nel comando sostituisci E con la lettera a cui si riferisce la pennetta usb.
Attenzione: il tuo S.O è a 64 bit, per cui devi digitare :
E:\frst64.exe (devi cambiare E con la lettera della pennetta)
Clicca Invio

Il tool si avvierà.
Clicca Yes per accettare le condizioni di contratto.
Premi su SCAN.
A scansione finita, verrà prodotto un log sulla pendrive stessa, chiamato FRST.TXT
Postalo qui.

Per postare il log:

Collegati ad internet e vai alla pagina WikiSend:
http://www.wikisend.com/
Clicca sul bottone "Sfoglia"
Seleziona il file appena salvato
Clicca su Upload file
Dopo qualche secondo, vieni spostato su una nuova pagina con il link in diversi formati:
Download Link / Forum Link
Seleziona Forum Link, copialo e incollalo in un nuovo messaggio per il forum.


g.seveso
Inviato: Sunday, December 08, 2013 6:11:50 PM

Rank: AiutAmico

Iscritto dal : 10/4/2000
Posts: 43
ecco:
FRST.txt

Non ho capito granché, comunque grazie...
fax71ita
Inviato: Sunday, December 08, 2013 6:37:55 PM

Rank: AiutAmico

Iscritto dal : 4/23/2010
Posts: 3,838
Se l' operazione proposta dal amico r16 non dovesse andare a buon fine , ti consiglio di far partire una live linux e recuperi tutti i dati (il tuo lavoro di 6 mesi) su pennetta o hard disk esterno

g.seveso
Inviato: Sunday, December 08, 2013 6:42:42 PM

Rank: AiutAmico

Iscritto dal : 10/4/2000
Posts: 43
Grazie fax71ita, temo però di non sapere che cos'è una "live linux". Come si fa? Grazie ancora...
r16
Inviato: Sunday, December 08, 2013 7:16:20 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
@g.seveso:
Il pc è infetto dal rootkit "Zero Access".
Se hai un po di pazienza lo si può rimettere in sesto. (anche se sarà difficile)
Seguiranno istruzioni.

Scarica questo file nella pennetta:

http://wikisend.com/download/567232/fixlist.txt

Avvia FRST e clicca su FIX.

Attendi la fine della scansione.
Posta il file fixlog.txt.
Vedi se il pc si riavvia normalmente.
g.seveso
Inviato: Sunday, December 08, 2013 10:04:36 PM

Rank: AiutAmico

Iscritto dal : 10/4/2000
Posts: 43
Applause GRAZIE MILLE caro r16 ... Ho seguito passo passo le tue indicazioni e inc redibilmente ora ha ricominciato a funzionare tutto! Sei grande! Non so come fare a postare il file Fixlog.txt. La cosa migliore è che te lo copio qui. Ancora mille grazie e grazie a AIUTAMICI.COM !



file Fixlog.txt:

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 08-12-2013 02
Ran by SYSTEM at 2013-12-08 20:27:05 Run:1
Running from Y:\
Boot Mode: Recovery
==============================================

Content of fixlist:
*****************
start
HKLM-x32\...\Winlogon: [Userinit] [x]
HKLM-x32\...\Winlogon: [Shell] [0 ] () <=== ATTENTION
HKLM\...\InprocServer32: [Default-wbemess] ATTENTION! ====> ZeroAccess?
HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox] ATTENTION! ====> ZeroAccess?
HKLM\...\.exe: <===== ATTENTION!
HKLM\...\exefile\DefaultIcon: <===== ATTENTION!
HKLM\...\exefile\open\command: <===== ATTENTION!
LastRegBack: 2013-11-30 05:14
end



*****************

HKLM\Software\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon\\Userinit => Value was restored successfully.
HKLM\Software\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell => Value was restored successfully.
HKLM\Software\Classes\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32\\Default => Value was restored successfully.
HKLM\Software\Classes\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InprocServer32\\Default => Value was restored successfully.
HKLM\Software\Classes\.exe\\Default => Value was restored successfully.
HKLM\Software\Classes\exefile\DefaultIcon\\Default => Value was restored successfully.
HKLM\Software\Classes\exefile\shell\open\command\\Default => Value was restored successfully.
DEFAULT hive was successfully copied to System32\config\HiveBackup
DEFAULT hive was successfully restored from registry back up.
SAM hive was successfully copied to System32\config\HiveBackup
SAM hive was successfully restored from registry back up.
SECURITY hive was successfully copied to System32\config\HiveBackup
SECURITY hive was successfully restored from registry back up.
SOFTWARE hive was successfully copied to System32\config\HiveBackup
SOFTWARE hive was successfully restored from registry back up.
SYSTEM hive was successfully copied to System32\config\HiveBackup
SYSTEM hive was successfully restored from registry back up.

==== End of Fixlog ====
r16
Inviato: Monday, December 09, 2013 5:31:38 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Ciao.
Per un controllo completo segui le indicazioni di questo link:
http://forum.aiutamici.com/yaf_postst90814_Guida-per-eliminare-le-pagine-pubblicitarie-SOLO-LETTURA.aspx
Mi serve sopratutto i log di OTL.
Fai anche le altre scansioni, che male non faranno.
Posta i log come hai fatto con FRST. (con wikisend)
g.seveso
Inviato: Tuesday, December 10, 2013 9:15:13 AM

Rank: AiutAmico

Iscritto dal : 10/4/2000
Posts: 43
Grazie caro r16,
farò senz'altro tutti i controlli che dici. Volevo prima chiederti un consiglio. Dato che so esattamente quando mi è entrato il maledetto "0 Acess" (cioè quando ho caricato il maledetto Quicksys RegDefrag) pensavo di fare un ripristino sistema da un Punto di ripristino anteriore, ora che - grazie a te! - il portatile ha ripreso a funzionare normalmente. Cosa ne pensi? Prima di farlo aspetterò il tuo parere. Grazie ancora...
r16
Inviato: Tuesday, December 10, 2013 6:09:53 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
g.seveso ha scritto:
Dato che so esattamente quando mi è entrato il maledetto "0 Acess" (cioè quando ho caricato il maledetto Quicksys RegDefrag) pensavo di fare un ripristino sistema da un Punto di ripristino anteriore, ora che - grazie a te! - il portatile ha ripreso a funzionare normalmente. Cosa ne pensi? Prima di farlo aspetterò il tuo parere. Grazie ancora...

Ciao.
Sai quando hai preso Zero Access, ma non sai se e quanti punti di ripristino, può avere infettato.
Quando il virus entra nella cartella dei ripristini, può infettare TUTTI i punti, oppure può infettarne alcuni (dipende da come è programmato).
E' molto facile (anzi sicuro) che quando infetta i punti di ripristino, siano antecedenti alla data in cui hai preso l'infezione.
E d'altronte chi lo ha programmato non è uno stupido: sà che anche in caso di eliminazione del virus, può contare su un "ripristino " da parte dell'utente.
Io non te lo consiglio un Ripristino.
Il rischio di far "resuscitare" il virus è molto alto.
Anzi, in una bonifica andata bene, è obligatorio eliminare TUTTI i punti di ripristino, proprio per evitare che l'utente successivamente possa (per qualsiasi motivo) fare un ripristino.
Si ritroverebbe ancora infetto.
Il mio consiglio è non lo fare.....poi se il rischio è il tuo mestiere.....Whistle
g.seveso
Inviato: Tuesday, December 10, 2013 8:30:51 PM

Rank: AiutAmico

Iscritto dal : 10/4/2000
Posts: 43
Urca..! Allora ho fatto bene ad aspettare la tua risposta. Ok, stanotte farò tutti i passi che mi hai indicato, e ti farò sapere. Ancora grazie (Ma cosa diavolo ci guadagnano questi programmatori di virus? Quando il mio PC non funziona più... non funziona più e basta. A loro cosa gliene viene?)
A proposito: prima di eliminare TUTTI i punti di ripristino aspetterò di averti postato ciò che dici.
Un saluto
r16
Inviato: Tuesday, December 10, 2013 9:54:54 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Commenta:
A proposito: prima di eliminare TUTTI i punti di ripristino aspetterò di averti postato ciò che dici.

Aspetta che te lo dica io quando eliminarli.
g.seveso
Inviato: Wednesday, December 11, 2013 12:14:00 AM

Rank: AiutAmico

Iscritto dal : 10/4/2000
Posts: 43
Ecco qui gli url dei log che risultano dalle scansioni. Ho eseguito i quattro programmi nell'ordine da te indicato. Aspetto fiducioso una parola di speranza...

mbam-log-(10-26-05).txt

.txt]AdwCleaner[R1].txt

.txt]AdwCleaner[S0].txt

JRT.txt

OTL.Txt

Extras.Txt






r16
Inviato: Wednesday, December 11, 2013 6:05:05 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Ciao.
Tutto bene.

I log non presentano infezioni.

L'unica cosa che non quadra, è che hai scaricato Malwarebytes Pro invece che free.
La versione Pro, è la versione a pagamento, e ti scadrà fra 30 giorni.
Inoltre è in "tempo reale", e anche se non ho visto nessun antivirus installato, potrebbe rallentarti l'avvio del pc.
Il mio consiglio è di tenerlo installato finchè non installerai un antivirus, dopo di che, è meglio disistallarlo e scaricare la versione gratis:

http://it.malwarebytes.org/products/malwarebytes_free


Segui questo percorso ed elimina la cartella FRST:

C:\FRST

Segui quest'altro percorso ed elimina la cartella in rosso: (la conosci vero ? Angel )

C:\Program Files (x86)\Quicksys

Cestina JRT che hai sul desktop.

Apri Adwcleaner e clicca su Uninstall.
Si disistallerà Adwcleaner.

Apri OTL e clicca su CleanUP.
Si disistallerà OTL.
Ti chiederà il riavvio: acconsenti.

Al riavvio, fai una pulizia con CCleaner (registro compreso)

Disattiva il ripristino configurazione di sistema.

Riavvia il pc.

Riattiva il ripristino configurazione di sistema, e crea un punto di ripristino, che ti potrà essere utile in futuro.

Se il pc funziona bene abbiamo finito.
g.seveso
Inviato: Wednesday, December 11, 2013 6:59:17 PM

Rank: AiutAmico

Iscritto dal : 10/4/2000
Posts: 43
OTTIMO - Ho seguito passo passo anche questo step e sembra che tutto funzioni a meraviglia! Non ho parole per ringraziarti di nuovo, per la tua comperenza e per la cortesia... GRAZIE.
Come antivirus ho messo Microsoft Security Essential. Il Malwarebytes Pro l'avevo già e me l'ha accettato anche sul portatile con lo stesso Codekey - Li terrei montati entrambi... faccio bene? Ancora grazie, auguri e buone feste...
r16
Inviato: Wednesday, December 11, 2013 8:12:00 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Commenta:
Il Malwarebytes Pro l'avevo già e me l'ha accettato anche sul portatile con lo stesso Codekey - Li terrei montati entrambi...

Se ti trovi bene e non riscotri problemi, li puoi tenere entrambi.
Buone feste anche a te.
Ciao!
Utenti presenti in questo topic
Guest


Salta al Forum
Aggiunta nuovi Topic disabilitata in questo forum.
Risposte disabilitate in questo forum.
Eliminazione tuoi Post disabilitata in questo forum.
Modifica dei tuoi post disabilitata in questo forum.
Creazione Sondaggi disabilitata in questo forum.
Voto ai sondaggi disabilitato in questo forum.

Main Forum RSS : RSS

Aiutamici Theme
Powered by Yet Another Forum.net versione 1.9.1.8 (NET v2.0) - 3/29/2008
Copyright © 2003-2008 Yet Another Forum.net. All rights reserved.