Ciao a tutti

già un anno fa avevo un problema (MBR rootkit) e grazie a voi l'ho risolto alla grande senza "spargimenti di sangue.

Ora il problema è sul PC della mia ditta.
Una workstation collegata alla rete aziendale
Antivirus PANDA centralizzato sul SERVER e non installato direttamente sul mio PC.

Oggi mentre navigavo BOOM e schermata Blu:
mi diceva BAD POOL HEADER

al riavvio è partito "windows Securtiy alert" che finge di scansionaermi il PC
no nriesco a fare niente, nemmeno ad interromperlo con TaskManager (che non riesco ad aprire)

ora ho avviato in modalità provvisoria ....... ma non so cosa fare

sto facendo la scansione con MalWareBytes (scaricato e aggioranato)


se qualcuno ha volgia e tempo di aiutarmi gliene sarei grato


spero di risolvere il problema senza formattare e senza coinvolgere il sistemista della mia ditta ..... (perchè è scarso e per evitare le sue lamentele in direzione ....)

ecco il log di MalawareBytes


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Versione database: 6847

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

13/06/2011 16.39.26
mbam-log-2011-06-13 (16-39-26).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi esaminati: 243732
Tempo trascorso: 24 minuti, 57 secondi

Processi infetti in memoria: 0
Moduli di memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Voci infette nei dati di registro: 4
Cartelle infette: 0
File infetti: 3

Processi infetti in memoria:
(Non sono stati rilevati elementi nocivi)

Moduli di memoria infetti:
(Non sono stati rilevati elementi nocivi)

Chiavi di registro infette:
(Non sono stati rilevati elementi nocivi)

Valori di registro infetti:
(Non sono stati rilevati elementi nocivi)

Voci infette nei dati di registro:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDesktop (PUM.Hidden.Desktop) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\NoChangingWallpaper (PUM.Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (PUM.Hijack.TaskManager) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (PUM.Hijack.TaskManager) -> Bad: (1) Good: (0) -> No action taken.

Cartelle infette:
(Non sono stati rilevati elementi nocivi)

File infetti:
C:\Documents and Settings\tec1.FORNARA\Impostazioni locali\Temp\FC.exe (Trojan.FakeAlert) -> No action taken.
C:\Documents and Settings\tec1.FORNARA\Impostazioni locali\Temp\FD.dll (Trojan.FakeAlert) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\16506660.exe (Trojan.Agent) -> No action taken.



ho eliminato tutti i file che diceva e ora riavvio

(nel frattempo disabilito l'opzione "punto di ripristino")

Ciao, si r16 è il nostro esperto in questa sezione, puoi seguire quelle istruzioni e posta qui i log, poi vediamo.

dopo aver fatto nuovamente MalwareBytes in modalità provvisoria, gli ho fatto eliminare dalla cartella
C:\Documents and Settings\All Users\Dati applicazioni
il file che diceva

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Versione database: 6847

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

13/06/2011 17.13.55
mbam-log-2011-06-13 (17-13-55).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi esaminati: 235496
Tempo trascorso: 22 minuti, 8 secondi

Processi infetti in memoria: 0
Moduli di memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Voci infette nei dati di registro: 0
Cartelle infette: 0
File infetti: 1

Processi infetti in memoria:
(Non sono stati rilevati elementi nocivi)

Moduli di memoria infetti:
(Non sono stati rilevati elementi nocivi)

Chiavi di registro infette:
(Non sono stati rilevati elementi nocivi)

Valori di registro infetti:
(Non sono stati rilevati elementi nocivi)

Voci infette nei dati di registro:
(Non sono stati rilevati elementi nocivi)

Cartelle infette:
(Non sono stati rilevati elementi nocivi)

File infetti:
C:\Documents and Settings\All Users\Dati applicazioni\16572196.exe (Trojan.Agent) -> No action taken.




sono entrato anche io nella cartella e ho trovato un altro .exe che non c'entrava niente e l'ho eliminato
STiHfQsWqJ.exe
così pure una serie di file senza estenzione che avevano dimensione 1kb
16506660 16572196 ecc ecc

e ho riavviato.
il PC è partito ma è lentissimo e il menù Start (per esempio) è senza programmi ...

ho porvato a salvare TDSSKILLER sul desktop e avviarlo ... ma non parte.
lo faccio in modalità provvisoria ???

I PC AZIENDALi sono sempre una "rogna".

Comunque:
Scarica OTL by Oldtimer

http://oldtimer.geekstogo.com/OTL.exe

Esegui il file OTL.exe
(Dopo aver eseguito OTL, sui sistemi Windows 7 e Windows Vista si dovrà rispondere in modo affermativo alla comparsa del messaggio di avviso di UAC.)

Metti la spunta nelle caselle:
Scan all users (lo trovi in alto)
Processes: Use safe list
Services: Use safe list
Standard Registry: All
Modules: All
Drivers: All
Clicca sulla freccettina di File Age e seleziona 60 Days
Seleziona All alle voci "Files created within" e "File modified within"


Clicca su Run scan
Lascia che il programma, venga eseguito, senza interruzioni.
Finita la scansione, OTL produrrà due file di log (OTL.txt ed Extras.txt), memorizzati nella medesima cartella del programma.

Posta i log con :
http://www.wikisend.com/

Niente.
Visto che non si riesce a fare la scansione con Combofix, per il Panda, che non puoi disattivare, provo con OTL, sperando che riesca la scansione.
In base al log di OTL, si potranno eliminare le voci infette che troverò, mediante script.

segnalo un altra cosa che ho notato ora (non so se serve ..)
da task manager vedo che tra le applicazioni in corso c'è "WindowsMediaPlayer" e anche un "rundll"
in realtà io non ho aperto nessuno dei due programmi. Se provo a chiudere MediaPlayer mi dice
"il programma non si puo' chiudere perchè è in attesa di input dall'utente ..."

ciao
da oggi, per collegarmi a internet devo entrare in modalità provvisoria. Se ci provo dopo un avvio normale I.E. sembra partire, ma poi non si vede, e il desktop non ricompare +.

cmq ho fatto come mi hai detto, anche se dopo aver lanciato il programma con il codice che mi hai indicato ... mi sono accorto che ero ancora in modalità provvisoria. devo rifarlo in modalità normale?

ecco il log
06152011_085319.log

Anche dopo questo che mi hai fatto fare, I.E. non va. per vedere i tuoi consigli dovrò sempre rientrare in modalità provvisoria, temo.

per ora ti ringrazio

altre note:
quando chiudo windows mi dice che non riesce a chiudere il programma AutoComplete


(avevo aggiornato il database di Malaware (al 13/6/2011). ora scarico anche versione aggiornata del programma)

Ciao R16,

L’impostazione LAN era già spuntata.
Descrivo meglio il problema: quando clicco su I.E. si apre la finestra ma poi prima sparisce l’icona sulla banda a fondo pagina e poi sparisce del tutto anche la finestra del programma senza che si sia caricato nemmeno google.it
Lunedì e martedì invece riuscivi a navigare, a parte il fatto che mi apriva spesso pagine che non volevo e nella cronologia c’erano un sacco di siti che io manco avevo visto visualizzarsi sullo schermo ……

Va bè, magari si sistemerà poi anche questo con il resto (spero!)

Ieri ho scaricato e aggiornato Mbam (versione 1.51 – database del 15giu11 – n°6860). E’ la seconda volta che lancio la scansione e che non trova nessun file sospetto. (quindi non ti posto nemmeno il log……)

Ho scaricato il programma che hai detto: ecco il log:

aswMBR version 0.9.6.399 Copyright(c) 2011 AVAST Software
Run date: 2011-06-16 09:44:05

---

09:44:05.218 OS Version: Windows 5.1.2600 Service Pack 3
09:44:05.218 Number of processors: 8 586 0x1706
09:44:05.218 ComputerName: PRECISION-T5400 UserName: tec1
09:44:05.765 Initialize success
09:44:12.718 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1
09:44:12.734 Disk 0 Vendor: Hitachi_ P21O Size: 76293MB BusType: 3
09:44:12.796 Disk 0 MBR read successfully
09:44:12.812 Disk 0 MBR scan
09:44:12.828 Disk 0 unknown MBR code
09:44:12.859 Disk 0 scanning sectors +156232125
09:44:12.906 Disk 0 scanning C:\WINDOWS\system32\drivers
09:44:20.171 Service scanning
09:44:22.718 Disk 0 trace - called modules:
09:44:22.750 ntoskrnl.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0x891be1ed]<<
09:44:22.765 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x89b9c030]
09:44:22.796 3 CLASSPNP.SYS[f7637fd7] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-1[0x89b80030]
09:44:22.812 \Driver\iastor[0x89baa680] -> IRP_MJ_INTERNAL_DEVICE_CONTROL -> 0x891be1ed
09:44:22.843 Scan finished successfully
09:44:43.953 Disk 0 MBR has been saved successfully to "C:\Documents and Settings\tec1.FORNARA\Desktop\MBR.dat"
09:44:43.984 The log file has been saved successfully to "C:\Documents and Settings\tec1.FORNARA\Desktop\aswMBR.txt"





Ciao e grazie
(purtroppo andiamo a rilento perché alla sera quando porti le risposte io sono a casa …. E non posso portarmi con me il computerone infetto ……… mi spiace tenerti in ballo così tanto tempo ……)

Fai quest'altraprova:

Start\ pannello di controllo\ connessioni di rete
clicca con il tasto destro del mouse sulla tua connessione.
seleziona Proprietà.
doppio click su "Protocollo Internet(TCP/IP)
metti la spunta a "ottieni indirizzo server DNS automaticamente".
Clicca OK.
Riavvia il pc.

Se non funziona:
Apri IE
Strumenti.
Opzioni Internet
Avanzate
Clicca su "Reimposta".
E poi ancora su Reimposta.

Qui il problema è il Panda che non permette fare le scansioni che vorrei.
Apri OTL:
Sotto "Custom Scans\Fixes" copia-incolla questo codice:



Clicca su Run scan
Lascia che il programma, venga eseguito, senza interruzioni.
Posta il log