Olimpo Informatico

[Silent Runner]

Ho trovato questo trojan che mi è apparso mentre scaricavo materiale da un sito non sospetto; faccio prima a mostrare lo screenshot che a trascrivere tutto.
Domandina: vado con la correzione o messa in quarantena o rischio di bloccare tutto il sistema come è già successo con AVG perché a essere messo in quarantena è magari un file di sistema?


Attendo fiducioso.

[Anny]

ciao silent - vedo che lo rileva nel system restore - prova a disabilitare il ripristino configurazione di sistema - cancellerà tutti i punti di ripristino presenti - poi fai un nuovo scan con l'AV per controllare se viene ancora rilevato il Trojan Crypt.MKB - se è a posto - riabilita il ripristino configurazione di sistema - fai un riavvio per creare un nuovo punto di ripristino e per sicurezza ripeti di nuovo uno scan con l'AV.

[Silent Runner]

Ok, chiarissimo ed esaustivo.

Dal momento che non sono esperto di sicurezza la mia domanda essere superlativamente retorica.
Il fatto è che desidero capire bene "se ho capito bene".

Tutto questo devo farlo, suppongo, senza necessariamente aver cancellato o rimosso il trojan tramite i comandi dell'antivirus.

Dal momento che è nel System restore, se non ho capito male, dopo aver ovviamente disabilitato il punto di ripristino, il trojan verrà cancellato al momento del riavvio o con l'eventuale sovrascrittura del nuovo punto di ripristino.

Ho posto questa domanda perché in effetti non so se l'atto di disabilitare il punto di ripristino lo cancelli o lo lasci privo di credenziali per l'utilizzo, come qualsiasi file dopo lo svuotamento del cestino.

Ma questa è un'altra faccenda, pura curiosità.

Grazie Anny.

[Anny]

provo a spiegare silent - il ripristino funziona in questo modo - vengono memorizzate diverse info - per fare degli esempi - quando fai gli aggiornamenti - quando installi o aggiorni programmi - e via dicendo - disabilitata la funzione - tutti quelle informazioni - che a lungo andare occupano anche spazio su disco - vengono rimosse - questo non significa però - in caso di presenza di un virus sul pc - che ha infettato anche il system restore - che disabilitandolo - si elimina con certezza assoluta il virus - ma quella è una parte che potrai vedere dopo - ovvero se il problema persiste - ecco perché è necessaria almeno una scansione dopo aver disabilitato il ripristino - e se tutto è a posto - a quel punto lo riattivi.

[Silent Runner]

Oddio, non ricordo più dove si disabilita il punto di ripristino...
La guida in linea di Win è peggio della Biblioteca di Babele..

Edit:
Mmh.. ho appena visto che c'è qualcosa in Start > Programmi > Utilità di sistema> ripristino configurazione di sistema..
devo togliere la spunta da "ripristina uno stato precedente del computer e poi cliccare su avanti?
...O che altro?"?

Aspetta.. Ho visto che c'è qualcosa sotto "impostazioni ripristino configurazione del sistema" > disattiva configurazione ecc... c'è da spuntare la casella e riavviare?

Mannaggia non mi ricordo più come si fa...

[Anny]

se hai win XP:
Start - tasto dx su Risorse del Computer - Proprietà - scheda Ripristino configurazione di sistema - spunta la voce Disattiva Ripristino configurazione di sistema – Applica – OK

se hai win VISTA:
Start - Pannello di controllo - sistema e manutenzione - scegli Sistema – a sx clicca Protezione sistema - togli la spunta ai dischi da disattivare – Applica - OK

[Silent Runner]

Ok, grazie! Avevo dimenticato una cosa importante.. il PC è in rete domestica, suppongo di doverlo staccare dalla rete ...non è così?

Edit:
no, c'è qualcosa che non va.. sono rimaste aperte alcune cartelle e al riavvio sono tornate di nuovo e non si possono chiudere.. nemmeno prima si potevano chiudere......

Edit:2
Non ho capito se devo consentire all'antivirus se cancellare o meno i vari trojan (adesso me ne ha segnalati tre, suppongo in altrettanti punti di ripristino sui 3 HDD presenti nel PC.. ah ho win XP, scusami non lo avevo detto)

[Anny]

[Anny]

[Silent Runner]

[Anny]

Qui la cosa si complica - adesso non escludo nulla - quindi che il pc sia davvero infetto - fai una cosa - inzia a seguire questo procedimento - tra quelle che ho visto sul forum è il più corretto - o almeno è quello che indicherei - a grandi linee - anche io - almeno per iniziare - leggi il 4° post in questo topic - allegami tutti i log - e vediamo cosa viene fuori.
2 domande silent - stupide - ma serve per capire - e eventualmente per dopo:
1) i software di terze parti - tipo Adobe Flash Player - Adobe Reader - Javasun - sono tutti aggiornati alla ultima release?
2) so che come AV usi AVG - è aggiornato alla versione 9?

[Silent Runner]

Ciao.

Allora.. AVG non l'ho ancora aggiornato perché ho scoperto solo oggi che esiste la versione 9 che ho installato su questo PC; per quello infetto lo farò domattina appena acceso: le versioni dei programmi che mi hai indicato dovrebbero essere le ultime ma domattina verificherò.

Non sapendo se hai letto l'ultima aggiunta sul precedente post, lo ripeto per sicurezza:

[Anny]

[Silent Runner]

Uh, l'ho già installato prima di leggere questo tuo avviso...

..Vabbé, adesso aggiorno i programmi che mi hai indicato.. e prima, manipolando la barra delle applicazioni (in basso), sono sparite le cartelle misteriosamente apparse. Non so che diavolo sia successo perché ho provato a togliere e rimettere la spunta su "barre degli strumenti" Desktop e su non ricordo cosa..


Un'ultima cosa per ora..
All'avvio del PC è un po' di tempo che appare un avviso di errore che dice:

[Anny]

ciao silent - scusa se non ho risposto prima - ma oggi ho ripreso la scuola - (con la mia gamba ingessata) - ecco la procedura da fare:

1 - apri Task Manager e termina WZCSLDR2.exe

2 - rimuovere la cartella:
C:\ programmi\ANI

3 - rimuovere la cartella:
C:\Programmi\InstallShield Installation Information\{4C590030-7469-453E-8589-D15DA9D03F52}

4 - rimuovere la cartella:
C:\Programmi\InstallShield Installation Information\\ par

5 - da Regedit rimuovere le seguenti chiavi:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ANIWZCS2Service

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall

HKEY_LOCAL_MACHINE\Software\ANI

Link alla fonte procedura

ma prima - leggi anche questo - e vedi se può corrispondere - ho anche letto in rete - che capita che con quel nome può mascherarsi un malware - vedi la prima procedura che ti ho indicato - fammi sapere se risolvi - poi cerchiamo di capire che cosa può essere successo davvero al pc.

EDIT:

silent - R1 in un pm mi ha fatto notare - giustamente - una cosa - prima di fare il passaggio che ti ho detto - creati un punto di ripristino di sistema nuovo - cosi - se si crea un problema con la connessione wireless - puoi tornare indietro.

[Silent Runner]

Grazie, non preoccuparti per aver risposto non immediatamente, non c'erano scadenze! Piuttosto mi spiace per la tua gamba.. Spero che non sia una cosa troppo fastidiosa, riabilitazione compresa.

Per quanto riguarda il file WZCSLDR2.exe ora che mi ricordo (per la verità me lo hai ricordato tu indicando gli eventuali problemi di wireless) questo è venuto fuori quando ho disinstallato la chiavetta wireless per quel PC collegandolo direttamente via cavo attraverso la LAN.

...E per quanto riguarda la questione del punto ripristino.. ma non l'ho già fatto riabilitandolo, spuntando l'apposita casella dopo aver compiuto i vari passaggi che mi avevi indicato?

[FDACCC]

Esegui questa scansione:
Scarica ed installa MalwareBytes:
clicca qui per il download : http://download.cnet.com/Malwarebytes-Anti-Malware/3000-8022_4-10804572.html?part=dl-10804572&subj=dl&tag=button
Prima di fare la scansione AGGIORNALO. (è molto importante)
Esegui una scansione completa del sistema.
Elimina i file che vengono rilevati.
Posta il log.

[Anny]

[Silent Runner]

No, ci provo domani pomeriggio, ho troppo lavoro da fare su altri PC.

Per la fifa non ti preoccupare, se ti piace sciare non sarà lei a vincere!
E' successo anche a me andando a cavallo. Non mi sono rotto niente ma le prime volte è stata dura!

E ti confesso che mi accade lo stesso (avere fifa) quando devo mettere le mani su un PC che, in caso di blocco, mi fa saltare il lavoro per parecchie ore se non giorni.
Ecco perché stupidamente continuo a rimandare alcune operazioni di controllo quando appaiono problemi misteriosi o di non facile identificazione.
Una potenziale infezione in fondo è abbastanza facile da definire grazie ai programmi che si trovano in rete ma non tutto quello che appare sullo schermo è necessariamente il prodotto di un virus o un trojan. Per me, già mettere le mani sul file di registro, è come cercare di disinnescare una bomba con innesco a vibrazione, mentre si ha una crisi di singhiozzo.

Comprendo la grande diffidenza delle generazioni che si sono avvicinate a queste meravigliose macchine in età adulta. E' una paura preventiva ma in sostanza non è molto diversa da quella più razionale che può avere chi si è rotto una gamba sciando o cadendo da cavallo.

Non sono mai caduto da un cavallo ma da un PC sì. Ovviamente in senso metaforico.
Chissà come andrà a finire?
Staremo a vedere chi vince.

Grazie di tutto.

[Anny]