Olimpo Informatico

[RAIN84]

Ciao a tutti, il mio portatile è infettato da un fastidiosissimo finto antivirus che si chiama MS Removal Tool. Sul forum a quanto pare sono il primo ad avere questo problema... ho fatto una scansione con Malwarebytes Anti-Malware in modalità provvisoria, sono stati trovati 7 file infetti e li ho eliminati, questo qui è il log:

mbam-log-2011-04-30 (19-21-52).txt

purtroppo però il problema persiste, cosa posso fare? spero che qualcuno mi aiuti

[R16]

Edit

[bdoriano]

Ciao RAIN84,

Ri-esegui la procedura in questo ordine:

1. Disabilita il tuo antivirus
   
   
2. Scarica rkill da uno dei links seguenti (è lo stesso programma con nomi diversi):
   rkill.com
   rkill.exe
   rkill.scr
   eXplorer.exe
   iExplore.exe
   WiNlOgOn.exe
   uSeRiNiT.exe
   (se non dovesse funzionare il primo, procedi con i successivi)
   
   
3. salvalo sul desktop e avvialo
   se non dovesse funzionare al primo colpo, ritenta nuovamente (magari scaricando uno dei files rinominati).
   
   
4. dovrebbe comparire una finestra DOS:
   

   Citazione:

   Rkill by Lawrence Abrams (Grinler) BleepingComputer.com Terminating known malware process. Please be patient.

   
   al termine, la finestra verrà chiusa e comparirà una finestra con un log contenente un elenco dei processi terminati dal rkill.
   
   
5. Segui le istruzioni di questo topic per usare MBAM. Carica il log su WikiSend e posta il Forum Link che ti viene assegnato.

[RAIN84]

Grazie per la risposta velocissima bdoriano, avevo dimenticato però di dire che non riesco più ad avviare nessun programma... e di conseguenza neanche questo! infatti MBAM l'ho usato in modalità provvisoria... che mi consigli?

[R16]

In attesa di bdoriano, puoi provare a eseguire le sue indicazioni in Modalità provvisoria con rete

[RAIN84]

Benone, grazie anche a te R16! ecco i due log...

rkill.log

mbam-log-2011-04-30 (19-21-52).txt

pare siano state tolte alcune cose, al riavvio ho dovuto fare un controllo di coerenza e per il momento il problema c'è ancora...

[R16]

Segui queste indicazioni:
Apri Internet Explorer.
Clicca su: Strumenti"
Opzioni Internet.
Connessioni.
Impostazioni LAN.

Sotto: "Server proxy" Togli la spunta a:
"utilizza un server proxy per le connessioni lan".

Clicca OK.

In questo modo,Internet Explorer dovrebbe funzionare.

Ripristiniamo il file Hosts:
Scarica questo tool ed eseguilo seguendo le indicazioni a video:
link
Riavvia il pc.

Rifai la scansione completa con Malwarebytes, in Modalità normale.
Posta il log.

[RAIN84]

IE funziona, è l'unica che funziona! infatti quella voce sul server proxy non ha la spunta.

Ho provato ad eseguire il tool, sempre in modalità provvisoria, ma mi dice che non è possibile effettuare l'istallazione a causa dei criteri impostati dall'amministratore del sistema.

[R16]

Ma scusa, non riesci a operare in Modalità normale?
Puoi fare scansioni in Modalità normale?
Se sì esegui queste indicazioni: (in Modalità normale)
Scarica TDSSKiller.zip sul desktop:
link
Estrai i dati in una cartella e fai doppio clik su TDSSKiller.exe
clicca su "Start Scan"
Se trova qualche infezione di default avrai l'opzione "Cure" per cui, clicca su "Continue".
Se un file sospetto viene trovato,l'azione di default sarà skip,clicca su "Continue".
Se è richiesto il riavvio, acconsenti. (per eliminare l'infezione è necessario riavviare il pc)
Se nessun riavvio è richiesto clicca su report e salva il contenuto in un file di testo.
Il log lo trovi in C:\
Postalo qui.

[RAIN84]

No come avevo detto all'inizio in modalità normale non riesco ad eseguire nessun programma

[R16]

Allora prova a fare quella scansione in Modalità provvisoria.

[RAIN84]

Eccola, ma non ha trovato niente...

TDSSKiller.2.4.21.0_01.05.2011_01.05.23_log.txt

[bdoriano]

• Scarica questo programma (OTL) e salvalo sul desktop
  
• Doppio click sull'icona di OTL per avviarlo
  
  
• Metti il segno di spunta su Scan All Users
  
• Clicca il bottone Quick Scan
  
• Aspetta pazientemente fino al termine dei lavori
  
• Verranno creati 2 logs:
  
  • OTListIt.txt (ridotto a icona)
    
  • Extra.txt (ridotto a icona)
  
  
• Carica entrambi i logs su wikisend e posta i forum links che ti verranno assegnati

[RAIN84]

Ecco fatto...

OTL.Txt

Extras.Txt

naturalmente sempre in modalità provvisoria altrimenti non c'era verso.

[bdoriano]

Si, tranquillo, dò per scontato che lavoriamo esclusivamente in modalità provvisoria.

Avvia nuovamente OTL
Nel riquadro Custom Scans/Fixes incolla le righe seguenti:

[bdoriano]

Dimenticanza...

Utilizza questo script al posto di quello precedente...

Avvia nuovamente OTL
Nel riquadro Custom Scans/Fixes incolla le righe seguenti:

[RAIN84]

Oops, avevo già fatto tutto col primo script... e la situazione è notevolemte migliorata, i programmi si aprono tutti correttamente e non ci sono più gli avvisi di MS Removal Tool.

Ora che faccio col secondo script che mi hai dato? posso usarlo come mi hai detto senza problemi?

[bdoriano]

No, procediamo in maniera diversa.
Praticamente, il virus ha modificato il file hosts di Windows che va ripristinato per evitare nuove infezioni.

Scarica questo file sul desktop e avvialo.

Dopodiché, scarica quest'altro file (tasto destro, salva con nome) e salvalo nella directory C:\Windows\System32\Drivers\etc\.

Al termine, fai questa scansione con Norman Malware Scanner.

[RAIN84]

Mmmmmh il primo file quando lo avvio si chiude immediatamente... è normale? provo in modalità provvisoria?

[bdoriano]

Tranquillo, è corretto.
Scusami, mi sono dimenticato di specificarlo.

Puoi procedere con il resto.