Olimpo Informatico

[R16]

Fai la scansione (normale) con FRST.
Posta il log.
Probabilmente ci sono altre infezioni oltre quelle segnalate.

[profiteroles]

log

link

[profiteroles]

niente

sta volta ancora peggio perchè la schermata bloccata mi esce subito

anche dopo aver fixato e riavviato

[R16]

Non ci siamo capiti.
Volevo una scansione con FRST come la prima che hai fatto.
Quella che mi dà il resoconto dello stato del pc.

[profiteroles]

ok eccola

si scusami rispondo in ritardo quindi non ci troviamo tra risposte e domande

link

speriamo bene

[R16]

Abbi un po di pazienza che me lo leggo per bene.

[R16]

L'infezione si trova sull'Editor del Registro.

[profiteroles]

si questa volta si

mi funziona in modalità provvisoria

[R16]

Bene.
Fai queste operazioni:
Start\Esegui\digita:regedit e poi ok.
Clicca sul + di HKEY_LOCAL_MACHINE
Clicca sul + di SOFTWARE
Clicca sul + di Microsoft
Clicca sul + di Windows NT
Clicca sul + di CurrentVersion
Scorri finchè trovi la cartellina Winlogon.
Clicca una volta, sopra la cartellina Winlogon.
Nella pagina a destra, (quasi a fondo pagina) troverai:
Userinit.
Fai Doppio click su Userinit.
Si apre una finestrella, con scritto: C:\WINDOWS\system32\userinit.exe, (virgola compresa)
Confermi?

Nella stessa pagina, fai doppio click su Shell
Si apre una finestrella, con scritto:
Explorer.exe
Confermi?

[profiteroles]

si

[R16]

Allora, da Modalità provvisoria, fai una scansione completa con Malwarebytes.
Non importa se non è aggiornato.
Dimmi quali infezioni trova . (se le trova.)
Ovviamente le elimini.

N.B:
Non uscire dalla Modalità provvisoria,se non prima che venga eliminato il virus.
Con la funzione "Cerca" di Windows, vai nella cartella Esecuzione Automatica e lì dovrebbe trovarsi il "bastardo".
Scrivimi quali file si trovano in tale cartella.
Questa operazione la puoi fare PRIMA della scansione di Malwarebytes.

[profiteroles]

è possibile che le cartelle siano vuote?

mi escono 4 cartelle di esecuzione automatica, due del menu di avvio

tutte vuote tranne una che ha dei collegamenti ma sono programmi hp e del modem che uso

[R16]

[profiteroles]

se scrivo esecuziine automatica mi escono le seguenti 4 cartelle più un file
c:windows/media e ha il simbolo audio

c:documents and settings/administrator/menu avvio/programmi vuota

c:documents ande settings/administrator.laptop/menu avvio/programmi vuota


c:doc and settings/allusers/menu avvio/programmi e contiene hp digital imaging monitor e sitecom wireless utility

c:doc and settings/mio nome/menu avvio/programmi vuota

[R16]

Ok.
Il virus non si trova lì.

Dopo avere eliminato quello che troverà Mbam, fai questa scansione:

Scarica TDSSKiller.zip sul desktop:
link
Estrai i dati in una cartella e fai doppio clik su TDSSKiller.exe
Clicca su "Change parameters"
Metti la spunta sulle caselline: verify driver digital singatures e poi Detect TDLFS file system .
Conferma cliccando OK.
Poi clicca su "Start Scan"
Se trova qualche infezione di default avrai l'opzione "Cure" per cui, clicca su "Continue".
Se un file sospetto viene trovato,l'azione di default sarà "skip",clicca su "Continue".
Se è richiesto il riavvio,(Reboot) acconsenti. (per eliminare l'infezione è necessario riavviare il pc)
Se nessun riavvio è richiesto clicca su report e salva il contenuto in un file di testo.
Il log lo trovi in C:\
Postalo qui.

[profiteroles]

ciao mbam non mi ha trovato niente

l'altro antivirus 12 elementi

ecco il log

non mi ha chiesto di riavviare il pc

http://wikisend.com/download/311086/TDSSKiller.2.7.37.0_24.05.2012_09.44.05_log.txt

[profiteroles]

niente da fare

è un incubo

ho tenuto tutta la notte il pc acceso in modalità provvisoria in attesa di fare scansioni

si è tolta la corrente e si è riavviato quindi con l'accensione normale è tornato tutto come prima

sempre medesima schermata

anche dopo aver fatto quindi l'ultima scansione

[profiteroles]

ciao se vado in utilità configur sistema ho visto che l.ipotetico virus era in una cartella nascosta in documents and settings e come percorso è in HKLM SOFTWARE MICROSOFT E IN HKCU SOFTWARE MICROSOFT

[R16]

[profiteroles]

si mi riferivo a quel programma. Cmq ho avast come antivirus e risulta bloccato. Non so se è dovuto al fatto che sono in modalità provvisoria. Il file è jfdbgkuyqbjlgpmusafb. Il percorso è doppio forse ne ho due. Il nome è sempre lo stesso ma il percorso è differente. Il primo mi dice comando c/documents and settings /all users/dati applicazioni e come percorso HKLM/SOFTWARE/MICROSOFT/WINDOWS/CURRENTVERSION/RUN L. altro uguale ma inizia con HKCU