Olimpo Informatico

[alexnet83]

Buongiorno...
Come da titolo del topic, sono stato colpito da questo assurdo (è dir poco) virus, e leggendo nei vari forum, non riesco a trovare una soluzione adatta.

La Polizia Postale parla di un file DLL, visualizzabile in modalità provvisoria, all'interno di Start-->Tutti i Programmi-->Esecuzione Automatica, che è sufficiente eliminare ; ovviamente, seguendo tale procedura, non vedo alcun DLL, bensi un CFTMON.EXE, che, leggo, si tratta di un esecutivo legato ad Office, quindi innocuo.

E' il mio primo post, e mi scuso per non essermi presentato, ma ho alcuni file della tesi universitaria, che ho estremamente paura di perdere.

Attualmente, non riesco ad accedere in modalità normale ; dopo pochi secondi, appare la finta schermata bianca, che mi costringe a spegnere dal tasto d'accensione.

La modalità provvisoria con rete, non funziona particolarmente bene, forse un qualcosa che riguarda i privilegi di amministratore, o qualcosa di simile.

Posso quindi scaricare qualsiasi programma su chiavetta, e tentare di installarlo, tramite provvisoria, ma non garantisco riesca a portarlo a compimento.

Grazie in anticipo per il supporto
Alessandro

[bdoriano]

Ciao alexnet83,

Segui le istruzioni di questo topic per usare MBAM.
Le istruzioni per aggiornarlo in modalità off-line, le trovi qui.

[menatwork]

ops scusa bdoriano non avevo visto la tua risposta

[alexnet83]

Ragazzi, siete grandiosi! grazie per le risposte cosi veloci!

Ok, bdoriano, provo con MBAM... potrò aggiornarlo solo offline...
Ci provo tra qualche minuto, e ti faccio sapere...

[alexnet83]

[R16]

[bdoriano]

@menatwork
nessun problema.

@alexnet83
come ti ha fatto notare R16, certo che si!

Restiamo in attesa di tue nuove.

[alexnet83]

Sto effettuando la scansione tramite modalità provvisoria...

Dopo neanche 30 secondi, a circa 30.000 Elementi Esaminati, già rilevate 4 presenze infette...

Non appena terminato, per evitare di eliminare dalla quarantena elementi non necessari, vi posto l'elenco...

[R16]

[alexnet83]

Avevo dei forti dubbi su CFTMON, infatti...

In teoria, Malware dovrebbe segnalarlo... grazie R16... vi tengo aggiornati, sto lavorando su due pc

[R16]

[alexnet83]

Ok, trovato il benedetto

Trojan.Ramson.Gen

Tipo di scansione: Scansione completa (C:\|)
Opzioni di scansione attive: Memoria | Esecuzione automatica | Registro | File system | Euristica/Extra | Euristica/Shuriken | PUP | PUM
Opzioni di scansione disattivate: P2P
Elementi esaminati: 448907
Tempo impiegato: 1 ore, 6 minuti, 32 secondi

Processi rilevati in memoria: 0
(non sono stati rilevati elementi nocivi)

Moduli di memoria rilevati: 0
(non sono stati rilevati elementi nocivi)

Chiavi di registro rilevate: 3
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{D7BE8ED1-B138-48FD-BB22-9779A39130B1} (Redir.GSearch) -> Spostato in quarantena ed eliminato con successo.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{D7BE8ED1-B138-48FD-BB22-9779A39130B1} (Redir.GSearch) -> Spostato in quarantena ed eliminato con successo.
HKCU\Software\SkyMedia (Adware.SkyMedia) -> Spostato in quarantena ed eliminato con successo.

Valori di registro rilevati: 2
HKCU\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks|{D7BE8ED1-B138-48FD-BB22-9779A39130B1} (Redir.GSearch) -> Dati: -> Spostato in quarantena ed eliminato con successo.
HKCU\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\{D7BE8ED1-B138-48FD-BB22-9779A39130B1} (Redir.GSearch) -> Dati: -> Spostato in quarantena ed eliminato con successo.

Voci rilevate nei dati di registro: 0
(non sono stati rilevati elementi nocivi)

Cartelle rilevate: 0
(non sono stati rilevati elementi nocivi)

File rilevati: 3
C:\Users\XXXXX\Desktop\VSL_Beta\system\dll\nHTMLn_2.95.dll (Trojan.Agent) -> Spostato in quarantena ed eliminato con successo.
C:\Users\XXXXXX\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk (Trojan.Ransom.Gen) -> Spostato in quarantena ed eliminato con successo.
C:\Users\XXXXXX\AppData\Local\Temp\install_0_msi.exe (Trojan.Ransom) -> Spostato in quarantena ed eliminato con successo.

(fine)

Questi 8 file si trovano in quarantena. Posso eliminarli direttamente?

[R16]

[alexnet83]

Guarda, avendo visto, di persona, le caratteristiche di questo virus, mi sentirei più tranquillo ad eliminarli...

Per ora, tutto regolare...

Ieri la schermata si presentava al solo avvio del PC, neanche il tempo di poter spostare la freccia... ora, sempre perchè sono piuttosto premuroso, sto facendo un altra scansione, ma in modalità avvio normale...

Ragazzi, vi ringrazio infinitamente... mi avete risolto un problemone!!!

[bdoriano]

Ok.

Ora, per sicurezza, ti consiglio di fare questa scansione con OTL in modo tale da poter individuare e chiudere eventuali falle nel tuo sistema.

[R16]

[alexnet83]

Non preoccupatevi per la privacy..
Ho inserito le XXX, cosi', per abitudine...

Nell'eventualità, questa sera, quando avrò più tempo, farò questa scansione...
Grazie ancora, a tutti!!
A presto (magari per altri argomenti più "leggeri" )
Alessandro

[R16]

[alexnet83]

Ragazzi, sempre io...
Si è ripresentato di nuovo...
Questa volta, però, ho avviato in Modalità Provvisoria, eliminando il file CTFMON.EXE dall'esecuzione automaatica...

Per ora, tutto ok, era solo per avvisarvi...

[bdoriano]