Pc Totalmente Infetto

[hashcat]

I log che ti chiedevo erano quelli aggiornati:

SystemLook:

Codice: Seleziona tutto

:regfind
nkpegdf

:reg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ /sub
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ /sub
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ /sub
HKEY_USERS\S-1-5-19\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ /sub
HKEY_USERS\S-1-5-20\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ /sub
HKEY_USERS\S-1-5-21\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ /sub
HKEY_USERS\S-1-5-21-1676671610-3273154838-3758250303-1005\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ /sub
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nkpegdf\ /sub
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\nkpegdf\ /sub
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\nkpegdf\ /sub

OTL:

Log che si trova in C:\_OTL


Combofix:

Non è indispensabile, comunque si trattava del log generato dopo aver impartito questo script:

Codice: Seleziona tutto

KillAll::

Folder::
C:\sr

RegLock::
[HKEY_USERS\S-1-5-21-1676671610-3273154838-3758250303-1005\Software\Microsoft\SystemCertificates\AddressBook*]



Per cercare di risolvere il problema dell'avvio e del Pannello di Controllo ho bisogno del log di SystemLook

[Alcatosto]

Allora i log di cui dispongo sono i seguenti:

1- Log di SystemLook :
- http://paste2.org/p/1764509
- http://paste2.org/p/1764511

2- Log di OTL :
- http://paste2.org/p/1764518
- http://paste2.org/p/1764519

Purtroppo non trovo altri file di log, sicuramente li avrò cancellati per sbaglio !

Spero che tu possa aiutarmi comunque anche con questi file.
Grazie sempre.
ciao

[hashcat]

Spero che tu possa aiutarmi comunque anche con questi file.
Grazie sempre.
ciao

Si, non ti preoccupare manca solo quello di Combofix che era opzionale.

Mentre mi invento qualcosa per risolvere il problema del Pannello di Controllo e dell'accesso a Windows fai un po' di pulizia con questo script per The Avenger 2:

1. Scarica The Avenger 2 da qui
2. Eseguilo
3. Deseleziona l'opzione Scan for rootkits
4. Inserisci il seguente script nella casella di testo
5. Premi Execute
   
   

   Codice: Seleziona tutto

   Drivers to delete:
nkpegdf

Registry keys to delete:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NKPEGDF
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_NKPEGDF
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NKPEGDF
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\nkpegdf
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\nkpegdf
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\nkpegdf

Folders to delete:
C:\Qoobox
C:\sr

   
   
6. Autorizza The Avenger 2 a riavviare il computer
7. Inserisci nel prossimo messaggio il log generato da The Avenger 2 (C:\Avenger.txt)

[hashcat]

Forse ho trovato la soluzione:

1. Segui la procedura con The Avenger 2 indicata nel messaggio precedente
2. Scarica ed esegui questo fix.reg
3. Riavvia il computer
4. Controlla se il problema si è risolto

[Alcatosto]

Allora,
maledetto me quando quel giovedì pomeriggio ho deciso di sistemare questo pc ! e sempre grazie a te che hai deciso di aiutarmi !

Comunque qui di seguito il log di the Avenger 2:
http://paste2.org/p/1766179

Poi per quanto riguarda il secondo fix.reg che mi hai linkato non riesco a farlo partire.
- Se vado nella pagina che mi hai linkato copio e incollo il contenuto in the Avenger 2: mi da errore e mi dice:

Error:Invalid script. A valid script must begin with a command directive. Aborting execution!

- Se provo a fare importa da Url inserendo sempre la stessa pagina mi ripropone lo stesso errore.

Mi sorge un dubbio, dovevo prima copiare il fix del primo post e poi a seguire questo ?

Grazie sempre,
ciao

[Ginho]

Se vado nella pagina che mi hai linkato copio e incollo il contenuto in the Avenger 2: mi da errore e mi dice:

Infatti non devi eseguirlo su Avenger, ma devi:
- Copiare il testo;
- Aprire il blocco note di windows;
- Incollarlo;
- File -> Salva con nome -> [nome che ti pare].reg (mi raccomando .reg)
- Infine apri il file salvato e dai l'ok alle richieste di windows per aggiungere le modifiche al registro.

[Alcatosto]

Fatto tutto, ho riavviato ma comunque il problema non è stato risolto !!!
Mi continua a dare il problema di questa dll.

Che faccio ?
ciao

[hashcat]

[acc2]

Fatto tutto, ho riavviato ma comunque il problema non è stato risolto !!!
Mi continua a dare il problema di questa dll.

Che faccio ?
ciao

Possiamo provare tre possibili soluzioni (partendo dalla più semplice e probabile):

Devi salvare il codice seguente come [nomefile].reg ed eseguirlo:

Codice: Seleziona tutto

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GinaDLL]

Dopo aver fatto ciò esegui il file reg che avevi già provato prima e riavvia (quello creato su consiglio di Ginho).
Con un po' di fortuna il problema si dovrebbe essere risolto, se così non fosse, si passa alle altre soluzione più complicate.

[Alcatosto]

Con un po' di fortuna il problema si dovrebbe essere risolto, se così non fosse, si passa alle altre soluzione più complicate.

Mi sa che dobbiamo passare ai metodi un po' più complicati !
Non è cambiato niente, mi continua a dare sempre lo stesso errore ! E ci sta una vita a caricare in avvio !

Grazie sempre,
ciao

[hashcat]

Non ho abbandonato la discussione, in questo periodo sono stato abbastanza occupato, oggi ti elencherò le altre soluzioni

[Alcatosto]

Non ho abbandonato la discussione, in questo periodo sono stato abbastanza occupato, oggi ti elencherò le altre soluzioni

Tranquillo ! non c'è fretta ! il pc comunque funziona tranquillamente ! è solo un problema di avvio !!

Ti ringrazio sempre tanto,
ciao

[hashcat]

Per prima cosa prova il classico sfc:

1. Inserisci nell'unità CD-Rom il disco di Windows Xp
2. Premi WIN+R, digita cmd.exe
3. Apparirà il prompt dei comandi, lì digita:
   
   

   Codice: Seleziona tutto

   sfc / scanonce

   
   
4. Riavvia il computer
5. Al riavvio verrà controllata l'integrità dei files di sistema, quelli danneggiati o invalidi verranno sostituiti con la copia presente sul CD.

Seconda soluzione:

1. Salva tutti i file che indicherò in seguito sul Desktop
2. Scarica il file msgina.dll
3. Scarica il file fix.bat
4. Scarica il file fix_1.reg
5. Scarica il file fix_2.reg
6. Esegui il file fix.bat
7. Fai doppio click su fix_1.reg
8. Riavvia il computer
9. Fai doppio click su fix_2.reg
10. Riavvia il computer
11. Verifica se il problema è stato risolto

[Alcatosto]

Dunque con la prima procedura il problema non è stato risolto !

Con il secondo metodo ho scaricato tutti i file
i file fix_1.reg e fix_2.reg li ho copiati nel blocco note e li ho salvati nel desktop.

Ho eseguito e fatto tutto con l'ordine che mi hai detto.

Ora mi spunta il seguente errore:

Errore interfaccia utente Errore di caricamento della DLL dell'interfaccia di accesso utente: smgina.dll.

Rivolgersi all'amministratore di sistema per sostituire la DLL, o ripristinare la DLL originale.

In modalità provvisoria mi fa accedere.
Che faccio ?
Rieseguo

Codice: Seleziona tutto

    sfc / scanonce

in modalità provvisoria ?

Grazie sempre,
ciao

[Alcatosto]

[b][b][b][/b][/b][/b]Allora,
il problema pare risolto !!!!

Credo che il problema fosse che il file si chiama msgina.dll e nelle chiavi di registro che mi hai dato in [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GinaDLL] ricercava il file smgina.dll !! Ho modificato il file di registro invertendo sm con ms e ora pare tutto risolto !

Cioè finalmente mi fa accedere normalmente a Windows però sempre in modalità classica e se provo a cambiare dal famoso account utente mi da lo stesso errore di sempre !!!

Ti ringrazio sempre tanto !
ciao

[hashcat]

Per ripristinare la visualizzazione normale prova a risolverlo salvando il seguente script come fix_3.reg:

Codice: Seleziona tutto

Windows Registry Editor Version 5 .00

[HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Winlogon]
"AllowMultipleTSSessions"=dword:00000001
"LogonType"=dword:00000001