rimozione di rootkit con conseguenze negative sul SO

[stubborn74]

Forse non sono stato chiaro nella spiegazione, ma per aggiornare le definizione dei rescue disk devi necessariamente utilizzare il cavo di rete in quanto all'interno del cd non sono presenti i drivers relativi alle schede wifi.
Se vuoi rimandare e non ti serve urgentemente il pc non c'è problema, quando vuoi mi trovi sempre qui

no,tu ti sei spiegato alla perfezione ero io con la mia solenne incapacità che non ho interpretato bene la spiegazione,chiedo scusa nuovamente,bisogna allora rimandare per forza al 5 di gennaio. riprenderemo il tutto nonappena avrò aggiornato gdata con un cavetto diretto per la coonnessione.
intanto ti ringrazio fortemente per il tempo finora dedicato.
di nuovo auguri per un 2012 piu fortunato e felice

[stubborn74]

ciao,
ho scaricato EASUS e volevo chiedere se per favore mi davate una mano per creare un back up completo dei file poichè non so usarlo e non trovo guide valide online....

[stubborn74]

@Uomo_Senza_Sonno

stavo guardando manualmente tutti i settori del mio hard disk con HxD,e mi è sorta spontaneamente questa domanda:
ho nota to che ci sono altri migliaia di settori con caratteristiche di errore come quelle di settori che dobbiamo azzerare...
quei settori che ho notato io (sono tantissimi) presentano diciture tipo "Invalid partition table.Error loading operating system.Missing operating system"
oppure "A disk read error occurred...BOOTMGR is missing...BOOTMGR is compressed...Press Ctrl+Alt+Del to restart"
oppure "fƒ>:...„Äýf‹.:...f‹>J.f¡..èà.f.·...f¸....è".f.À.…..f.·.Z.f¸\...è..f.À.„B.gf‹...f‹>>.è?.f¡>.f»"

quei settori non sono corrotti e da riazzerare anch' essi?

grazie

[VincenzoGTA]

I settori di cui ti sono state richieste le immagini, non sono corrotti, anzi...
servono come riferimento per individuare l' inizio e la fine delle partizioni per poter azzerare i settori al di fuori di esse

non prendere iniziative e segui i consigli che ti vengono dati di volta in volta

[stubborn74]

non prendere iniziative e segui i consigli che ti vengono dati di volta in volta

ma ci mancherebbe altro vincenzo non sono mica matto... così poi l hd lo uso come posacenere o soprammobile.....
intendo eseguire alla lettera tutte le istruzioni,non posso permettermi iniziative,il mio era solo un volerne capire e sapere di piu

[Uomo_Senza_Sonno]

I settori a cui ti stai riferendo non sono altro che gli estremi del filesystem, dove vengono impresse le informazioni di lettura dello stesso. Infatti se controlli bene sono due settori identici (e così devono essere) e le voci che hai elencato altro non sono che i messaggi di errore che compaiono quando si presenta un errore nel sistema operativo (in genere quando non il sistema operativo non viene caricato).

[stubborn74]

I settori a cui ti stai riferendo non sono altro che gli estremi del filesystem, dove vengono impresse le informazioni di lettura dello stesso. Infatti se controlli bene sono due settori identici (e così devono essere) e le voci che hai elencato altro non sono che i messaggi di errore che compaiono quando si presenta un errore nel sistema operativo (in genere quando non il sistema operativo non viene caricato).

grazie per la risposta,forse domani ho a disposizione la connessione via cavo per aggiornare gdata e fare così la scansione. nel frattempo leggendo i vari post,ho scaricato EASUS partition manager (per effettuare un back up di tutti i miei dati),ma non riesco a capire come usarlo...
in ogni caso il back up va fatto prima o dopo l azzeramento dei settori del hard disk?
grazie

[Uomo_Senza_Sonno]

in ogni caso il back up va fatto prima o dopo l azzeramento dei settori del hard disk?

Il backup dovrebbe essere fatto sempre prima in maniera preventiva
Per quanto riguarda il programma per eseguire il backup, ti consiglio questo, dove troverai un'ampia recensione e spiegazione sul modo d'utilizzo

[stubborn74]

uomosenzasonno,scusami ma nemmeno oggi sono riuscito ad aggiornare gdata,penso domani riuscirò certamente e faro la scansione.
domanda: gdata dopo la scansione rilascia un log? in caso di esito non positivo,cioè se non trova file infetti devo comunque postare il log?
grazie.

[Uomo_Senza_Sonno]

Se non trova file infetti è già un buon segno, in quanto sarà già stato rimosso da le altre azioni di pulizia. Diversamente, se rileva qualcosa, la rimuove ma non rilascia nessun log (ma non ha importanza).

[stubborn74]

Se non trova file infetti è già un buon segno, in quanto sarà già stato rimosso da le altre azioni di pulizia. Diversamente, se rileva qualcosa, la rimuove ma non rilascia nessun log (ma non ha importanza).

ciao,dunque ho aggiornato gdata con il pc di un parente,ho fatto la scansione sul mio pc e non risultano file infetti,poi per scrupolo (visto che il mio parente lo aveva) abbiamo fatto anche un ulteriore scansione con avira rescue cd (aggiornato) e neanche con lui sono stati trovati file infetti per mia fortuna,sembra tutto pulito . ora posso iniziare con l azzeramento dei banchi dell hard disk come da te indicato nella precedente pagina? domanda:
quando avrò effettuato la procedura,potrò riconnettermi subito ad internet per continuare a ragguagliarti e a ricevere indicazioni? oppure dovrò fare qualche altra operazione?
aspetto conferma,grazie.

[VincenzoGTA]

Si, puoi procedere come indicato in questo post da Uomo_Senza_Sonno
viewtopic.php?f=33&t=75128&start=20#p596511

[stubborn74]

Si, puoi procedere come indicato in questo post da Uomo_Senza_Sonno
viewtopic.php?f=33&t=75128&start=20#p596511

ho effettuato gli azzeramenti a manuale con successo,ho controllato punto per punto ogni passaggio per evitare errori,ma....
ho salvato e riavviato per 3 volte per testare come andava ma sinceramente non noto nessuna differenza da prima..... come mai?

[stubborn74]

i riavvii sono sempre con la medesima tempistica lunghissima....
e la navigazione è sempre lenta tale e quale....
la mia regolare velocità con questa connessione è sempre stata questa




mentre ora (sia prima che dopo l azzeramento) è sempre questa,con latenze assurde come si vede

[Uomo_Senza_Sonno]

Beh, se hai azzerato i settori e fixato sia bootloader che mbr non c'è altro da fare, al massimo un controllo dello status del mbr con questo tool, lo scarichi in C:\ e poi lo lanci come amministratore, dopo pochi istanti rilascerà un log chiamato mbr.log sempre in C:\
Controllalo, se è tutto ok da questo lato abbiamo terminato. Per il resto, penso sia più imputabile ai lavori fatti dal tuo collega. Hai provato a fare uno speedtest con un altro pc sulla stessa linea?

[stubborn74]

ciao,si,ho provato ad effettuare alcune connessioni collegando il mio modem su un altro HP con windows 7 64 bit,effettivamente la connessione era piu veloce che sul mio....allora ho fatto un banalissimo controllo sui driver di entrambi i pc e penso di aver trovato il vero guasto.... ho notato che praticamente sul mio HP sono presenti diversi driver nella scheda di rete,e alcuni di quei driver erano presenti anche nell altro HP,però io ne ho 3 in piu... mentre l altro hp ne aveva ovviamente 3 in meno poichè utilizzava giornalmente una connessione adsl e non HSDPA/UMTS come me,la cosa importante che ho notato è che questi 3 driver che ho io sono dipendenti l uno dall altro,in pratica da quello che ho capito funzionano come un potenziometro,cioè entrano o entrerebbero in funzione 1 o tutti e 3 a seconda della quantita di dati che richiede la connessione,ma sicuramente non stanno lavorando tutti e 3 come prima...l ho capito semplicemente facendo una verifica banalissima: li ho disattivati uno ad uno andando ad esclusione diretta e riavviando ogni volta dopo averne disattivato uno... ho appunto notato che la connessione non parte solamente se disattivo uno in particolare di questi 3 driver della scheda di rete,ma essendo collegati l uno all altro doveva darmi delle differenze anche disattivando gli altri 2... ora cosa si puo fare? l ultimo passo è la formattazione...
grazie

[Uomo_Senza_Sonno]

Mah... non saprei proprio che dirti, mi dispiace.
Per quanto riguarda la lentezza all'avvio del SO, mi viene da pensare che c'è qualcosa che era in esecuzione automatica ed ora non viene trovata, rallentando l'avvio del pc. Vediamo un log di HiJacThis (guida all'utilizzo e link per il download diretto), e poi cosa si può fare.

[stubborn74]

p.s. questo è il risultato mbr

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.0.6002 Disk: WDC_WD1600BEVS-60RST0 rev.04.01G04 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-4

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

[stubborn74]

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 4.58.39, on 06/01/2012
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Unable to get Internet Explorer version!
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Windows\WindowsMobile\wmdc.exe
C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCtrl.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\System32\mspaint.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Users\polizia di Stato\AppData\Local\Google\Chrome\Application\chrome.exe
C:\Windows\system32\taskmgr.exe
C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SynTPEnh] %ProgramFiles%\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Windows Mobile Device Center] %windir%\WindowsMobile\wmdc.exe
O4 - HKLM\..\Run: [SMSERIAL] C:\Program Files\Motorola\SMSERIAL\sm56hlpr.exe
O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [Windows Mobile-based device management] %windir%\WindowsMobile\wmdSync.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Com4QLBEx - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe

--
End of file - 4707 bytes

[stubborn74]

p.s. se le ggi polizia di stato è l account vecchio dell amico che mi ha regalato il pc