Smtp bloccato per rootkit nel MBR

[lizz1183]

Ciao a tutti!
Nell'ufficio in cui lavoro ci siamo accorti dalla scorsa settimana che le mail in uscita non partivano e dopo un controllo ho scoperto che il nostro indirizzo ip è finito in una blacklist perché c'è un computer infetto da un rootkit nel MBR che invia in continuazione mail di spam.

Noi abbiamo una decina di computer collegati in lan al proxy, il problema è che non riesco a capire qual è il computer infetto.

Avete qualche suggerimento? ...ho già provato a scansionare tutti i computer con Emeb Remover e Norman Sinowal Cleaner, ma non hanno riscontrato nulla.

Grazie mille per l'aiuto!
lizz1183

[crazy.cat]

Fai un giretto con mbr.exe o gmer http://www.MegaLab.it/3915/2/mbr-rootki ... diffusione.
Quando trovi il pc infetto poi ci penserà uomo_senza_sonno a chiederti le cose giuste per tentare di rimuovere il virus.
(a meno che tu non voglia formattare a basso livello quel pc per rimuovere il virus in maniera più veloce)

[Uomo_Senza_Sonno]

Esattamente come ha detto crazy, trova il pc infetto analizzando ogni pc con il tool indicato. Se siamo fortunati, avremo un solo disco da pulire, o nella peggiore delle ipotesi tutti.

[lizz1183]

Grazie per l'indicazione, ho iniziato a fare le scansioni e il log di gmer di uno dei computer è risultato essere questo:

GMER 1.0.15.15640 - http://www.gmer.net
Rootkit scan 2011-06-09 10:36:28
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-13 Maxtor_6Y080L0 rev.YAR41BW0
Running: rnbut47p.exe; Driver: C:\Temp\axrdipog.sys


---- Kernel code sections - GMER 1.0.15 ----

? C:\Temp\mbr.sys Impossibile trovare il file specificato. !

---- Disk sectors - GMER 1.0.15 ----

Disk \Device\Harddisk0\DR0 malicious Win32:MBRoot code @ sector 160071663
Disk \Device\Harddisk0\DR0 PE file @ sector 160071685

---- EOF - GMER 1.0.15 ----

Cosa posso fare?
Grazie mille!
lizz1183

[Uomo_Senza_Sonno]

Se hai individuato il pc infetto, e verificato che sia solo un pc ad esserlo, leggi quest'articolo, soprattutto la parte riguardante HxD. Prima di tutto però è necessario rimuovere il driver presente all'interno del sistema operativo, ed in quest'altro articolo trovi gli strumenti più efficaci e rapidi per eliminare l'infezione.

Dopo aver fatto la scansione con combofix posta il suo log in questo modo, e successivamente posta lo screenshot della finestra di HxD con il tag IMG (per avere un quadro completo delle informazioni è meglio avere lo screen di tutta la finestra del programma, di modo che si veda tutto il settore visualizzato; gli screenshot caricali su http://www.imageshack.us/ e poi copia il link forum). Per il momento è necessario il settore 0.