virus truffa guardia di finanza

[ata60]

Ciao a tutti del forum, mi sono battuto in un virus che blocca il pc dopo la comparsa del desktop e recita grosso modo così:
centro nazionale anticrimine informatico per la protezione delle infrastrutture ecc. pagare 100 euro per sbloccare il computer.
Tra le varie soluzioni che ho trovato in rete, vi era la possibilità di rimuovere tale virus andando in modalità provvisoria e lanciando combo fix oppure malware bytes, il problema particolare del mio caso è quello che non va ne in modalità provvisoria e neppure da prompt dei comandi, non funziona neanche il task manager, qualcuno ha la soluzione per eliminarlo senza formattare il pc, inoltre ho trovato un topic il quale diceva che bisognava inserire 14 caratteri casuali per sbloccare il pc, ho provato anche questa soluzione, ma niente da fare.
Ciao.

[The Doctor]

Devi per forza di cose utilizzare un antivirus su live cd:

• kaspersky
  
• gdata
  
• avira
  
• Microsoft
  
• Comodo

[GERONIMO*]

ciao
l'unica soluzione,visto che non riesci ne anche ad accedere in modalità provvisoria,è provare con un Rescue CD
segui questa guida
http://www.MegaLab.it/7628/kaspersky-re ... -su-cd-rom

[hashcat]

La schermata del Ransomware è simile a questa?:



Per rimuoverlo consiglio di effettuare una Scansione completa con il Kaspersky Rescue Disk. Al termine della scansione utilizzare la funzione WindowsUnlocker integrata nel rescue disk.

Maggiori Informazioni:

http://www.youtube.com/watch?v=C5hvSlrOUlE#t=251s

[ata60]

Grazie, a tutti, per l'interessamento, ho provato con MegaLab cd 11, ma niente da fare, comunque proverò con uno di questi suggerimenti, grazie ancora.

[GERONIMO*]

l'unica soluzione puoi provare solo con un live cd
prova anche gli altri,come suggeriti da The Doctor,prova prima con gdata o
avira

[Hpmezzo]

L'ho rimosso essendo di pochi millisecondi più veloce del malware...
Ho fatto la seguente procedura tempo record:
Start-Esegui-MSCONFIG deseleziona :
[URL=http://imageshack.us/photo/my-images/31/immagineykv.png/]
e poi applica :D
Poi la chiave di avvio del malware non viene avviata, e quindi puoi comodamente lanciare la scansione con malwarebytes :D

[massid]

ciao.
mi ricollego a questo post (non aprendone un altro) anche se è leggermente diverso il mio problema.
il mio pc con windows vista ha beccato il famigerato virus della finta guardia di finanza. non sono un esperto di software, e ho seguito le varie istruzioni per eliminarlo. ho anche rimosso manualmente il file mswovq.exe nella cartella local settings.
malwarebytes poi mi trova il trojan agent:
Valori di registro rilevati: 1
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|Load (Trojan.Agent) -> Dati: C:\Users\Max\LOCALS~1\Temp\mswovq.exe -> Verrà eliminato al riavvio.

ma al riavvio esso rimane e appare questa schermata:
"impossibile cercare o eseguire il file C:\Users\Max\LOCALS~1\Temp\mswovq.exe
specificato nel registro di sistema. controllare che il file esista o rimuoverne il relativo riferimento nel registro di sistema".

allora vado nel registro di sistema e trovo "nome: load
tipo: reg_sz, dati: C:\Users\Max\LOCALS~1\Temp\mswovq.exe.
provo ad eliminarlo ma è 'impossibile eliminare tutti i valori specificati'.

inoltre nel registro, HKLM, c'è in startup manager la sottocartella startupwinini contenente a sua volta una sottocartella mswovq.exe.
la elimino ma poi al riavvio si ripresenta.

come posso cancellare questi due intrusi nel registro ?
grazie

massi

[crazy.cat]

come posso cancellare questi due intrusi nel registro ?
grazie

Puoi fare una scansione con hijackthis e postare il suo log?

[massid]

spero sia giusto cosi

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 19.45.22, on 19/05/2012
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18639)
Boot mode: Normal

Running processes:
C:\windows\system32\Dwm.exe
C:\windows\Explorer.EXE
C:\windows\system32\taskeng.exe
C:\windows\System32\mobsync.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
C:\windows\system32\wbem\unsecapp.exe
C:\windows\system32\wuauclt.exe
C:\Windows\System32\notepad.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
C:\Program Files\Hewlett-Packard\HP ProtectTools Security Manager\pthosttr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe
C:\Program Files\Hewlett-Packard\HP Software Update\hpwuSchd2.exe
C:\Program Files\AVG\AVG10\avgtray.exe
C:\Program Files\Common Files\LightScribe\LightScribeControlPanel.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
C:\Windows\system32\igfxsrvc.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\VolCtrl.exe
C:\Program Files\Hewlett-Packard\HP wireless Assistant\WiFiMsg.EXE
C:\Program Files\Hewlett-Packard\Shared\HpqToaster.exe
C:\Program Files\AVG\AVG10\Identity Protection\agent\bin\avgidsmonitor.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqbam08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqgpc01.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\windows\system32\NOTEPAD.EXE
C:\Users\Max\Documents\Doc1\AntiRootkit-Trojan\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.newsy.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
F3 - REG:win.ini: load=C:\Users\Max\LOCALS~1\Temp\mswovq.exe
O1 - Hosts: ::1 localhost
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG10\avgssie.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Program Files\Hewlett-Packard\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [IAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe
O4 - HKLM\..\Run: [PTHOSTTR] C:\Program Files\Hewlett-Packard\HP ProtectTools Security Manager\PTHOSTTR.EXE /Start
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [HP Health Check Scheduler] c:\Program Files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [QlbCtrl.exe] C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [hpqSRMon] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqSRMon.exe
O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
O4 - HKLM\..\Run: [AVG_TRAY] C:\Program Files\AVG\AVG10\avgtray.exe
O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
O4 - HKCU\..\Run: [LightScribe Control Panel] C:\Program Files\Common Files\LightScribe\LightScribeControlPanel.exe -hidden
O4 - Global Startup: DVD Check.lnk = C:\Program Files\InterVideo\DVD Check\DVDCheck.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Selezione intelligente HP - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Program Files\Hewlett-Packard\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG10\avgpp.dll
O20 - Winlogon Notify: DeviceNP - DeviceNP.dll (file missing)
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\windows\system32\browseui.dll
O23 - Service: Andrea ADI Filters Service (AEADIFilters) - Andrea Electronics Corporation - C:\windows\system32\AEADISRV.EXE
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: AVGIDSAgent - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG10\Identity Protection\Agent\Bin\AVGIDSAgent.exe
O23 - Service: AVG WatchDog (avgwd) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG10\avgwdsvc.exe
O23 - Service: Com4QLBEx - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\Com4QLBEx.exe
O23 - Service: HP ProtectTools Device Locking / Auditing (FLCDLOCK) - Hewlett-Packard Ltd - C:\Windows\system32\flcdlock.exe
O23 - Service: HP Health Check Service - Hewlett-Packard - c:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqWmiEx.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: IviRegMgr - InterVideo - C:\Program Files\Common Files\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft Limited - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: RoxMediaDB10 - Sonic Solutions - c:\Program Files\Common Files\Roxio Shared\10.0\SharedCOM\RoxMediaDB10.exe
O23 - Service: Remote Procedure Call (RPC) Net (rpcnet) - Absolute Software Corp. - C:\windows\system32\rpcnet.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: stllssvr - MicroVision Development, Inc. - c:\Program Files\Common Files\SureThing Shared\stllssvr.exe

--
End of file - 9217 bytes

[crazy.cat]

Rifai la scansione con hijackthis, selezioni la casella di questa riga e premi fix checked per eliminarla.

F3 - REG:win.ini: load=C:\Users\Max\LOCALS~1\Temp\mswovq.exe

Riavvia il pc e vedi come va.

[massid]

purtroppo è ancora presente

[massid]

pensando un po' mi son venute in mente alcune idee (forse saranno sceme.. boh ;-):

- può servire 'modifica' o 'modifica dati binari' ?
- del pc sono administrator ma come autorizzazioni, nel windows del registro, c'è solo 'everyone' che non ha nessuna spunta; agire qui in qualche maniera è utile ?

[Hpmezzo]

Ti consiglio di riavviare il pc in modalità provvisoria ed eliminare fisicamente il file con qualche tools apposito...
Oppure prova a masterizzare un immagine ISO di qualche Rescue Disk (Tipo Kaspersky) e prova a lanciare la scansione e modificare Win.ini eliminando appunto il valore load=C:\Users\Max\LOCALS~1\Temp\mswovq.exe...

[massid]

ho provato regassassin, dice che lo eliminerà ma poi al riavvio lo ritrovo là

[Hpmezzo]

Ma in modalità provvisoria hai provato??

[GERONIMO*]

fai una scansione con combofix
prima di lanciarlo disattiva l'antivirus e il firewall
posiziona combofix sul desktop
e avvialo come amministratore,tasto destro su Combofix.exe e scegli Esegui come Amministratore

http://www.MegaLab.it/2827/4

e posta il report che rilascia

[massid]

x hpmezzo:
si, fatto in provvisoria


x geronimo:
del pc sono administrator e non mi fa eliminare il valore che immagino sia protetto; per questo chiedevo se la mia idea di agire, in qualche maniera, su modifica dati e autorizzazioni poteva essere valida.

[GERONIMO*]

massid
fai la scansione con combofix come detto,e posta il report che rilascia
http://www.bleepingcomputer.com/download/combofix/

[Andy97]

Io ho risolto con una scansione con kaspersky rescue cd e successivamente con malwarebytes anti malware eliminando tutto quello che trovava