www.MegaLab.it

da **stubborn74** » dom ott 14, 2012 10:18 am

navigo solo su facebook,su youtube e non uso programmi strani,nè tantomeno scarico allegati o cose del genere (se proprio non sono sicuro),ma siamo alle solite con il mio pc,di nuovo Gmer ha trovato qualcosa ma non me la fa rimuovere
se potete intervenire vi ringrazio. SO win vista 32bit

Immagine

da **hashcat** » dom ott 14, 2012 10:39 am

Posta il log di MbrScan e di HitmanPro (se quest'ultimo trova minacce, non le rimuovere).

da **tecnico24** » dom ott 14, 2012 11:37 am

Possiedi il DVD di Windows?
setta dal boot primario (quindi entra nel bios) il DVD.
Inserisci il dvd nella macchina all'avvio del pc , ti sarà richiesto di premere un tasto per avviare il DVD.
Scegli ripristina il computer in basso
Seleziona il tuo sistema operativo
dagli strumenti che ti chiede Windows , scegli prompt dei comandi
digita questi comandi
bootrec /fixmbr
bootrec /fixboot
bootrec /rebuildCD
seguiti dal tasto INVIO.
Conferma con Y e riavvia il pc.

da **stubborn74** » dom ott 14, 2012 8:40 pm

hashcat ha scritto:Posta il log di MbrScan e di HitmanPro (se quest'ultimo trova minacce, non le rimuovere).

hitmanpro non parte e non produce log,nemmeno in provvisoria.

questo invece è il log di mbrscane una cattura.

Immagine

Codice: Seleziona tutto: MBRScan v1.1.1 OS : Windows Vista Service Pack 2 (32 bit) PROCESSOR : x86 Family 6 Model 15 Stepping 13, GenuineIntel BOOT : Normal Boot DATE : 2012/10/14 (ISO 8601) at 21:33:51 ________________________________________________________________________________ DISK : Device\Harddisk0\DR0 __WDC WD1600BEVS-60RST0 (04.01G04) BUS_TYPE : (0x03) P-ATA USE_PIO : NO MAX_TRANSFER : 128 Kb ALIGNMENT_MASK : word aligned ________________________________________________________________________________ DISK : Device\Harddisk2\DR2 __TDKMedia TF090 Drive (0.00) BUS_TYPE : (0x07) USB USE_PIO : NO MAX_TRANSFER : 64 Kb ALIGNMENT_MASK : byte aligned ________________________________________________________________________________ Device\Harddisk0\DR0 149.1 Go [Fixed] ==> Vista MBR Code MBR_MD5 : B81F91212F00783202A9803A0D31626C MBR_SHA1 : DA981143FBDC6789C172CDEBB4322BBEB6A28548 Device\Harddisk0\Partition1 59.97 Go 0x07 NTFS / HPFS __ BOOTABLE __ Device\Harddisk0\Partition2 81.74 Go 0x07 NTFS / HPFS Device\Harddisk0\Partition3 7.33 Go 0x07 NTFS / HPFS ________________________________________________________________________________ Device\Harddisk2\DR2 29.81 Go [Removable] ==> Unknown MBR Code MBR_MD5 : 0B9BD1278C07EA900E3F64853A1654FE MBR_SHA1 : BDECBE86D1D8D5CC203DEA212C0CB886A9171E21 Device\Harddisk2\Partition1 29.81 Go 0x0C FAT32 [LBA] __ BOOTABLE __ ________________________________________________________________________________ ############################### Additional scan ################################ DRIVER : C:\Windows\System32\Drivers\dump_dumpata.sys => Invisible on the disk ADDRESS : 0x8EA0C000 SIZE : 44.0 Ko DRIVER : C:\Windows\System32\Drivers\dump_msahci.sys => Invisible on the disk ADDRESS : 0x8EA17000 SIZE : 40.0 Ko DRIVER : C:\Windows\system32\Drivers\PROCEXP141.SYS => Invisible on the disk ADDRESS : 0x9A37D000 SIZE : 20.0 Ko SystemStartOptions : /NOEXECUTE=OPTIN ________________________________________________________________________________ _______MBR \Device\Harddisk0\DR0 0x00000000 33 C0 8E D0 BC 00 7C 8E C0 8E D8 BE 00 7C BF 00 3À.Ð¼.|.À.Ø¾.|¿. 0x00000010 06 B9 00 02 FC F3 A4 50 68 1C 06 CB FB B9 04 00 .¹..üó¤Ph..Ëû¹.. 0x00000020 BD BE 07 80 7E 00 00 7C 0B 0F 85 10 01 83 C5 10 ½¾..~..|......Å. 0x00000030 E2 F1 CD 18 88 56 00 55 C6 46 11 05 C6 46 10 00 âñÍ..V.UÆF..ÆF.. 0x00000040 B4 41 BB AA 55 CD 13 5D 72 0F 81 FB 55 AA 75 09 ´A»ªUÍ.]r..ûUªu. 0x00000050 F7 C1 01 00 74 03 FE 46 10 66 60 80 7E 10 00 74 ÷Á..t.þF.f`.~..t 0x00000060 26 66 68 00 00 00 00 66 FF 76 08 68 00 00 68 00 &fh....f.v.h..h. 0x00000070 7C 68 01 00 68 10 00 B4 42 8A 56 00 8B F4 CD 13 |h..h..´B.V..ôÍ. 0x00000080 9F 83 C4 10 9E EB 14 B8 01 02 BB 00 7C 8A 56 00 ..Ä..ë.¸..».|.V. 0x00000090 8A 76 01 8A 4E 02 8A 6E 03 CD 13 66 61 73 1E FE .v..N..n.Í.fas.þ 0x000000A0 4E 11 0F 85 0C 00 80 7E 00 80 0F 84 8A 00 B2 80 N......~......². 0x000000B0 EB 82 55 32 E4 8A 56 00 CD 13 5D EB 9C 81 3E FE ë.U2ä.V.Í.]ë..>þ 0x000000C0 7D 55 AA 75 6E FF 76 00 E8 8A 00 0F 85 15 00 B0 }Uªun.v.è......° 0x000000D0 D1 E6 64 E8 7F 00 B0 DF E6 60 E8 78 00 B0 FF E6 Ñædè..°ßæ`èx.°.æ 0x000000E0 64 E8 71 00 B8 00 BB CD 1A 66 23 C0 75 3B 66 81 dèq.¸.»Í.f#Àu;f. 0x000000F0 FB 54 43 50 41 75 32 81 F9 02 01 72 2C 66 68 07 ûTCPAu2.ù..r,fh. 0x00000100 BB 00 00 66 68 00 02 00 00 66 68 08 00 00 00 66 »..fh....fh....f 0x00000110 53 66 53 66 55 66 68 00 00 00 00 66 68 00 7C 00 SfSfUfh....fh.|. 0x00000120 00 66 61 68 00 00 07 CD 1A 5A 32 F6 EA 00 7C 00 .fah...Í.Z2öê.|. 0x00000130 00 CD 18 A0 B7 07 EB 08 A0 B6 07 EB 03 A0 B5 07 .Í..·.ë..¶.ë..µ. 0x00000140 32 E4 05 00 07 8B F0 AC 3C 00 74 FC BB 07 00 B4 2ä....ð¬<.tü»..´ 0x00000150 0E CD 10 EB F2 2B C9 E4 64 EB 00 24 02 E0 F8 24 .Í.ëò+Éädë.$.àø$ 0x00000160 02 C3 49 6E 76 61 6C 69 64 20 70 61 72 74 69 74 .ÃInvalid partit 0x00000170 69 6F 6E 20 74 61 62 6C 65 00 45 72 72 6F 72 20 ion table.Error 0x00000180 6C 6F 61 64 69 6E 67 20 6F 70 65 72 61 74 69 6E loading operatin 0x00000190 67 20 73 79 73 74 65 6D 00 4D 69 73 73 69 6E 67 g system.Missing 0x000001A0 20 6F 70 65 72 61 74 69 6E 67 20 73 79 73 74 65 operating syste 0x000001B0 6D 00 00 00 00 62 7A 99 22 42 22 42 00 00 80 01 m....bz."B"B.... 0x000001C0 01 00 07 FE FF FF 3F 00 00 00 16 24 7F 07 00 FE ...þ..?....$...þ 0x000001D0 FF FF 07 FE FF FF 95 24 7F 07 AF CE 37 0A 00 FE ...þ...$..¯Î7..þ 0x000001E0 FF FF 07 FE FF FF 44 F3 B6 11 7D 97 EA 00 00 00 ...þ..Dó¶.}.ê... 0x000001F0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 55 AA ..............Uª __________________________16_BIT_ASM_CODE 0x0000 33c0 XOR AX, AX 0x0002 8ed0 MOV SS, AX 0x0004 bc 007c MOV SP, 0x7c00 0x0007 8ec0 MOV ES, AX 0x0009 8ed8 MOV DS, AX 0x000B be 007c MOV SI, 0x7c00 0x000E bf 0006 MOV DI, 0x600 0x0011 b9 0002 MOV CX, 0x200 0x0014 fc CLD 0x0015 f3 a4 REP MOVSB 0x0017 50 PUSH AX 0x0018 68 1c06 PUSH 0x61c 0x001B cb RETF 0x001C fb STI 0x001D b9 0400 MOV CX, 0x4 0x0020 bd be07 MOV BP, 0x7be 0x0023 807e 00 00 CMP BYTE [BP+0x0], 0x0 0x0027 7c 0b JL 0x34 0x0029 0f85 1001 JNZ 0x13d 0x002D 83c5 10 ADD BP, 0x10 0x0030 e2 f1 LOOP 0x23 0x0032 cd 18 INT 0x18 0x0034 8856 00 MOV [BP+0x0], DL 0x0037 55 PUSH BP 0x0038 c646 11 05 MOV BYTE [BP+0x11], 0x5 0x003C c646 10 00 MOV BYTE [BP+0x10], 0x0 0x0040 b4 41 MOV AH, 0x41 0x0042 bb aa55 MOV BX, 0x55aa 0x0045 cd 13 INT 0x13 0x0047 5d POP BP 0x0048 72 0f JB 0x59 0x004A 81fb 55aa CMP BX, 0xaa55 0x004E 75 09 JNZ 0x59 0x0050 f7c1 0100 TEST CX, 0x1 0x0054 74 03 JZ 0x59 0x0056 fe46 10 INC BYTE [BP+0x10] 0x0059 66 60 PUSHAD 0x005B 807e 10 00 CMP BYTE [BP+0x10], 0x0 0x005F 74 26 JZ 0x87 0x0061 66 68 00000000 PUSH 0x0 0x0067 66 ff76 08 PUSH DWORD [BP+0x8] 0x006B 68 0000 PUSH 0x0 0x006E 68 007c PUSH 0x7c00 0x0071 68 0100 PUSH 0x1 0x0074 68 1000 PUSH 0x10 0x0077 b4 42 MOV AH, 0x42 0x0079 8a56 00 MOV DL, [BP+0x0] 0x007C 8bf4 MOV SI, SP 0x007E cd 13 INT 0x13 0x0080 9f LAHF 0x0081 83c4 10 ADD SP, 0x10 0x0084 9e SAHF 0x0085 eb 14 JMP 0x9b 0x0087 b8 0102 MOV AX, 0x201 0x008A bb 007c MOV BX, 0x7c00 0x008D 8a56 00 MOV DL, [BP+0x0] 0x0090 8a76 01 MOV DH, [BP+0x1] 0x0093 8a4e 02 MOV CL, [BP+0x2] 0x0096 8a6e 03 MOV CH, [BP+0x3] 0x0099 cd 13 INT 0x13 0x009B 66 61 POPAD 0x009D 73 1e JAE 0xbd 0x009F fe4e 11 DEC BYTE [BP+0x11] 0x00A2 0f85 0c00 JNZ 0xb2 0x00A6 807e 00 80 CMP BYTE [BP+0x0], 0x80 0x00AA 0f84 8a00 JZ 0x138 0x00AE b2 80 MOV DL, 0x80 0x00B0 eb 82 JMP 0x34 0x00B2 55 PUSH BP 0x00B3 32e4 XOR AH, AH 0x00B5 8a56 00 MOV DL, [BP+0x0] 0x00B8 cd 13 INT 0x13 0x00BA 5d POP BP 0x00BB eb 9c JMP 0x59 0x00BD 813e fe7d 55aa CMP WORD [0x7dfe], 0xaa55 0x00C3 75 6e JNZ 0x133 0x00C5 ff76 00 PUSH WORD [BP+0x0] 0x00C8 e8 8a00 CALL 0x155 0x00CB 0f85 1500 JNZ 0xe4 0x00CF b0 d1 MOV AL, 0xd1 0x00D1 e6 64 OUT 0x64, AL 0x00D3 e8 7f00 CALL 0x155 0x00D6 b0 df MOV AL, 0xdf 0x00D8 e6 60 OUT 0x60, AL 0x00DA e8 7800 CALL 0x155 0x00DD b0 ff MOV AL, 0xff 0x00DF e6 64 OUT 0x64, AL 0x00E1 e8 7100 CALL 0x155 0x00E4 b8 00bb MOV AX, 0xbb00 0x00E7 cd 1a INT 0x1a 0x00E9 66 23c0 AND EAX, EAX 0x00EC 75 3b JNZ 0x129 0x00EE 66 81fb 54435041CMP EBX, 0x41504354 0x00F5 75 32 JNZ 0x129 0x00F7 81f9 0201 CMP CX, 0x102 0x00FB 72 2c JB 0x129 0x00FD 66 68 07bb0000 PUSH 0xbb07 0x0103 66 68 00020000 PUSH 0x200 0x0109 66 68 08000000 PUSH 0x8 0x010F 66 53 PUSH EBX 0x0111 66 53 PUSH EBX 0x0113 66 55 PUSH EBP 0x0115 66 68 00000000 PUSH 0x0 0x011B 66 68 007c0000 PUSH 0x7c00 0x0121 66 61 POPAD 0x0123 68 0000 PUSH 0x0 0x0126 07 POP ES 0x0127 cd 1a INT 0x1a 0x0129 5a POP DX 0x012A 32f6 XOR DH, DH 0x012C ea 007c 0000 JMP FAR 0x0:0x7c00 0x0131 cd 18 INT 0x18 0x0133 a0 b707 MOV AL, [0x7b7] 0x0136 eb 08 JMP 0x140 0x0138 a0 b607 MOV AL, [0x7b6] 0x013B eb 03 JMP 0x140 0x013D a0 b507 MOV AL, [0x7b5] 0x0140 32e4 XOR AH, AH 0x0142 05 0007 ADD AX, 0x700 0x0145 8bf0 MOV SI, AX 0x0147 ac LODSB 0x0148 3c 00 CMP AL, 0x0 0x014A 74 fc JZ 0x148 0x014C bb 0700 MOV BX, 0x7 0x014F b4 0e MOV AH, 0xe 0x0151 cd 10 INT 0x10 0x0153 eb f2 JMP 0x147 0x0155 2bc9 SUB CX, CX 0x0157 e4 64 IN AL, 0x64 0x0159 eb 00 JMP 0x15b 0x015B 24 02 AND AL, 0x2 0x015D e0 f8 LOOPNZ 0x157 0x015F 24 02 AND AL, 0x2 0x0161 c3 RET 0x0162 49 DEC CX 0x0163 6e OUTSB 0x0164 76 61 JBE 0x1c7 0x0166 6c INSB 0x0167 6964 20 7061 IMUL SP, [SI+0x20], 0x6170 0x016C 72 74 JB 0x1e2 0x016E 6974 69 6f6e IMUL SI, [SI+0x69], 0x6e6f 0x0173 2074 61 AND [SI+0x61], DH 0x0176 626c 65 BOUND BP, [SI+0x65] 0x0179 0045 72 ADD [DI+0x72], AL 0x017C 72 6f JB 0x1ed 0x017E 72 20 JB 0x1a0 0x0180 6c INSB 0x0181 6f OUTSW 0x0182 61 POPA 0x0183 64 696e 67 206f IMUL BP, FS:[BP+0x67], 0x6f20 0x0189 70 65 JO 0x1f0 0x018B 72 61 JB 0x1ee 0x018D 74 69 JZ 0x1f8 0x018F 6e OUTSB 0x0190 67 2073 79 AND [EBX+0x79], DH 0x0194 73 74 JAE 0x20a 0x0196 65 6d INS WORD GS:[DI], DX 0x0198 004d 69 ADD [DI+0x69], CL 0x019B 73 73 JAE 0x210 0x019D 696e 67 206f IMUL BP, [BP+0x67], 0x6f20 0x01A2 70 65 JO 0x209 0x01A4 72 61 JB 0x207 0x01A6 74 69 JZ 0x211 0x01A8 6e OUTSB 0x01A9 67 2073 79 AND [EBX+0x79], DH 0x01AD 73 74 JAE 0x223 0x01AF 65 6d INS WORD GS:[DI], DX 0x01B1 0000 ADD [BX+SI], AL 0x01B3 0000 ADD [BX+SI], AL 0x01B5 627a 99 BOUND DI, [BP+SI-0x67] 0x01B8 2242 22 AND AL, [BP+SI+0x22] 0x01BB 42 INC DX 0x01BC 0000 ADD [BX+SI], AL 0x01BE 8001 01 ADD BYTE [BX+DI], 0x1 0x01C1 0007 ADD [BX], AL 0x01C3 fe DB 0xfe 0x01C4 ff DB 0xff 0x01C5 ff DB 0xff 0x01C6 3f AAS 0x01C7 0000 ADD [BX+SI], AL 0x01C9 0016 247f ADD [0x7f24], DL 0x01CD 07 POP ES 0x01CE 00fe ADD DH, BH 0x01D0 ff DB 0xff 0x01D1 ff07 INC WORD [BX] 0x01D3 fe DB 0xfe 0x01D4 ff DB 0xff 0x01D5 ff95 247f CALL [DI+0x7f24] 0x01D9 07 POP ES 0x01DA af SCASW 0x01DB ce INTO 0x01DC 37 AAA 0x01DD 0a00 OR AL, [BX+SI] 0x01DF fe DB 0xfe 0x01E0 ff DB 0xff 0x01E1 ff07 INC WORD [BX] 0x01E3 fe DB 0xfe 0x01E4 ff DB 0xff 0x01E5 ff44 f3 INC WORD [SI-0xd] 0x01E8 b6 11 MOV DH, 0x11 0x01EA 7d 97 JGE 0x183 0x01EC ea 0000 0000 JMP FAR 0x0:0x0 0x01F1 0000 ADD [BX+SI], AL 0x01F3 0000 ADD [BX+SI], AL 0x01F5 0000 ADD [BX+SI], AL 0x01F7 0000 ADD [BX+SI], AL 0x01F9 0000 ADD [BX+SI], AL 0x01FB 0000 ADD [BX+SI], AL 0x01FD 0055 aa ADD [DI-0x56], DL _______MBR \Device\Harddisk2\DR2 0x00000000 FA 33 C0 8E D0 BC 00 7C 8B F4 50 07 50 1F FB FC ú3À.Ð¼.|.ôP.P.ûü 0x00000010 BF 00 06 B9 00 01 F2 A5 EA 1D 06 00 00 BE BE 07 ¿..¹..ò¥ê....¾¾. 0x00000020 B3 04 80 3C 80 74 0E 80 3C 00 75 1C 83 C6 10 FE ³..<.t..<.u..Æ.þ 0x00000030 CB 75 EF CD 18 8B 14 8B 4C 02 8B EE 83 C6 10 FE ËuïÍ....L..î.Æ.þ 0x00000040 CB 74 1A 80 3C 00 74 F4 BE 8B 06 AC 3C 00 74 0B Ët..<.tô¾..¬<.t. 0x00000050 56 BB 07 00 B4 0E CD 10 5E EB F0 EB FE BF 05 00 V»..´.Í.^ëðëþ¿.. 0x00000060 BB 00 7C B8 01 02 57 CD 13 5F 73 0C 33 C0 CD 13 ».|¸..WÍ._s.3ÀÍ. 0x00000070 4F 75 ED BE A3 06 EB D3 BE C2 06 BF FE 7D 81 3D Ouí¾£.ëÓ¾Â.¿þ}.= 0x00000080 55 AA 75 C7 8B F5 EA 00 7C 00 00 49 6E 76 61 6C UªuÇ.õê.|..Inval 0x00000090 69 64 20 70 61 72 74 69 74 69 6F 6E 20 74 61 62 id partition tab 0x000000A0 6C 65 00 45 72 72 6F 72 20 6C 6F 61 64 69 6E 67 le.Error loading 0x000000B0 20 6F 70 65 72 61 74 69 6E 67 20 73 79 73 74 65 operating syste 0x000000C0 6D 00 4D 69 73 73 69 6E 67 20 6F 70 65 72 61 74 m.Missing operat 0x000000D0 69 6E 67 20 73 79 73 74 65 6D 00 00 00 00 00 00 ing system...... 0x000000E0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x000000F0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000100 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000110 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000120 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000130 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000140 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000150 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000160 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000170 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000180 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x00000190 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x000001A0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x000001B0 00 00 00 00 00 00 00 00 1C A7 8E 0B 00 00 80 01 .........§...... 0x000001C0 01 00 0C FE FF 32 3F 00 00 00 34 CF B9 03 00 00 ...þ.2?...4Ï¹... 0x000001D0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x000001E0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 0x000001F0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 55 AA ..............Uª __________________________16_BIT_ASM_CODE 0x0000 fa CLI 0x0001 33c0 XOR AX, AX 0x0003 8ed0 MOV SS, AX 0x0005 bc 007c MOV SP, 0x7c00 0x0008 8bf4 MOV SI, SP 0x000A 50 PUSH AX 0x000B 07 POP ES 0x000C 50 PUSH AX 0x000D 1f POP DS 0x000E fb STI 0x000F fc CLD 0x0010 bf 0006 MOV DI, 0x600 0x0013 b9 0001 MOV CX, 0x100 0x0016 f2 a5 REPNZ MOVSW 0x0018 ea 1d06 0000 JMP FAR 0x0:0x61d 0x001D be be07 MOV SI, 0x7be 0x0020 b3 04 MOV BL, 0x4 0x0022 803c 80 CMP BYTE [SI], 0x80 0x0025 74 0e JZ 0x35 0x0027 803c 00 CMP BYTE [SI], 0x0 0x002A 75 1c JNZ 0x48 0x002C 83c6 10 ADD SI, 0x10 0x002F fecb DEC BL 0x0031 75 ef JNZ 0x22 0x0033 cd 18 INT 0x18 0x0035 8b14 MOV DX, [SI] 0x0037 8b4c 02 MOV CX, [SI+0x2] 0x003A 8bee MOV BP, SI 0x003C 83c6 10 ADD SI, 0x10 0x003F fecb DEC BL 0x0041 74 1a JZ 0x5d 0x0043 803c 00 CMP BYTE [SI], 0x0 0x0046 74 f4 JZ 0x3c 0x0048 be 8b06 MOV SI, 0x68b 0x004B ac LODSB 0x004C 3c 00 CMP AL, 0x0 0x004E 74 0b JZ 0x5b 0x0050 56 PUSH SI 0x0051 bb 0700 MOV BX, 0x7 0x0054 b4 0e MOV AH, 0xe 0x0056 cd 10 INT 0x10 0x0058 5e POP SI 0x0059 eb f0 JMP 0x4b 0x005B eb fe JMP 0x5b 0x005D bf 0500 MOV DI, 0x5 0x0060 bb 007c MOV BX, 0x7c00 0x0063 b8 0102 MOV AX, 0x201 0x0066 57 PUSH DI 0x0067 cd 13 INT 0x13 0x0069 5f POP DI 0x006A 73 0c JAE 0x78 0x006C 33c0 XOR AX, AX 0x006E cd 13 INT 0x13 0x0070 4f DEC DI 0x0071 75 ed JNZ 0x60 0x0073 be a306 MOV SI, 0x6a3 0x0076 eb d3 JMP 0x4b 0x0078 be c206 MOV SI, 0x6c2 0x007B bf fe7d MOV DI, 0x7dfe 0x007E 813d 55aa CMP WORD [DI], 0xaa55 0x0082 75 c7 JNZ 0x4b 0x0084 8bf5 MOV SI, BP 0x0086 ea 007c 0000 JMP FAR 0x0:0x7c00 0x008B 49 DEC CX 0x008C 6e OUTSB 0x008D 76 61 JBE 0xf0 0x008F 6c INSB 0x0090 6964 20 7061 IMUL SP, [SI+0x20], 0x6170 0x0095 72 74 JB 0x10b 0x0097 6974 69 6f6e IMUL SI, [SI+0x69], 0x6e6f 0x009C 2074 61 AND [SI+0x61], DH 0x009F 626c 65 BOUND BP, [SI+0x65] 0x00A2 0045 72 ADD [DI+0x72], AL 0x00A5 72 6f JB 0x116 0x00A7 72 20 JB 0xc9 0x00A9 6c INSB 0x00AA 6f OUTSW 0x00AB 61 POPA 0x00AC 64 696e 67 206f IMUL BP, FS:[BP+0x67], 0x6f20 0x00B2 70 65 JO 0x119 0x00B4 72 61 JB 0x117 0x00B6 74 69 JZ 0x121 0x00B8 6e OUTSB 0x00B9 67 2073 79 AND [EBX+0x79], DH 0x00BD 73 74 JAE 0x133 0x00BF 65 6d INS WORD GS:[DI], DX 0x00C1 004d 69 ADD [DI+0x69], CL 0x00C4 73 73 JAE 0x139 0x00C6 696e 67 206f IMUL BP, [BP+0x67], 0x6f20 0x00CB 70 65 JO 0x132 0x00CD 72 61 JB 0x130 0x00CF 74 69 JZ 0x13a 0x00D1 6e OUTSB 0x00D2 67 2073 79 AND [EBX+0x79], DH 0x00D6 73 74 JAE 0x14c 0x00D8 65 6d INS WORD GS:[DI], DX 0x00DA 0000 ADD [BX+SI], AL 0x00DC 0000 ADD [BX+SI], AL 0x00DE 0000 ADD [BX+SI], AL 0x00E0 0000 ADD [BX+SI], AL 0x00E2 0000 ADD [BX+SI], AL 0x00E4 0000 ADD [BX+SI], AL 0x00E6 0000 ADD [BX+SI], AL 0x00E8 0000 ADD [BX+SI], AL 0x00EA 0000 ADD [BX+SI], AL 0x00EC 0000 ADD [BX+SI], AL 0x00EE 0000 ADD [BX+SI], AL 0x00F0 0000 ADD [BX+SI], AL 0x00F2 0000 ADD [BX+SI], AL 0x00F4 0000 ADD [BX+SI], AL 0x00F6 0000 ADD [BX+SI], AL 0x00F8 0000 ADD [BX+SI], AL 0x00FA 0000 ADD [BX+SI], AL 0x00FC 0000 ADD [BX+SI], AL 0x00FE 0000 ADD [BX+SI], AL 0x0100 0000 ADD [BX+SI], AL 0x0102 0000 ADD [BX+SI], AL 0x0104 0000 ADD [BX+SI], AL 0x0106 0000 ADD [BX+SI], AL 0x0108 0000 ADD [BX+SI], AL 0x010A 0000 ADD [BX+SI], AL 0x010C 0000 ADD [BX+SI], AL 0x010E 0000 ADD [BX+SI], AL 0x0110 0000 ADD [BX+SI], AL 0x0112 0000 ADD [BX+SI], AL 0x0114 0000 ADD [BX+SI], AL 0x0116 0000 ADD [BX+SI], AL 0x0118 0000 ADD [BX+SI], AL 0x011A 0000 ADD [BX+SI], AL 0x011C 0000 ADD [BX+SI], AL 0x011E 0000 ADD [BX+SI], AL 0x0120 0000 ADD [BX+SI], AL 0x0122 0000 ADD [BX+SI], AL 0x0124 0000 ADD [BX+SI], AL 0x0126 0000 ADD [BX+SI], AL 0x0128 0000 ADD [BX+SI], AL 0x012A 0000 ADD [BX+SI], AL 0x012C 0000 ADD [BX+SI], AL 0x012E 0000 ADD [BX+SI], AL 0x0130 0000 ADD [BX+SI], AL 0x0132 0000 ADD [BX+SI], AL 0x0134 0000 ADD [BX+SI], AL 0x0136 0000 ADD [BX+SI], AL 0x0138 0000 ADD [BX+SI], AL 0x013A 0000 ADD [BX+SI], AL 0x013C 0000 ADD [BX+SI], AL 0x013E 0000 ADD [BX+SI], AL 0x0140 0000 ADD [BX+SI], AL 0x0142 0000 ADD [BX+SI], AL 0x0144 0000 ADD [BX+SI], AL 0x0146 0000 ADD [BX+SI], AL 0x0148 0000 ADD [BX+SI], AL 0x014A 0000 ADD [BX+SI], AL 0x014C 0000 ADD [BX+SI], AL 0x014E 0000 ADD [BX+SI], AL 0x0150 0000 ADD [BX+SI], AL 0x0152 0000 ADD [BX+SI], AL 0x0154 0000 ADD [BX+SI], AL 0x0156 0000 ADD [BX+SI], AL 0x0158 0000 ADD [BX+SI], AL 0x015A 0000 ADD [BX+SI], AL 0x015C 0000 ADD [BX+SI], AL 0x015E 0000 ADD [BX+SI], AL 0x0160 0000 ADD [BX+SI], AL 0x0162 0000 ADD [BX+SI], AL 0x0164 0000 ADD [BX+SI], AL 0x0166 0000 ADD [BX+SI], AL 0x0168 0000 ADD [BX+SI], AL 0x016A 0000 ADD [BX+SI], AL 0x016C 0000 ADD [BX+SI], AL 0x016E 0000 ADD [BX+SI], AL 0x0170 0000 ADD [BX+SI], AL 0x0172 0000 ADD [BX+SI], AL 0x0174 0000 ADD [BX+SI], AL 0x0176 0000 ADD [BX+SI], AL 0x0178 0000 ADD [BX+SI], AL 0x017A 0000 ADD [BX+SI], AL 0x017C 0000 ADD [BX+SI], AL 0x017E 0000 ADD [BX+SI], AL 0x0180 0000 ADD [BX+SI], AL 0x0182 0000 ADD [BX+SI], AL 0x0184 0000 ADD [BX+SI], AL 0x0186 0000 ADD [BX+SI], AL 0x0188 0000 ADD [BX+SI], AL 0x018A 0000 ADD [BX+SI], AL 0x018C 0000 ADD [BX+SI], AL 0x018E 0000 ADD [BX+SI], AL 0x0190 0000 ADD [BX+SI], AL 0x0192 0000 ADD [BX+SI], AL 0x0194 0000 ADD [BX+SI], AL 0x0196 0000 ADD [BX+SI], AL 0x0198 0000 ADD [BX+SI], AL 0x019A 0000 ADD [BX+SI], AL 0x019C 0000 ADD [BX+SI], AL 0x019E 0000 ADD [BX+SI], AL 0x01A0 0000 ADD [BX+SI], AL 0x01A2 0000 ADD [BX+SI], AL 0x01A4 0000 ADD [BX+SI], AL 0x01A6 0000 ADD [BX+SI], AL 0x01A8 0000 ADD [BX+SI], AL 0x01AA 0000 ADD [BX+SI], AL 0x01AC 0000 ADD [BX+SI], AL 0x01AE 0000 ADD [BX+SI], AL 0x01B0 0000 ADD [BX+SI], AL 0x01B2 0000 ADD [BX+SI], AL 0x01B4 0000 ADD [BX+SI], AL 0x01B6 0000 ADD [BX+SI], AL 0x01B8 1c a7 SBB AL, 0xa7 0x01BA 8e DB 0x8e 0x01BB 0b00 OR AX, [BX+SI] 0x01BD 0080 0101 ADD [BX+SI+0x101], AL 0x01C1 000c ADD [SI], CL 0x01C3 fe DB 0xfe 0x01C4 ff32 PUSH WORD [BP+SI] 0x01C6 3f AAS 0x01C7 0000 ADD [BX+SI], AL 0x01C9 0034 ADD [SI], DH 0x01CB cf IRET 0x01CC b9 0300 MOV CX, 0x3 0x01CF 0000 ADD [BX+SI], AL 0x01D1 0000 ADD [BX+SI], AL 0x01D3 0000 ADD [BX+SI], AL 0x01D5 0000 ADD [BX+SI], AL 0x01D7 0000 ADD [BX+SI], AL 0x01D9 0000 ADD [BX+SI], AL 0x01DB 0000 ADD [BX+SI], AL 0x01DD 0000 ADD [BX+SI], AL 0x01DF 0000 ADD [BX+SI], AL 0x01E1 0000 ADD [BX+SI], AL 0x01E3 0000 ADD [BX+SI], AL 0x01E5 0000 ADD [BX+SI], AL 0x01E7 0000 ADD [BX+SI], AL 0x01E9 0000 ADD [BX+SI], AL 0x01EB 0000 ADD [BX+SI], AL 0x01ED 0000 ADD [BX+SI], AL 0x01EF 0000 ADD [BX+SI], AL 0x01F1 0000 ADD [BX+SI], AL 0x01F3 0000 ADD [BX+SI], AL 0x01F5 0000 ADD [BX+SI], AL 0x01F7 0000 ADD [BX+SI], AL 0x01F9 0000 ADD [BX+SI], AL 0x01FB 0000 ADD [BX+SI], AL 0x01FD 0055 aa ADD [DI-0x56], DL

da **stubborn74** » dom ott 14, 2012 8:53 pm

tecnico24 ha scritto:scegli prompt dei comandi
digita questi comandi
bootrec /fixmbr
bootrec /fixboot
bootrec /rebuildCD
seguiti dal tasto INVIO.
Conferma con Y e riavvia il pc.

scusa,i comandi vanno fatti uno per uno in sequenza? oppure tutti assieme?
in ogni caso aspetto la risposta di hashcat prima.

da **tecnico24** » dom ott 14, 2012 9:02 pm

stubborn74 ha scritto:
tecnico24 ha scritto:
scusa,i comandi vanno fatti uno per uno in sequenza? oppure tutti assieme?

La prima che hai detto.
Questi comandi vengono eseguiti quando vengono rilevati malware nell'mbr o per eventuali modifiche/danni.

da **stubborn74** » dom ott 14, 2012 9:34 pm

tecnico24 ha scritto:La prima che hai detto.
Questi comandi vengono eseguiti quando vengono rilevati malware nell'mbr o per eventuali modifiche/danni.

ok,quindi posso esegurli in ogni caso questi comandi? indipendendentemente dalle altre soluzioni che si adotteranno? [ciao]

da **tecnico24** » dom ott 14, 2012 9:41 pm

stubborn74 ha scritto:
tecnico24 ha scritto:La prima che hai detto.
Questi comandi vengono eseguiti quando vengono rilevati malware nell'mbr o per eventuali modifiche/danni.

ok,quindi posso esegurli in ogni caso questi comandi? indipendendentemente dalle altre soluzioni che si adotteranno?

Non credi che questa sia una soluzione?non è una perdita di tempo non preoccuparti.
Facendo il reset dell'MBR gmer non dovrebbe rilevare niente più , altrimenti vediamo come agire.

da **stubborn74** » dom ott 14, 2012 9:43 pm

perfetto,eseguo subito i comandi

da **crazy.cat** » lun ott 15, 2012 4:00 am

Sbaglio o mi sembra che sia un disco esterno usb?
Bootrec agisce anche sui dischi esterni?

da **stubborn74** » lun ott 15, 2012 4:26 am

sulla cattura di MBRscan ho notato anche io che si tratta della chiavetta usb da 42 GB che uso come "magazzino" per i file che scarico,come si risolve?
per quanto riguarda Gmer,il codice lo ha trovato nell hd 0,e quello provo a fixarlo piu tardi con i comandi gentilmente fornitimi da tecnico24 e vediamo se lo elimina.

da **crazy.cat** » lun ott 15, 2012 6:56 am

Prova a eseguire gmer con la chiavetta inserita e mbrscan senza chiavetta per vedere se rileva qualcosa sul disco fisso principale.

da **Uomo_Senza_Sonno** » lun ott 15, 2012 3:49 pm

Eseguiamo un controllo con HxD sul secondo disco.

Postami i settori 61, 62, 63, 62508914, 62508915, 62508916 e l'ultimo settore disponibile del disco. Nel settore 0 non mi sembra di vedere nulla di anomalo ad ogni modo.

da **stubborn74** » lun ott 15, 2012 4:24 pm

tecnico24 ha scritto:digita questi comandi
bootrec /fixmbr
bootrec /fixboot
bootrec /rebuildCD
seguiti dal tasto INVIO.
Conferma con Y e riavvia il pc.

dunque,la foto è venuta male,ma i primi 2 comandi che mi hai dato bootrec /fixmbr
bootrec /fixboot li ha accettati,mentre per l ultimo bootrec /rebuildCD mi sa che abbiamo toppato qualcosa.

Immagine

da **stubborn74** » lun ott 15, 2012 4:28 pm

crazy.cat ha scritto:Prova a eseguire gmer con la chiavetta inserita e mbrscan senza chiavetta per vedere se rileva qualcosa sul disco fisso principale.

fatto,il risultato cambia solo per MBRscan,mentre per Gmer è rimasto invariato

Immagine

da **tecnico24** » lun ott 15, 2012 5:20 pm

Disattiva il ripristino configurazione di sistema.
● Pannello di controllo
● Sistema e sicurezza
● Sistema
● Protezione sistema a sinistra
● togli il flag dal disco interessato e confermare con ok
Scarica
Stealth MBR rootkit detector
http://www2.gmer.net/mbr/mbr.exe
mettilo direttamente nella Directory C:\
riavvia il pc in modalita' provvisoria
http://www.MegaLab.it/articoli.php?id=817
Adesso fai start
digita esegui nella casella di ricerca ed aprilo
copia ed incolla
C:\mbr.exe -> OK e verrà a generarsi il primo log , MBR1
Quando ha finito fai di nuovo start
in esegui copia ed incolla
C:\mbr.exe -f
premi OK verrà a generarsi il secondo log MBR2
riavvia il pc in modalita' normale e in esegui digita nuovamente questo comando
C:\mbr.exe
Vera generato il terzo log , MBR3
allega i tre log di estensione .txt

da **stubborn74** » lun ott 15, 2012 6:13 pm

Uomo_Senza_Sonno ha scritto:Eseguiamo un controllo con HxD sul secondo disco.

Postami i settori 61, 62, 63, 62508914, 62508915, 62508916 e l'ultimo settore disponibile del disco. Nel settore 0 non mi sembra di vedere nulla di anomalo ad ogni modo.

eccoli,ma ti chiedo per favore di visionare anche gli altri 3 settori che ho postato alla fine,sono i settori di una chiavetta usb FLASHDRIVE da 42 Gb che secondo me ha qualcosa che non va (si vede qualcosa anche nella cattura di MBRscan che ho postato piu su),al limite se possibile possiamo controllare anche quella per favore? so che il rootkit si annida anche nei FLASHDRIVE,confermi?
ecco i settori dell HD1

Immagine

PER FAVORE controlliamo anche i settori del FLASHDRIVE,questi sono 3

Immagine

da **stubborn74** » lun ott 15, 2012 6:43 pm

tecnico24 ha scritto:Disattiva il ripristino configurazione di sistema.
● Pannello di controllo
● Sistema e sicurezza
● Sistema
● Protezione sistema a sinistra
● togli il flag dal disco interessato e confermare con ok
Scarica
Stealth MBR rootkit detector
http://www2.gmer.net/mbr/mbr.exe
mettilo direttamente nella Directory C:\
riavvia il pc in modalita' provvisoria
http://www.MegaLab.it/articoli.php?id=817
Adesso fai start
digita esegui nella casella di ricerca ed aprilo
copia ed incolla
C:\mbr.exe -> OK e verrà a generarsi il primo log , MBR1
Quando ha finito fai di nuovo start
in esegui copia ed incolla
C:\mbr.exe -f
premi OK verrà a generarsi il secondo log MBR2
riavvia il pc in modalita' normale e in esegui digita nuovamente questo comando
C:\mbr.exe
Vera generato il terzo log , MBR3
allega i tre log di estensione .txt

tecnico,io ho eseguito tutto,ma 1) non mi ha salvato il file in c:\ ,l ho dovuto spostare io manualmente dopo averlo scaricato sul desktop,e nei permessi c era un account sconosciuto

Immagine

e poi di log non me ne ha generati 3,ma uno solo.... magari il problema sta nelle autorizzazioni di amministratore?

ecco il log,come vedi è pulito

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.0.6002 Disk: WDC_WD1600BEVS-60RST0 rev.04.01G04 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-4

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

ma Gmer non la pensa ancora così... boooo... [uhm]

da **Uomo_Senza_Sonno** » lun ott 15, 2012 6:47 pm

I settori che ti avevo indicato da postare erano riferiti al disco esterno, giusto per controllare intorno agli estremi di partizione, mentre per il disco principale i settori da visualizzare sono altri.
Ad ogni modo:
per il disco interno [hard disk 1], posta i seguenti settori: 1, 61, 62, 63, 312576704, 312576705, 312576706 e 312581808;

stubborn74 ha scritto:al limite se possibile possiamo controllare anche quella per favore? so che il rootkit si annida anche nei FLASHDRIVE,confermi?

Certamente, alcune varianti sfruttano l'autoplay delle pendrive e si installano, ma su FAT32 diventa più difficile insediarsi. Ad ogni modo dopo aver controllato il primo disco passiamo alla flashdrive. Di questa postami solo il settore 1.

stubborn74 ha scritto:ecco il log,come vedi è pulito

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.0.6002 Disk: WDC_WD1600BEVS-60RST0 rev.04.01G04 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-4

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

ma Gmer non la pensa ancora così..

Sicuramente è rimasto qualche rimasuglio e gmer continuerà a rilevarlo, dopo che mi posti i settori che ti ho chiesto facciamo un azzeramento mirato e il problema verrà risolto.

da **tecnico24** » lun ott 15, 2012 7:03 pm

stubborn74 ha scritto:[quote="tecnico24"

tecnico,io ho eseguito tutto,ma 1) non mi ha salvato il file in c:\ ,l ho dovuto spostare io manualmente dopo averlo scaricato sul desktop,e nei permessi c era un account sconosciuto

e poi di log non me ne ha generati 3,ma uno solo.... magari il problema sta nelle autorizzazioni di amministratore?

Start->Computer
tasto destro sul disco C:\
proprietà
scheda sicurezza
clicca in basso su avanzate
scheda proprietario

a questo punto inserisci il tuo user e se trovi qualche nome utente o strani simboli che non conosci rimuovili , poi dai applica e ok.
Riprova con il tool Stealth.

www.MegaLab.it

MBR rootkit code detected

MBR rootkit code detected

R: MBR rootkit code detected

Re: MBR rootkit code detected

Re: R: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Re: MBR rootkit code detected

Chi c’è in linea