MBR rootkit code detected

[stubborn74]

per tutti coloro che seguono questo post:
il comando giusto non è bootrec /rebuildCD
bensì bootrec /rebuildBcd

[stubborn74]

cerco un parere da chiunque abbia usato e conosca il tool Gmer:
secondo voi Gmer sfarlocca,prende granchi,toppa,fallisce,sbaglia,da falsi positivi ecc. ecc.?

oppure è affidabile?

[sampei.nihira]

Salve "testardo".
Leggi la guida sotto:

http://www.selectrealsecurity.com/malware-removal-guide

E magari sottoponi il tuo pc a qualche test con i sw.
Se non avrai alcun riscontro.......trai le tue conclusioni.

In merito a Gmer io ad esempio nel mio pc non posso usarlo perché mi causa un BSOD.

p.s. Non mi chiedere nulla però....il mio settore è la prevenzione.

[stubborn74]

Salve "testardo".
Leggi la guida sotto:

http://www.selectrealsecurity.com/malware-removal-guide

E magari sottoponi il tuo pc a qualche test con i sw.
Se non avrai alcun riscontro.......trai le tue conclusioni.

In merito a Gmer io ad esempio nel mio pc non posso usarlo perché mi causa un BSOD.

p.s. Non mi chiedere nulla però....il mio settore è la prevenzione.

i test li ho fatti tutti,kiedimi un log e te lo do.

dici che a te Gmer non ti funziona? io poco fa ho scoperto che gmer parte anche da console di ripristino,e in quel modo non causa bsod,ho provato esattamente 20 minuti fa,credo tu sia in grado di provare anche sul tuo pc,altrimenti ti posso tranquillamente dire come ho fatto. fra 5 minuti posto una cattura presa col cellulare da consol di ripristino e vedi cosa mi ha trovato... stavo appunto aspettando uomo_senza_sonno per mostrargli anche questa nuova immagine

[sampei.nihira]

Non mi funzionava (da molto tempo quindi) nel pc con XP.
Adesso non sò magari la cosa è cambiata (ma non credo).
Ma ovviamente non mi interessa verificare.
Anche perché nel mio caso l'utilità di aver Gmer nel pc è pari a 0.

[stubborn74]

[Uomo_Senza_Sonno]

Mi fai vedere il settore 0 del disco con FAT32? Ad ogni modo, se è presente del codice rootkit all'interno del filesystem dovrebbe essere rilevato dall'antivirus e rimosso senza grossi problemi.

[stubborn74]

qual è il disco FAT32? Con quale nome viene definito nel tool HxD nel menù apertura disco?




io volevo sapere se posso azzerare questo settore

[stubborn74]

ecco il settore del FAT32 che mi hai chiesto... ho visto cè qualcosa di strano anche quì,e si vede

ho bisogno anche che tu mi dica cosa devo fare per quanto riguarda il serrore che mi indica Gmer,grazie.

[stubborn74]

[Uomo_Senza_Sonno]

Non devi aprire la partizione, ma devi aprire il disco fisico anche per la flashdrive, in questo modo visualizzi solo la partizione del disco e non il MBR.

[stubborn74]

Non devi aprire la partizione, ma devi aprire il disco fisico anche per la flashdrive, in questo modo visualizzi solo la partizione del disco e non il MBR.

ECCO il settore,avevo capito male...






mi potresti dire gentilmente (a me e anche alle altre persone che leggono il post) quali simboli e segni possono essere un riconoscimento del rootkit
nella tabella sulla destra di HxD? così,visto che possono essere cercati con l apposito tasto,possiamo cercarli anche da noi.

[Uomo_Senza_Sonno]

Va bene, ora posta i settori 1, 62, 63, 62508914, 62508915 e 62521312;

mi potresti dire gentilmente (a me e anche alle altre persone che leggono il post) quali simboli e segni possono essere un riconoscimento del rootkit

Non ci sono simboli precisi, ma bisogna andare a vedere se sono presenti dei settori scritti all'esterno del filesystem. Nel tuo caso, nella flashdrive i settori che andranno da 1 a 62 dovrebbero essere scritti da una lunga serie di Y, e con grossa probabilità anche dai settori 62508915 a 62521312. Ma se questo è confermato non hai traccia di rootkit nemmeno nella flashdrive.

io volevo sapere se posso azzerare questo settore

Non toccarlo assolutamente, c'è i concreto rischio di non far ripartire il SO.

[stubborn74]

ecco i settori 1, 62, 63, 62508914, 62508915 (il settore 62521312 non me lo da,arriva solo sino al settore 62521311 che ho postato ugualmente)













il settore 62521312 non me lo da,arriva solo sino al settore 62521311 che ho postato ugualmente

[Uomo_Senza_Sonno]

Anche la flashdrive è pulita, se vuoi facciamo un controllo sugli eventuali altri supporti esterni che hai a disposizione ma a questo punto mi viene da pensare ad un falso positivo di Gmer.

[stubborn74]

Anche la flashdrive è pulita, se vuoi facciamo un controllo sugli eventuali altri supporti esterni che hai a disposizione ma a questo punto mi viene da pensare ad un falso positivo di Gmer.

ok,facciamolo...
comunque Gmer non ha mai dato falsi positivi.. non sono molto tranquillo seppur mi fido di te.

e nei dvd rw possono entrarci i rootkit? o nei cd

[Uomo_Senza_Sonno]

No, nei dvd o cd non ci possono stare in quanto è differente la struttura di scrittura dei dati. Ad ogni modo, hai provato a fare una scansione con un rescue disk per fugare ogni dubbio?

[stubborn74]

sì,ho fatto 4 scansioni questa settimana:

una con avira CD rescue----------------------------------------(negativa al 100%)..........................................durata 1 ora 47

una con Kasperky CD--------------------------------------------(nessuna traccia di nessun tipo di virus)........................durata 3 ore 18

una con GData---------------------------------------------------(ha trovato solo un piccolissimo file.dat da 3 kb in locale).....durata 2 ore 20

e infine una,la piu importante con drwebliveusb------------(usato in una modalità che lui chiama "provisional" ha trovato 17 infezioni in 4 servizi di windows svchost.exe,e uno lo ha trovato in wininit.exe ma non è riuscito a rimuoverlo)....................................................durata 8 ore 55

[stubborn74]

abbandoniamo? dici che Gmer ha sfarloccato di brutto? ma quel virus che ho ancora in wininit.exe
(e che è ancora residente) possa avere qualcosa a che fare?

[hashcat]

Puoi postare il log della scansione di Dr.Web?