Strano errore Avira [risolto]

[farbix89]

Oggi mentre scansionavo il PC di casa Avira 10 mi rileva un rootkit nel registro,ma non sa come rimuoverlo



Ho provato con L'Avira rescue CD,ma non risolve nulla.

Il problema si ripete ad ogni scansione,quest'ultima non la completa mai perché Avira la annulla.

Il log della scansione rootkit è molto vago

Avira AntiVir Personal

Report file date: sabato 17 aprile 2010 10:26



Scanning for 2011046 virus strains and unwanted programs.



The program is running as an unrestricted full version.

Online services are available:



Licensee : Avira AntiVir Personal - FREE Antivirus

Serial number :

Platform : Windows XP

Windows version : (Service Pack 3) [5.1.2600]

Boot mode : Normally booted

Username : Fabio

Computer name : fabio


Version information:

BUILD.DAT : 10.0.0.561 32098 Bytes 18/03/2010 15:46:00

AVSCAN.EXE : 10.0.2.3 433832 Bytes 07/03/2010 15:57:10

AVSCAN.DLL : 10.0.2.2 45928 Bytes 02/03/2010 10:48:47

LUKE.DLL : 10.0.2.3 104296 Bytes 07/03/2010 16:33:04

LUKERES.DLL : 10.0.0.1 12648 Bytes 10/02/2010 21:40:49

VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 07:05:36

VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 17:27:49

VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 15:37:42

VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 14:37:42

VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 09:29:03

VBASE005.VDF : 7.10.6.82 2494464 Bytes 15/04/2010 08:21:52

VBASE006.VDF : 7.10.6.83 2048 Bytes 15/04/2010 08:21:52

VBASE007.VDF : 7.10.6.84 2048 Bytes 15/04/2010 08:21:52

VBASE008.VDF : 7.10.6.85 2048 Bytes 15/04/2010 08:21:52

VBASE009.VDF : 7.10.6.86 2048 Bytes 15/04/2010 08:21:52

VBASE010.VDF : 7.10.6.87 2048 Bytes 15/04/2010 08:21:52

VBASE011.VDF : 7.10.6.88 2048 Bytes 15/04/2010 08:21:53

VBASE012.VDF : 7.10.6.89 2048 Bytes 15/04/2010 08:21:53

VBASE013.VDF : 7.10.6.90 2048 Bytes 15/04/2010 08:21:53

VBASE014.VDF : 7.10.6.91 2048 Bytes 15/04/2010 08:21:53

VBASE015.VDF : 7.10.6.92 2048 Bytes 15/04/2010 08:21:53

VBASE016.VDF : 7.10.6.93 2048 Bytes 15/04/2010 08:21:53

VBASE017.VDF : 7.10.6.94 2048 Bytes 15/04/2010 08:21:53

VBASE018.VDF : 7.10.6.95 2048 Bytes 15/04/2010 08:21:53

VBASE019.VDF : 7.10.6.96 2048 Bytes 15/04/2010 08:21:53

VBASE020.VDF : 7.10.6.97 2048 Bytes 15/04/2010 08:21:53

VBASE021.VDF : 7.10.6.98 2048 Bytes 15/04/2010 08:21:53

VBASE022.VDF : 7.10.6.99 2048 Bytes 15/04/2010 08:21:53

VBASE023.VDF : 7.10.6.100 2048 Bytes 15/04/2010 08:21:53

VBASE024.VDF : 7.10.6.101 2048 Bytes 15/04/2010 08:21:54

VBASE025.VDF : 7.10.6.102 2048 Bytes 15/04/2010 08:21:54

VBASE026.VDF : 7.10.6.103 2048 Bytes 15/04/2010 08:21:54

VBASE027.VDF : 7.10.6.104 2048 Bytes 15/04/2010 08:21:54

VBASE028.VDF : 7.10.6.105 2048 Bytes 15/04/2010 08:21:54

VBASE029.VDF : 7.10.6.106 2048 Bytes 15/04/2010 08:21:54

VBASE030.VDF : 7.10.6.107 2048 Bytes 15/04/2010 08:21:54

VBASE031.VDF : 7.10.6.115 78848 Bytes 16/04/2010 08:21:54

Engineversion : 8.2.1.220

AEVDF.DLL : 8.1.1.3 106868 Bytes 13/02/2010 10:16:21

AESCRIPT.DLL : 8.1.3.26 1286521 Bytes 17/04/2010 08:22:01

AESCN.DLL : 8.1.5.0 127347 Bytes 25/02/2010 16:38:41

AESBX.DLL : 8.1.2.1 254323 Bytes 17/03/2010 09:09:47

AERDL.DLL : 8.1.4.6 541043 Bytes 17/04/2010 08:22:00

AEPACK.DLL : 8.2.1.1 426358 Bytes 31/03/2010 13:18:10

AEOFFICE.DLL : 8.1.0.41 201083 Bytes 17/03/2010 09:09:46

AEHEUR.DLL : 8.1.1.24 2613623 Bytes 17/04/2010 08:21:59

AEHELP.DLL : 8.1.11.3 242039 Bytes 03/04/2010 18:11:06

AEGEN.DLL : 8.1.3.7 373106 Bytes 17/04/2010 08:21:55

AEEMU.DLL : 8.1.1.0 393587 Bytes 10/11/2009 07:04:22

AECORE.DLL : 8.1.13.1 188790 Bytes 03/04/2010 18:11:02

AEBB.DLL : 8.1.0.3 53618 Bytes 10/09/2009 10:15:06

AVWINLL.DLL : 10.0.0.0 19304 Bytes 14/01/2010 10:03:38

AVPREF.DLL : 10.0.0.0 44904 Bytes 14/01/2010 10:03:35

AVREP.DLL : 10.0.0.8 62209 Bytes 18/02/2010 14:47:40

AVREG.DLL : 10.0.1.2 52072 Bytes 29/01/2010 09:47:41

AVSCPLR.DLL : 10.0.2.3 83304 Bytes 07/03/2010 16:02:30

AVARKT.DLL : 10.0.0.13 227176 Bytes 07/03/2010 15:48:41

AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26/01/2010 07:53:30

SQLITE3.DLL : 3.6.19.0 355688 Bytes 28/01/2010 10:57:58

AVSMTP.DLL : 10.0.0.17 63848 Bytes 16/03/2010 13:38:56

NETNT.DLL : 10.0.0.0 11624 Bytes 19/02/2010 12:41:00

RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28/01/2010 11:10:20

RCTEXT.DLL : 10.0.46.0 97128 Bytes 05/03/2010 08:09:41



Configuration settings for the scan:

Jobname.............................: Scan for active malware

Configuration file..................: C:\Documents and Settings\All Users\Dati applicazioni\Avira\AntiVir Desktop\PROFILES\rootkit.avp

Logging.............................: low

Primary action......................: interactive

Secondary action....................: delete

Scan master boot sector.............: on

Scan boot sector....................: on

Process scan........................: on

Extended process scan...............: on

Scan registry.......................: on

Search for rootkits.................: on

Integrity checking of system files..: off

Scan all files......................: All files

Scan archives.......................: on

Recursion depth.....................: 20

Smart extensions....................: on

Macro heuristic.....................: on

File heuristic......................: high

Deviating risk categories...........: +PFS,+SPR,



Start of the scan: sabato 17 aprile 2010 10:26



Starting search for hidden objects.

At the end of the scan!

\Driver\Cdrom

[NOTE]

[stevens]

ciao


scarica combofix sul desktop

(non installare la recovery console)
Lascia lavorare il programma senza interferire
Allega il rapporto C:\ComboFix.txt nella tua risposta.

[ste_95]

Invece che ComboFix, andiamo direttamente con gli strumenti appositi.

Scarica GMER, poi segui i seguenti passaggi:

--- 1° passaggio ---
Avviamo gmer
clicchiamo su > > >
Clicchiamo su Autostart
mettiamo il segno di spunta a Show All
clicchiamo su Scan
al termine della scansione, clicchiamo su Copy
Apriamo il blocco note e premiamo CTRL+V (oppure clicchiamo su Modifica e poi su Incolla).
Salviamo il file e postastiamo sul forum il risultato facendo attenzione a queste regole.

--- 2° passaggio ---
Sempre nel programma appena scaricato (gmer),
clicchiamo su Rootkit
clicchiamo su Scan
al termine della scansione, clicchiamo su Copy
Apriamo il blocco note e premiamo CTRL+V (oppure clicchiamo su Modifica e poi su Incolla).
Salviamo il file e postastiamo sul forum il risultato facendo attenzione a queste regole.

[stevens]

Invece che ComboFix, andiamo direttamente con gli strumenti appositi.

combofix e' in grado di rimuovere anche quello.....

[farbix89]

tutto molto strano.

provo sia Gmer che combofix,ma il sistema crasha con una schermata blu del tipo "bad_pool_header"

sospetto che ad un'infezione si sia aggiunto un problema hardware

[ture]

Fai una scansione con Hitman 3.5 e vedi cosa ti dice.

[Matilda12]

Ciao Farbix89! ... oggi ci siamo già "sentiti", eh?! (...)

Tornando al contingente ...
Qualche suggerimento/domanda:

+ hai per caso installato un software emulatore di drive? ... tipo Daemon Tools?
+ se così fosse, in un certo senso, avrei confermata la mia prima impressione ... ossia un driver si è installato nella macchina e manda in crash, in particolari condizioni, tutto l'ambiente (QUI da una breve ricerca su Google);
+ puoi tentare la soluzione freeware AVZ Antiviral Toolkit dei laboratori Kasperksy (se non ricordo male, specializzata per "oggetti nascosti");
+ se fosse un rootkit, cerca di "abbatterlo" con quest'altro strumento (gratuito) Sophos Sophos Anti-Rootkit.

In bocca al lupo!

Matilda12

---EDIT---
Se hai fatto installazioni: tornato indietro con un qualche punto di ripristino?
Se non hai installato nulla: hai disattivato la funzione che crea punti di ripristino?

[farbix89]

hai per caso installato un software emulatore di drive? ... tipo Daemon Tools?

Infatti sul sistema ho installato da circa 2 mesi Daemon Tools

Possibile che il suo driver blocchi i tools sopra citati?e che venga visto come rootkit da Avira?

[crazy.cat]

e che venga visto come rootkit da Avira?

Lo vede come qualcosa di strano che non dovrebbe esserci.
Prova a disinstallare daemon e rifai la scansione.

[Matilda12]

... Prova a disinstallare daemon e rifai la scansione.

Assolutamente d'accordo ... soprattutto per il tipo di errore che segnali, Farbix89.

Le ultime release di Daemon Tools, nei miei sistemi, hanno sempre creato un po' di problemi, che la gloriosa edizione 3.47 non ha mai causato. (Esempio problemi: su macchina virtuale con Win2000, l'installazione andava a buon fine, mai poi comparivano crash improvvisi di sistema oppure tutto si riavviava ...)

Segui il consiglio di Crazy.Cat ed, eventualmente, cambia emulatore (MagicDisc può costituire un'alternativa).

Magari, può essere stato che un aggiornamento delle definizioni dei virus di Avira ha reso "poco gradito" il driver del tuo emulatore drive ... sembra un gioco di parole?!


Matilda12

[farbix89]

Era proprio daemon tools

appena disinstallato,ho scansionato ed Avira non segnala più nulla di anomalo

Uno dei miei software preferiti e più usati che se ne va

Ora provo MagicDisc e vediamo se non mi fa rimpiangere Daemon

[Matilda12]

Era proprio daemon tools

appena disinstallato,ho scansionato ed Avira non segnala più nulla di anomalo ...

Credo comunque che la "storica" versione 3.47 sia esente da tale inconveniente.
MagicDisc, secondo me, farà al caso tuo.

Matilda12