Virus invisibile ed introvabile! chiedo aiuto

[Philo]

aiutatemi perfavore, sul mio vista credo di aver preso 1virus perchè non posso + aprire firefox, internet explorer è manomesso(impostazioni insicure, aggiorna all'infinito le pagine, ecc..)inoltre mi ha incasinato i privilegi di amministratore, e mi ha disattivato windows aereo, non mi fa installare programmi, mi interrompe lo strumento di rimozionemalware, insomma mi ha fatto 1macello...
ho fatto 1 scansione con l'AVG 8.0 internet security, ma niente, non trova niente, allora dalla partizione del win xp, ho avvaito 1scansione sulla partizione di vista(quella infetta) con:
-il tool della kaspersky: non trova niente;
-l'anti rootkit del mio AVG 8.0 I.S.: niente;
-hijack this: trovati 4problemi sul settore 015(internet), ma non so cm levarli.
ora, mi sarebbe utile scoprire il nome di questo bastar*o, cosi forse trovo la patch per eliminarlo, ma se non lo trova nessuno, e se sopratutto non mi fa installare niente...
aiutatemi perfavore...

[cascavel]

allega il log di hijackthis in formato .TXT eseguito con questa versione http://www.trendsecure.com/portal/en...HiJackThis.exe

[Philo]

ok, appena posso lo faccio...(spero che non me lo blocchi quel maledetto)

[Philo]

Questo è il log che avevo fatto con la versione installata di hijcak this, l'altro ieri (settore 015 come dicevo):

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23.37.05, on 05/10/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

[Philo]

queste sono le maledette 015:
O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone
O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone

[cascavel]

ripeti hijackthis, sleziona la voce do a systemscan only, aggiungi la spunta accanto a queste voci :

O15 - ProtocolDefaults: '@ivt' protocol is in My Computer Zone, should be Intranet Zone

O15 - ProtocolDefaults: 'file' protocol is in My Computer Zone, should be Internet Zone

O15 - ProtocolDefaults: 'ftp' protocol is in My Computer Zone, should be Internet Zone

O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone

O15 - ProtocolDefaults: 'https' protocol is in My Computer Zone, should be Internet Zone

e premi FIX CHECKED

Scarica ed esegui Lop S&D.exe
http://eric.71.mespages.googlepages.com/LopSD.exe
- doppio click su Lop S&D presente sul tuo desktop
- scegli la lingua e seleziona 1 (ricerca)
- attendi che termini la scansione......
- allega il log (C:\lopR.txt) insieme ad un altro log di hijackthis eseguito dopo Lop S&D

p.s. il tool Lop S&D e' stand alone e di solito e' usato per altri scopi, in questo caso ti chiedo di eseguirlo per verificare delle cose...

[Philo]

ok, farò come dici...non credo di farcela per sta notte...forse domani, perchè adesso sto usando la pasrtizione con XP...
grazie 1000 per l'aiuto che mi stai dando

[cascavel]

e' molto rapido come lavoro, fallo comunque con calma quando ritieni opportuno, ciao

[Philo]

acc. non posso aprire nessun eseguibile, nemmeno i programmi installatai, non posso aprire i .bat, il cmd da esegui, il regedit, usare 1qualsiasi browser, non posso fare niente!!
aiutatemi, cosa faccio???

[Philo]

l'errore che compare è:
impossibile aprire dispositivo, percorso o file. privilegi insufficienti."
secondo me è colpa del account di amministratore completo in vista che ho creato via prompt, ma adesso ho eliminato l'account

[Philo]

Inviato da cascavel

Scarica ed esegui Lop S&D.exe

si può usare Lop S&D.exe e hijack this dalla partizione H dove non sono infetto??

[cascavel]

lascia perdere Lop S&D per ora usa questo http://www.pcalsicuro.com/main/guida-a-gmer/ nella pagina c'e' il download e la spiegazione...

[Philo]

ascolta g-mer l'avevo provato quando ancora potevo aprire gli eseguibili, ma ad un certo punto mi è comparsa una schermata blu di errore che diceva che c'èra 1errore con g-mer, e che per proteggere il pc si era spento...
..adesso riprovo ad usare g-mer dalla partizione non infettata

P.S: come non detto, la schermata blu è un errore difffuso, appena letto

[Philo]

ho creato 1nuovo account amministratore con la password in cui posso fare quello che voglio, ho fatto scansione cn hijackthis ma non ha il settore 015, e sembra pulito, adesso provo lo strumento di rimozione malware

[Philo]

ragazzi forse ce l'ho fatta:
0)ho scollegato il cavo di internet, per essere sicuro che nessun comando remoto avvenisse;
1) ho creato 1nuovo account amministratore (con la password molto complessa) in cui potevo fare tutto;
2) appena aperto questo account per la 1volta, ho salvato il log.txt di hijackthis e l'ho analizzato su un'altro pc;
3)siccome mi si era crashato perchè mi ero dimenticato di reimpostare il bios in raid e non ide, sono rientrato su questo account, in cui ho fatto 1altro log con hijack-this e l'ho confrontato con quello precedente: ta-da! sbuca 1certo processo: mrtstub.exe sul percorso C:\5d10[stringa alfanumerica tipo quelle delle chiavi di registro]\mrtstub.exe, e nello stesso percorso vi era anche mrt(forse simile a quello originale del system32 che serve a rimuovere i malware, anch'esso mrt), poi ho visto che erano 2/3 i percorsi (tutti vicini) ad avere mrtstub.exe,ho cercato su internet e ho trovato vari siti che dicevano che è 1malware non classificato che ne scarica degli altri, allora le ho cancellate tutte;
4)sono andato nel registro di sistema, ho fatto ctrl + F per cercare se c'èra qualcosa che si riferisse a mrtstub, ed ho trovato 2chiavi (1mrt, e l'altra mrtstub)su shell/ms0cache che forse erano i responsabili.
5)senza averlo spento, ho provato ad avviare lo strumento di rimozione malware ma lo stesso errore di prima , secondo me perchè il mrt del system32 è corrotto, adesso vedrò

ora controllerò il pc per vedere se continua a comportarsi in modo strano, casomai ve lo faccio sapere, e comunque grazie tante per l'aiuto!