Rootkit MBR:\\.\PHYSICALDRIVE0

[ottobre_rosso]

Figurati: dovere ma anche piacere

[k501]

Inviato da RNicoletto

EDIT - In realtà si potrebbe provare a rimuovere la nuova variante di questo rootkit anche con questi due tool:[list][*]mbr.exe fornito dagli autori di GMER;

Ottimo! Non conoscevo neppure io l'esistenza di questo tool! Ora me lo scarico e lo tengo buono buono in caso di emergenza!

[c33c]

Ho avuto lo stesso problema due giorni fà , scovato dopo un aggiornamento di avast, dove un laconico messaggio diceva:

STATO TROVATO UN ROOTKIT

NOME DEL FILE MBR:\\.\PHYSICALDRIVE0
TIPO ROOTKIT: FILE NASCOSTO



risolto grazie alla strada indicata da ottobre rosso

[leofelix]

vi segnalo anche questo tool molto ben fatto e accurato
http://forums.spybot.info/showthread.php?t=24185

è in fase di preview, appena aggiornato alla versione 0.1.3.26 (900 kb) ma secondo me già da prendere in seria considerazione. Stand alone e freeware

http://www.spybotupdates.com/files/rootalyz.zip

da tenere a portata di chiavetta

[ffonty]

salve a tutti...

mi sono trovato anche io i questi giorni un messaggio di Avast che i segnalava la presenza di un kootkit MBR:\\PHYSICALDRIVE0 ma che non riesce ad eliminare (avast 4.8 home)

devo ancora provare ad eliminarlo, ma mi sono scaricato tutti i tools che avete segnalato e sono fiducioso i riuscire a risolvere il problema...

io però nella mia infinita ignoranza non avevo mai sentito prima parlare di rootkit... quindi il mio intervento è giustificato per chiedere 2 cose:

1) come si becca una cosa del genere in modo da evitare di fare il bis... nel senso è una cosa che si becca classicamente navigando, o visto che si parla di MBR è una cosa potrebbe già esistere nel disko (il mio è un hdd nuovo) <-- se la domanda è troppo stupida accetto insulti!!

2) che tipo di problemi provoca??
blocca il pc del tipo sono giorni che non riesco più a spegnere/riavviare il computer senza doverlo fare forzatamente... o devo preoccuparmi di cambiare tutte le password del home banking??

[crazy.cat]

Inviato da ffonty

salve a tutti...

1) Di solito si becca navigando, scaricando programmi a casaccio dal P2P sopratutto emule (il virus bagle un rootkit pure lui è diffusissimo), qualche volta sono stati venduti delle partite di hard disk con virus incluso ma è un caso raro.

Come si evita, usando il cervello, provando i file sospetti su virustotal.com o in un ambiente virtuale, cambiando antivirus visto che avast fa piuttosto schifo ultimamente, ma contro i rootkit faticano quasi tutti ormai.

2) Cosa provocano, rallentamenti, danneggiamento di alcune funzioni del pc, il bagle per esempio rimuove tutti i programmi di sicurezza, quindi un po di tutto.

Il cambio password ogni tanto non fa mai male.

[ffonty]

ah ok... strano che non ne abbia mai preso uno prima insomma!

ora che ci penso avast ha iniziato a segnalarmi il rootkit dopo essere passato dalla versione 4.7 alla 4.8... sicuramente una coincidenza...

cmq sia per amor di cronaca fra i vari tools che avete postato l'unico che ha rilevato il rootkit e lo ha eliminato è stato quello di "Gmer" mbr.exe

grazie di tutto a tutti!!

[Alexxx89]

Salve a tutti
vi preannuncio che sono abbastanza ignorante in materia! Ho avuto lo stesso problema negli ultimi giorni e ho provato, come suggerito, a scaricare da quel collegamento mbr il file e ad eseguire, ma scarica solo un file blocco note e ovviamente al riavvio il problema persiste... Nel file blocco note suggerisce di fare alcune operazioni che però non capisco... Potete aiutarmi?

[leofelix]

Inviato da Alexxx89

Salve a tutti
vi preannuncio che sono abbastanza ignorante in materia! Ho avuto lo stesso problema negli ultimi giorni e ho provato, come suggerito, a scaricare da quel collegamento mbr il file e ad eseguire, ma scarica solo un file blocco note e ovviamente al riavvio il problema persiste... Nel file blocco note suggerisce di fare alcune operazioni che però non capisco... Potete aiutarmi?

ben venuto

si apre il blocco notes invece che l'eseguibile?
Prova a ripristinare le associazioni dei file exe probabilmente compromessi dal trojan usando questo tool gratuito della ESET il FixExe.com

quindi una volta riavviato potresti controllare se per caso hai contratto una variante dello Spyware CWShred / Trojan Start page usando questi due tool di rimozione gratuita

http://www.trendmicro.com/ftp/produc...cwshredder.exe (per win 98/Me/2000/XP )

e questo

http://www.ikarus.at/downloadfiles//..._Startpage.exe

Quindi procedi pure scaricando e utilizzando questo tool specifico per le rootkit che intaccano i settori di avvio:

http://forum.wintricks.it/showpost.p...87&postcount=2


Spero di esserti stato di aiuto resto in attesa di un tuo gradito riscontro in merito