desktop scomparso

[beppe87]

mi è scomparso il desktop in seguito a un attacco da trojan. lo schermo è tutto azzurro, funziona solo task manager...cosa posso fare??

[Newbie111]

mi è scomparso il desktop in seguito a un attacco da trojan. lo schermo è tutto azzurro, funziona solo task manager...cosa posso fare??

se ti devi #armare# ti consiglio:

adware se personal (antispyware)
avast (antivirus)
O&O defrag (defrag)

ps: ce ne sono a dozzine di buoni sul web, e per il registro di consiglio:

registry aid first platinum (stai attento con quest' ultimo)

[beppe87]

grazie per i consigli sugli "armamenti" , ma come posso fare per risolvere il problema specifico del desktop?

[Newbie111]

grazie per i consigli sugli "armamenti" , ma come posso fare per risolvere il problema specifico del desktop?

penso che gia in molti te l' abbiano detto,, lo ripulisci con quei programmi poi se non funczia, non ti rimane altro che fare un backup e formattare
Ciauzzz

[Luke57]

Ciao, a parte i consigli un pò sbrigativi già ricevuti, fai questa indagine, per piacere.
Apri il taskmanager, vai su File>nuova operazione scrivi regedit.exe>Ok, si apre il registro di sistema, cliccando sul segno + accanto alle singole voci verifica questo percorso:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options controlla se tra le varie sottovoci dell'ultima è presente
explorer.exe
Se sì,clicca sulla voce medesima e verifica che cosa trovi al suo interno.
Comunica poi il risultato in un post.
Verifica anche questa voce:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, click su winlogon, vai sulla parte destra della finestra e verifica che cosa trovi accanto alla voce
userinit

[beppe87]

allora, in explorer.exe ci son 2 file, uno si chiama (predefinito), tipo REG_SZ, (valore non impostato), l'altro si chiama debugger, tipo REG_SZ, dati C:\WINDOWS\w32dbg.exe.
Nell'altro posto c'è un solo file, si chiama (Predefinito), tipo REG_SZ, (valore non impostato).
Ti basta? Grazie comunque!

[Luke57]

Ciao, vai su file>nuova operazione, scrivi regedt32>OK, si apre il registro di sistema, vai alla voce explorer.exe cliccando sul segno + accanto alle singole voci del seguente percorso:
HKEY_LOCAL_MACHINE
SOFTWARE
Microsoft
Windows NT
CurrentVersion
Image File Execution Options
explorer.exe

click tasto dx su explorer.exe>Autorizzazioni>Avanzate>premi il tab.Proprietario>autorizza l'Utente del computer>OK. Torni alla pagina principale, metti la spunta a Controllo completo e In lettura>OK. A questo punto, click tasto dx sulla voce e scegli Elimina.
Chiudi il registro

3)Sempre dal task manager , vai su file>nuova operazione e scrivi explorer.exe >OK per ripristinare il desktop.

verifica di aver effettivamente tolto la voce explorer.exe, riavviando il computer e controllando nel registro.


Poi fai anche questi controlli, sempre nel registro di sistema:

HKEY_LOCAL_MACHINE
SOFTWARE
Microsoft
RFC1156Agent
se trovi la voce che ti indico in neretto, click tasto dx e scegli Elimina

2)HKEY_LOCAL_MACHINE
SOFTWARE
Macromedia
ShockPlayer32
se trovi la voce in neretto click tasto dx e scegli Elimina

3)HKEY_LOCAL_MACHINE
SOFTWARE
Microsoft
Internet Explorer
AdvancedOptions
sotto l'ultima voce in neretto, se trovi sottochiavi con nome causale con 5 lettere ( possono essere una o più) vanno eliminate
(però in questo caso è meglio, prima di cancellare informare nel forum il nome di quelle trovate)

Cerca ed elimina le stesse voci , se presenti, sotto la chiave iniziale di registro:
1)HKEY_CURRENT_USER
SOFTWARE
Microsoft
Internet Explorer
AdvancedOptions
Nome causale con 5 lettere (stesso discorso di informare)

2)HKEY_CURRENT_USER
SOFTWARE
Macromedia
ShockPlayer32

3)HKEY_CURRENT_USER
SOFTWARE
Microsoft
RFC1156Agent

Inoltre, scarica questi due tools:

prevx
http://www.prevx.com/gromozon.asp

Tool di rimozione della Symantec:
http://securityresponse.symantec.com/av ... inkopt.exe

Eseguili uno alla volta; disattiva il tuo antivirus durante la scansione.

Quello della prevx fa riavviare il computer e al riavvio viene completata la scansione, al termine della quale viene rilasciato un report che trovi in C:\Gromozon_Removal.log.

Poi esegui il tool della symantec (dalla modalità provvisoria; se
non sai come andarci, premi ripetutamente il tasto F8 all'accensione del computer prima che inizi a caricarsi windows; sulla schermata grigia che appare scegli modalità provvisoria spostandoti con le freccette e premendo invio).

Anche questo tool rilascia un rapporto della scansione nella cartella dove
hai messo il file (Fixlinkopt.log)
Invia anche questo rapporto.

[beppe87]

son riuscito a ripristinare il desktop, grazie! Poi ho fatto quelle verifiche che mi dicevi: sotto HKEY_LOCAL MACHINE...Adv. Options ho trovato Vbfvb; idem per gli altri 2, mentre l'ultima voce non l'ho proprio trovata! Poi ho scaricato Prevx, ho fatto la scansione ma gli ho detto di rimuovere prime di copiarmi il rapporto...del resto ero pieno di porcherie, lui me ne ha trovate 11, e avevo già fatto una scansione con AVG (che poi ho disinstallato). Il secondo tool non l'ho scaricato, perchè nel nome del file compare trojan. qualcosa...ho pensato che era meglio lasciar perdere...
tra l'altro, anche se ora secondo prevx il pc è pulito, continuano a comparirmi finestre con scritto Spyware alert, dicendomi che sono sotto attacco...come mai? e poi, è vero che dopo 31 giorni il prevx devo cominciare a pagarlo?
Grazie infinite ancora per il desktop!!

[beppe87]

per l'esattezza, l'avviso mi dice che sono sotto attacco di Trojan.W32.Looksky...ma queste finestre di che programma sono? Di qualche antivirus che non ho provveduto a disinstallare e che ora sta ''litigando'' con prevx?

[Luke57]

Ciao, andava eseguito anche il secondo tool, fra l'altro non so come hai fatto a vedere che appare il nome trojan, forse un'allucinazione
Elimina Vbfvb
poi scarica systemscan
http://www.suspectfile.com/systemscan
aprilo ed assicurati che tutte le opzioni siano spuntate, clicca su "Scan Now" al termine della scansione verrà rilasciato in C:\suspectfile un file con estensione .zip (data+ora+.zip)
Vai su http://www.sendmefile.com carica il file e nella tua prossima risposta scrivi l'URL , che ti sarà fornito, per scaricarlo.

[beppe87]

c'è un problema: il desktop è scomparso di nuovo; la cosa peggiore è che dal registro di sistema è scomparsa la voce HKEY_LOCAL MACHINE...aiuto che faccio

[beppe87]

rettifico: la voce in questione c'è ancora, tuttavia la voce eplorer.exe non c'è più...

[beppe87]

rettifico ulteriormente: mentre stavo spegnendo, è comparsa una finestra che diceva "era impossivile eseguire il file explorer.exe, se si vuole chiudere l'applicazione scegli termina adesso": io l'ho fatto, il pc si è spento , poi l'ho riacceso e il desktop c'era di nuovo...fiuuuu! ora provo a scaricare quello che mi hai detto...

[Letalindustry]

Ciao a tutti..io ho lo stesso problema di beppe..ho seguito i vostri consigli riguardo il regedit..ma purtroppo nn c'è stato nulla da fare..ho scaricato l'ultimo programma,ha fatto la scansione ed ho qui il file dopo la scansione:

file link: http://www.sendmefile.com/00575854

Vi prego aiutatemi..

grazie a tutti!

[Luke57]

Ciao a tutti..io ho lo stesso problema di beppe..ho seguito i vostri consigli riguardo il regedit..ma purtroppo nn c'è stato nulla da fare..ho scaricato l'ultimo programma,ha fatto la scansione ed ho qui il file dopo la scansione:

file link: http://www.sendmefile.com/00575854

Vi prego aiutatemi..

grazie a tutti!

Ciao, andando a vedere quel link mi sono infettato da istantacces (dialer), quindi si PREGA di rimuoverlo , GRAZIE.