Windows XP e Microsoft Security Alert - come rimuoverlo?

[Raiko]

Salve a tutti, premetto che sono un possessore Apple quindi sono fuori dall' ambiente Windows da un bel po', la domanda che vi faccio riguarda mia sorella che ha un PC con Windows XP. Purtroppo (o per fortuna) non abita nella mia città, quindi non posso fisicamente spostarmi da lei ma devo darle una mano telefonicamente.

Ieri mi ha telefonato dicendomi che le compare questa finestra che le impedisce di aprire internet ed altre applicazioni:





Cercando su google mi è parso di capire che si tratti di un trojan o qualcosa del genere, ho trovato diversi modi per eliminarlo, anche video su YouTube, le ho provate tutte ma niente da fare, non sono ancora riuscito ad aiutarla!

Ho provato a farle cercare il file con la funzione "Cerca", dal TaskManager, sono riuscito addirittura a portarla in Modalità Provvisoria, è abbastanza impedita quindi è stato già un grande traguardo, ma niente, neanche in provvisoria riesce ad accedere ad internet. L' obiettivo era quello di farle scaricare Malwarebytes, almeno così mi è parso di capire che si debba fare dai tutorial su YT, ma niente.

A questo punto non so più cosa dirle.

Vi prego indirizzatemi voi perchè non so che fare, Windows oramai per me è uno strumento sconosciuto quindi ho solo ricordi vaghi di qualche anno fa quando lo usavo.

[antoo69]

Scarica e installa Hijackthis versione 2.04. Poi falle fare la scansione e posta il testo del file log che verrà creato, così vediamo se ci sono altre infezioni o problemi.

[thedregs]

Posto alcuni links che parlano di questi "rompi" che sono falsi come una banconota da 52 euro, e non dimenticate ragazzi, servono anticorpi forti e la "magletta della salute"
http://edetools.blogspot.com/2010/09/fake-microsoft-security-essentials-5.html
http://www.youtube.com/watch?v=AcHHhjzlarQ
http://www.bleepingcomputer.com/virus-removal/remove-fake-microsoft-security-essentials-alert
http://www.precisesecurity.com/rogue/fake-microsoft-security-essentials-alert/
Traduzione Grazie a Daniele http://it.answers.yahoo.com/my/profile;_ylt=AtHncYauQpHMSdQjmMETchCuOBV.;_ylv=3?show=I9YFqhctaa
http://it.answers.yahoo.com/question/index;_ylt=AindEdnRao0kHaVGyNTdUebxDQx.;_ylv=3?qid=20100912054645AA3YD9F&show=7#profile-info-NRDXE2Z8aa
1. Termina il finto Microsoft Security Essential Alert premendo Ctrl+Alt+Canc. Si apre il Task Manager, e cerca e termina questi processi (nella 2° scheda):
(caratteri a caso).exe
avsuite.exe
avsoft.exe

2. Aggiorna il tuo antivirus (se non ce l'hai scarica Avira Antivir: http://download.html.it/software/getit/4… ovviamente se riavvii devi reincominciare da capo)

3. Esegui una scansione completa.

4. Se ci sono ancora elimina questi files:
%UserProfile%\Application Data\PAV\
%UserProfile%\Application Data\antispy.exe
%UserProfile%\Application Data\defender.exe
%UserProfile%\Application Data\tmp.exe
%UserProfile%\Local Settings\Temp\(caratteri a caso).bat


al posto di %UserProfile% devi andare nella cartella del tuo profilo. Se hai WinXP devi andare in C:\Documents and Settings\TuoProfilo\. Se hai WinVista/7 in c:\Users\TuoProfilo\.
In ogni caso devi anche mostrare i file nascosti e di sistema (devi andare in opzioni cartella).
Purtroppo non ti so dire come si chiamano in italiano quelle cartelle devi intuirlo...

4. Vai in Start->Esegui e digiti regedit poi invio. Dove ti si apre devi cancellare queste chiavi di registro (se ci sono ancora) (le scorri di lato e quando le trovi fai canc):

HKEY_CURRENT_USER\Software\PAV
HKEY_CURRENT_USER\Software\Microsoft\W… Settings "WarnonBadCertRecving" = "0"
HKEY_CURRENT_USER\Software\Microsoft\W… Settings "WarnOnPostRedirect" = "0"
HKEY_CURRENT_USER\Software\Microsoft\W… "tmp"
HKEY_CURRENT_USER\Software\Microsoft\W… "SelfdelNT"
HKEY_CURRENT_USER\Software\Microsoft\W… NT\CurrentVersion\Winlogon "Shell" = "%UserProfile%\Application Data\antispy.exe"

5. Esci.

6. Vai su Start > Esegui, scrivi msconfig, invio. Si apre la System Configuration Utility. Vai nella scheda Startup (forse Avvio, non so com'è in italiano) e deseleziona questi elementi:
(caratteri a caso).exe
avsuite.exe
avsoft.exe

7. Clicca su applica e riavvia il computer.

Buona fortuna...

P.S.: Se a qualcuno può interessare non ho un antivirus ma ho una configurazione e un firewall a prova di bomba che dal 2003 fanno il loro mestiere.

[Raiko]

Grazie mille per la guida thedregs, vorrei farti una domanda, nel caso in cui decidessi di farla formattare quali sono le precauzioni da prendere per evitare questi spiacevoli inconvenienti?

Io le ho sempre fatto installare solo AVG Free perchè ai tempi usavo questo, dici che è meglio Antivir? E' free o a pagamento? Ci sono altri programmi da installare per proteggere ancora meglio il computer?

Non vorrei che anche dopo il format in futuro si ripresentasse il suddetto problema...

[gahan]

Sposto in Sicurezza e Privacy

[Riverside]

nel caso in cui decidessi di farla formattare quali sono le precauzioni da prendere per evitare questi spiacevoli inconvenienti?

Ciao Raiko, se ci fossero le condizioi, non è necessario arrrivare al format.
Le uniche due cose da capire sono:
1) tua sorella riesce a collegersi ad Internet? (escludo che la mancata possibilità di connessione sia dovuta al software Rogue che involontariamente ha scaricato);
2) in quel caso (mancata connettività) tua sorella è in grado (attraverso il computer di una amica) di iscriversi e collegarsi al forum (indicale questa discussione), in maniera da poter scaricare (su una pendrive) un paio di tool di rimozione e (relativa guida d'uso) che risolverebbero la questione?

***off topic***:

...... e non dimenticate ragazzi, servono anticorpi forti e la "magletta della salute"

Direi di no: basta un pochino di attenzione.

Se a qualcuno può interessare non ho un antivirus ma ho una configurazione e un firewall a prova di bomba che dal 2003 fanno il loro mestiere.

Non credo che la cosa possa destare grande interesse .... per il resto ..... convinto tu
***fine off topic***

[Raiko]

Allora sta già formattando...

Detto ciò quali sono le precauzioni migliori da prendere? Va bene AVG Free o sarebbe meglio un altro antivirus? Altri tool che possano essere utili?

[Riverside]

Allora sta già formattando... .... Detto ciò quali sono le precauzioni migliori da prendere?

Intanto installare Avira Antivir (versione Fee) : link download

Poi installare le versioni aggiornate:
● Adobe Reader: clicca qui per il download
● Adobe Flash Player: clicca qui per il download
● JavaSun: clicca qui per il download

NOTA: in tutti e tre i casi potrebbe venire proposta la installazione di componenti aggiuntivi (es. Google toolbar): non installare, quindi togli la spunta alla relativa voce;

Subito dopo, installare tutti gli aggiornamenti disponibili da Windows Update (a partire dal SP3 di Windows XP).

In ogni caso le conviene registrarsi al forum e vedremo il resto.

[edgar]

Due precisazioni:

Messaggio di thedregs » 10/10/10 14:01
…......
1. Termina il finto Microsoft Security Essential Alert premendo Ctrl+Alt+Canc. Si apre il Task Manager, e cerca e termina questi processi (nella 2° scheda):
(caratteri a caso).exe...........

Nelle versioni del malware da me analizzate in ambiente Vbox il Task Manager viene disabilitato rendendone impossibile l'esecuzione

Prova di questo e' che http://www.bleepingcomputer.com/virus-removal/remove-fake-microsoft-security-essentials-alert fa scaricare un programma esterno per bloccare i tasks attivi del malware...“.............Before we can do anything we must first end the processes that belong to Fake Microsoft Security Essentials Alert Trojan and AntiSpySafeguard so that it does not interfere with the cleaning procedure. To do this, download the following file to your desktop. rkill.com Download Link …...”

Quindi , almeno da quello che succede nei casi analizzati in ambiente VBOX CTRL – ALT – CANC non funziona

Messaggiodi Riverside » 11/10/10 15:58

…....... (escludo che la mancata possibilità di connessione sia dovuta al software Rogue che involontariamente ha scaricato);

Anche se la connessione internet e' attiva, il malware Microsoft Security Alert blocca i browsers in uso sul PC (rilevato blocco di Firefox e Explorer) (probabilmente anche Opera) e quindi il risultato e' praticamente equivalente ad una connessione messa OFF- line...

In questo caso la soluzione migliore e' usare un altro PC per connettersi e scaricare i tools di rimozione come suggerito ...

Saluti

Edgar from Bangkok http://edetools.blogspot.com/

[Riverside]

Anche se la connessione internet e' attiva, il malware Microsoft Security Alert blocca i browsers in uso sul PC (rilevato blocco di Firefox e Explorer) (probabilmente anche Opera) e quindi il risultato e' praticamente equivalente ad una connessione messa OFF- line...

Ciao Edgar naturalmente, grazie per la segnalazione ( un pochino bastardello questo rogue ); ne terrò conto se mai dovesse ripetersi con qualche altro utente.

[Raiko]

Ok installato Avira Antivir Free. Ma alla fine dice 30 giorni fino alla scadenza, come mai?

Antivir basta a tenere sicuro il PC da questi pseudo virus?

[Riverside]

Ok installato Avira Antivir Free.

Perchè avrà installato la Premium e non la free.

Antivir basta a tenere sicuro il PC da questi pseudo virus?

D'accordo che sei migrato a Mac ..... ma dovresti sapere che su Windows, ovviamente, non basta
Senti, cosi è parecchio complicato: visto che tua sorella ora ha la connessione, falla registrare sul forum e vedrò, direttamente, con lei, come procedere.

[Giugius]

Ciao ragazzi, è da ieri che ho contratto a lavoro il virus in questione. Sono tutti in ferie, capi e assistenza tecnica. Mi aiutate passo passo a rimuoverlo?

[Luke57]

Ciao, riavvia in modalità provvisoria con rete
Apri il browser, portati su http://www.malwarebytes.org/products/malwarebytes_free , una volta scaricato ed installato, aggiorna le firme ed esegui una scansione completa dei dischi.
Rimuovi i valori infetti, riavvia in mod. normale.

Apri Malwarebytes, portati nella scheda dei log, copia/incolla il contenuto nella prossima risposta.