virus "polizia di stato" e seguente blocco lan

[thedream]

Eccoli!

OTL.Txt

Extras.Txt

[Luke57]

Ciao, Ciao, riavvia in modalità provvisoria con rete
Apri il browser, portati su http://www.malwarebytes.org/products/malwarebytes_free , una volta scaricato ed installato, aggiorna le firme ed esegui una scansione completa dei dischi.
Rimuovi i valori infetti, riavvia in mod. normale.

Apri Malwarebytes, portati nella scheda dei log, copia/incolla il contenuto nella prossima risposta.

2)scarica Tsdsskiller
http://support.kaspersky.com/downloads/ ... killer.exe
oppio click su TDSSKILLER.exe per avviare l'applicazione.In change parameters metti la spunta su "detect tdlfs file system" e "verify file digital signature"
Clicca su start scan.

Se un file infetto viene trovato,l'azione di default sarà cure,clicca su continua.
Se un file sospetto viene trovato,l'azione di default sarà skip,clicca su continua.
Se ti viene chiesto di riavviare il pc completa il processo.Clicca su riavvia ora.
Se nessun riavvio è richiesto clicca su report e salva il contenuto in un file di testo.
Allega il report che si trova in C in questa forma "TDSSKiller.[Date]_[Time]_log.txt" su wikisend

[thedream]

Ciao luke, nel computer incriminato non ho accesso alla rete, come posso scaricare malwarebytes ed aggiornarlo? Lo trasporto da penna ma non aggiornato?

[thedream]

intanto, spero non fosse necessario farlo cronologicamente dopo il mbytes, ho passato TDSS con quel setup: 31 sospetti skippati.

TDSSKiller.2.8.8.0_28.08.2012_20.15.19_log.txt

[Luke57]

Ciao, nel report non ho visto niente di infetto.........apri otl, copia e incolla nel box bianco la seguente scritta:

:OTL
[2005/12/26 05.02.42 | 000,099,328 | ---- | C] () -- C:\Documents and Settings\desk\Impostazioni locali\Dati applicazioni\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2004/08/19 15.38.58 | 000,002,048 | -HS- | C] () -- C:\Documents and Settings\desk\Impostazioni locali\Dati applicazioni\{da933eb0-d936-80d9-6cf3-1b5ffbc18bff}\@

:files
C:\Documents and Settings\desk\Impostazioni locali\Dati applicazioni\{da933eb0-d936-80d9-6cf3-1b5ffbc18bff}

:Commands
[purity]
[emptytemp]
[EMPTYFLASH]

premi run fix

Allega il log che scaturisce.

[thedream]

fatto:

08292012_085613.log

[Luke57]

Ciao, quei file erano stati identificati da FRST infetti da zeroaccess. Non so se il tuo prolema è risolto, presumo di no...
Vai su risorse di rete>>>visualizza connessioni di rete fai click destro sulla tua connessione(wi-fi o lan) doppio click su tcp/ip e metti tutto in automatico qualora non ci fosse.

Vai su Start > esegui > scrivi CMD si aprirà un prompt dei comandi

Inserisci i seguenti comandi e dai invio uno alla volta

netsh winsock reset catalog

netsh int ip reset reset.log

ipconfig /flushdns

Clicca exit per uscire e riavvia

Controlla se la connessione è di nuovo funzionante

se non va occorrerà reistallare il protocollo tcp/ip

[thedream]

Dopo "netsh winsock reset catalog" dice: Reimpostazione catalogo completata. Necessario riavviare il computer".
Dopo netsh int ip reset reset.log non dice niente e mi riporta alla possibilità di scrivere un comando.
Dopo ipconfig /flushdns dice: Configurazione IP di Windows. Svuotata la cache del resolver DNS."

Ho riavviato

Situazione: lan "connesso., con firewall", browser che non si apre, ping su mio ip tutti a buon fine. Ping sui DNS e sul Gateway tutti a buon fine!

[thedream]

buon fine*: 4 pacchetti trasmessi su 4

[thedream]

la cosa strana di tutto ciò è che seppur dica in connessioni di rete di essere connesso, in basso a destra non ci sono i famosi computerini

[Luke57]

Ciao, Esegui anche questa operazione
scarica XP TCP/IP Repair da http://www.xp-smoker.com/downloads/xptcprep.exe
installalo e lancialo
clicca su Reset TCP/IP
riavvia il pc e controlla la connessione
Se non funziona prova a riconfigurare il protocollo tcp/ip (fonte by Vicky67 http://forum.swzone.it/sicurezza/128256 ... net-6.html :
1)Vai su start-esegui e scrivi notepad c:\windows\inf\nettcpip.inf (spazio dopo notepad).Un file di testo si aprirà.
Sotto TCP/IP Primary Install trova la sezione seguente:Characteristics=0xA0
Edita 0XA0 e rimpiazzalo con 0x80(rimpiazza A con .
Sotto file menu salva e chiudi il file di testo.

2)Vai a start pannello di controllo.Doppio clic su connessione di rete.Click destro sulla tua connessione e seleziona proprietà.
Sul tab generale clicca su installa-seleziona protocollo-aggiungi-clicca su disco driver e scrivi c:\windows\inf.Clicca su ok-seleziona protocollo(TCP/IP) e poi ok.Ritorna sulla tua connessione,seleziona internet protocollo(TCP/IP) e clicca su disinstalla e poi su si.Fino a che non ti chiede di arrestare,poi conferma.

3)Rifai la stessa procedura del punto 1,solo che adesso rimpiazza 0x80 con 0xA0.Salva e chiudi.

4)Torna sulla tua connessione di rete-proprietà,sul tab generale clicca su installa-seleziona protocollo-Seleziona Internet Protocol(TCP/IP) e poi clicca ok.Aspetta che ti chieda di arrestare.
Al termine riallega Farbar service scanner e minitoolbox.

[thedream]

xp tcp/ip repair non ha funzionato.

Dopo aver sostituito l'8 all'A nel documento nettcpip.inf tento di aggiungere il protocollo nella connessione ma non compare nulla, inserisco "c:\windows\inf", seleziono il protocollo tcp/ip e dopo l'ok si chiude la finestra senza creare alcun protocollo, infatti non posso disinstallare il protocollo tcp/ip, la funzione "disinstalla" è in grigio, non pressabile

[Luke57]

Ciao, vai qui:
http://support.microsoft.com/kb/325356/it
seguilo qui, forse è più chiaro, controlla con regedit se quelle due chiavi di winsock sono presenti e da eliminare, altrimenti continui dal punto 11.

[thedream]

Sono riuscito a svolgere le funzioni sopra riportate dopo un riavvio. La cosa strana è stata la maniera di comportarsi del computer: ho premuto disinstalla tcp/ip e ha dato un errore, poi l'ha disinstallata lo stesso. Riavviato, ho reinstallato la tcp/ip e appena ha finito di installarla sono scomparsi tutti e 3 i protocolli della connessione. chiusa la finestra e riaperta sono comparsi i protocolli di prima più la nuova tcp/ip. Riavvio, ad apertura windows esce un errore, 10 minuti per uscire la barra di sotto del sistema, intanto c'era solo lo sfondo e con il taskmanager vedevo tutti i programmi in esecuzione. Comparsa la barra una serie di flash strani, Via raid tool che si apre, si chiude e si riapre. Ora è tutto normale, la connessione dice di essere connessa (ma non firewalled) però le pagine invece di andare in stallo infinito come prima danno direttamente messaggio di errore. Ora vedo la guida sul sito microsoft, forse sono quelle righe del regedit da correggere

[thedream]

al reinstall della tcp/ip ha detto precisamente "si è verificata una condizione imprevista". Poi al riavvio l'errore diceva che la memoria xxxx non poteva essere "read".. mi chiedo se valga la pena formattare con tutti questi problemi

[thedream]

ora ad ogni avvio mi da quell'errore e ci vogliono 10 minuti per farlo diventare funzionante (qualcosa oltre lo sfondo del desktop)

[thedream]

il problema che da all'avvio è dovuto a "svchost.exe"

[thedream]

ora sto adottando l'altra strada, cancellare prima i winsocks dal registro e poi disinstallare e reinstallare la tcp/ip. Se rimane così, "mezzo scemo", mi sa che l'unica è un format. Ogni tanto la barra dello start perde la configurazione estetica "evoluta" e torna a quella grigia del windows 94/95.. chisà cosa non gli è piaciuto di questi ultimi movimenti!

[thedream]

alla disinstallazione del protocollo tcp/ip, seppur sia effettivamente scomparso, mi ha detto "Impossibile disinstallare il componente Protocollo internet (TCP/IP). Errore 0x80070002." Stesso errore di prima.

[thedream]

è chiaramente il protocollo tcp/ip neoinstallato che da problemi al sistema: se lo disinstallo il sistema va velocissimo e si avvia subito