questa mini guida si ripropone l'obiettivo di rimuovere in maniera definitiva veloce ed efficace uno dei virus(anche se non lo è...) più diffusi e fastidiosi degli ultimi tempi. innanzi tutto il necessario:

 

-un altro terminale da quello infetto che possa ospitare il disco in questione,sia esso sata o ide.

 

-ultima versione di combofix,la trovate qui:http://www.combofix.org/download.php

 

tempo di esecuzione e di riuscita circa 1 ora.

 

cominciamo:

se il trojan ha fatto bene il suo lavoro dovrebbe essere comparita una finestra come una di queste http://lh5.ggpht.com/-FWb1UtZZ6pw/UQFJfZKOnjI/AAAAAAAAEIg/W9i7TJUoijo/Tutte%252520le%252520schermate%252520virus%252520polizia%252520di%252520stato%252520-%252520guardia%252520di%252520finanza_thumb%25255B1%25255D.png?imgmax=800

 

sempre che si sia installato per bene avrà bloccato i comandi e ogni possibilità di ritornare al sistema operativo e di chiudere il browser.

niente paura,non è un virus a tutti gli effetti,è solamente un programmino molto fastidioso,che modificando le voci di registro del sistema continua a riproporre se stesso annullando qualunque tentativo di essere rimosso.

 

non ci resta ora che procedere come segue:

 

passo1:

 

spegnere la macchina infetta,disattivare se presente l'interruttore di alimentazione posto solitamente sulla parte superiore nel retro del case,proprio in prossimità dell'alimentatore.

a questo punto ad alimentazione spenta con tutti i relativi cavi scollegati,dobbiamo aprire il case e scollegare l'hdd infetto.

ogni case ha le sue parti meccaniche ma ad ogni modo rimuovendo qualche vite dal pannello dei sostegni si dovrebbe riuscire a rimuoverlo in tempi brevissimi.

 

passo2:

 

una volta smontato l'hdd dobbiamo montarlo o collegarlo(consigliato) al secondo terminale che chiamerò "sano".

sarebbe molto meglio utilizzare un kit universale usb sata/ide come questo per evitae problemi di boot o di avvio consentendo di vedere il disco come una seplice periferica usb di archiviazione di massa,ad ogni modo il nostro obbiettivo è copiare all'interno del disco "infetto" e precisamente nella cartella di sistema "C:\" il file di combofix precedentemente scaricato.

 

se non si dispone di un kit usb,si puo collegare l'hdd direttamente alla scheda madre aprendo sempre il case "ospite" sempre e solo dopo aver disattivato o scollegato l'alimentazione.

all'accensione si creerà in automatico una voce di "dualboot" che potrebbe assomigliare a questa

 

da qui dovrete far partire l'so "sano" ed una volta avviato entrare in risorse del computer,rintracciare il disco infetto,fare doppio click fino a ritrovarsi precisamente in "C:\" e li incollare il file di combofix precedentemente scaricato.

 

un possibile intoppo potrebbe essere rappresentato dal fatto di avere lo stesso sistema operativo del sistema "infetto",questo creerà nel menu di avvio due voci identiche di avvio,li sta a voi farne partire una o l'altra,nel caso doveste accidentalmente avviare l'so "infetto" riavviate e semplicemente alla prossima possibilità di scelta per l'avvio selezionate l'So corretto.

se tutto è andato a buon fine con l'hdd "infetto" per ora abbiamo finito,non ci resta che spegnere,scollegare o spegnere l'alimentazionee smontare di nuovo l'hdd.

 

Attenzione,se avete creato una voce di dualboot è molto probabile che essa rimanga anche una volta scollegato l'hdd ospite,per rimuoverla non dovrete far altro che entrare nel vostro so,andare su start o esegui a seconda del so,e digitare il comando "msconfig.exe" invio,si aprirà un pannello con diverse sezioni,spostatevi su "avvio",e guardate,se avete più di una voce nel contesto,eliminate quella che non dichiara di essere il sistema corrente,una volta fatto ciò e dato il comando applica tutto dovrebbe essere tornato come prima.

 

passo3:

 

qui viene il bello.

rimontiamo il nostro hdd "infetto" seguendo la procedura di smontaggio alla rovescia,una volta che avrete ricollegato e montato tutto,ripristinare l'alimentazione e avviare la macchina.

appena dopo aver visto la schermata di bios premete ripetutamente il comando"F8" per richiamare la schermata di avvio selettivo del so.

la schermata dovrebbe presentarsi pressapoco così http://1.bp.blogspot.com/-qmTQXQJetMI/UB7687Cc4QI/AAAAAAAAAQ4/euFgdxf8aX8/s1600/modalita-provvisoria-vista.gif

 

dovrete spostare con le frecce sulla scelta in cima alla lista ,ovvero modalità provvisoria.

una volta fatto questo date invio e attendete che l'so si avvii.

attenzione se il virus si è installato correttamente explorer come qualunque altra funzione saranno fuori uso,vi rimangono da utilizzare solo tastiera e mouse su una schermata nera.

una volta che la modalità provvisoria si sarà avviata controllate se il il mouse è funzionante,se non lo è attendete qualche istante,dovrebbe essere operativo a breve,come del resto la tastiera.

digitate ora il comando Ctrl+alt+canc per richiamare il taskmanager ,una volta apparso cliccate in alto a sinistra su "file" e poi di nuovo su "nuova attività(esegui)",si aprirà un pannello,scrivete "cmd" e date invio per aprire il prompt dei comandi,successivamente da qui digitate il comando"cd.." fino a trovarvi nella directory C:\ lampeggiante.

una volta in C digitate il comando "combofix.exe" date invio e godetevi l'avvio di combofix che eliminerà completamente dal vostro sistema questo fastidioso malware e senza aver perso nemmeno un dato.

restate davanti al monitor perche combofix potrebbe chiedervi ad un certo punto di scaricare ed installare la console di ripristino del vostro so perchè non è presente,voi dovete "rifiutare" e proseguire,accettare tutti gli eventuali e futuri avvisi ed attendere il completamento.

la durata può variare a seconda delle caratteristiche della macchina e dal livello di affezione di esse,cmq in media occupa dai 20 ai 30 minuti.

attendete finchè alla fine si aprirà un foglio in block notes a pop up,chiudetelo ed attendete,a breve explorer e tutti gli altri servizi si riavvieranno senza problemi.riavviare e riprendere il lavoro,tutto dovrebbe essere tornato alla normalità.

 

virus rimosso e sistema pulito da me testato in un ora e 10 minuti c.ca

 

P.S

 

si puo tranquillamente lasiare combofix in C:\ non arreca nessun malfunzionamento al sistema,e se dovesse tornare utile,è già li

 

chiedo scusa anticipatamente per eventuali inesattezze o disordini di impaginazione,è la prima guida che posto in vita mia.

 

buona continuazione.

Che fosse logico l'ho scritto pure io, la mia domanda era un'altra. Perché lo è?

Per il resto non mi sono espresso, e quindi la puntualizzazione è pleonastica.

Tenete presente che la variante più "cattiva" di questo "virus" non permette di partire in modalità provvisoria.

Fa fare il reboot della macchina se si prova...

Cmq basta un disco di boot tipo Hiren's boot cd e qualche tool, oltre a un po' di esperienza. Io fino ad oggi ho trovato almeno tre varianti di questo virus, una semplicissima da togliere, una media e una decisamente più "ostica"...

Non impossibile ma appunto che richiede più tempo e attenzione.

Il virus la maggior parte delle volte non è presente nei servizi di avvio ma si va a nascondere nelle librerie quindi è quasi impossibile trovarlo spulciando semplicemente il registro. Poi in rari casi lo trovi pure nei servizi ma deve essere una vera botta di c***. asd

 

Tenete presente che la variante più "cattiva" di questo "virus" non permette di partire in modalità provvisoria.

Fa fare il reboot della macchina se si prova...

Cmq basta un disco di boot tipo Hiren's boot cd e qualche tool, oltre a un po' di esperienza. Io fino ad oggi ho trovato almeno tre varianti di questo virus, una semplicissima da togliere, una media e una decisamente più "ostica"...

Non impossibile ma appunto che richiede più tempo e attenzione.

 

Personalmente, mi è capitato di incontrarlo 3 o 4 volte e per rimuoverlo mi è sempre bastato avviare in modalità provvisoria. Si vede che hanno provveduto a "rinforzarlo"... Però una cosa che non sono ancora riuscito a capire è come venga installato... La gente che conosco che ha avuto questo virus dice di non avere installato niente prima che accadesse il fatto...

A mia analisi viene veicolato in pagine WEB usando Internet Explorer, tramite qualche exploit java forse.

AL 99% NON si installa con un programma ma direttamente navigando.

Nei casi da me visti sono praticamente sicuro sia successo così.

La cosa peggiora se l'utente ha i diritti amministrativi sulla macchina (cosa che nel caso di normali pc succede nel 90% dei casi...)

Io uso da anni (per abitudine più che tutto, non dico sia meglio di IE ma probabilmente per questi fattori lo è) Firefox e pare immune al problema.

scusate ma provare a non andare su siti porno o simili no? e poi ma chi e' quel pollo che nel 2013 crede che per sbloccare il pc deve pagare la polizia? se ci crede ben gli sta ,dicesi selezione naturale.. secondo me la discussione e' andata avanti anche troppo

Non c'è mica bisogno di andare su siti porno per cuccarsi dei virus, sai?

R: "virus polizia di stato" rimozione permanente in un ora

 

ciao a tutti, io un paio di volte l'ho rimosso da modalità provvisoria, in esecuzione automatica c'era "ctfmon". Dopo montando l'hard disk sul mio pc, scansione con Kaspersky e MalwareBytes. Altre volte, in effetti, non potevo usare la modalità provvisoria.

scusate ma provare a non andare su siti porno o simili no? e poi ma chi e' quel pollo che nel 2013 crede che per sbloccare il pc deve pagare la polizia? se ci crede ben gli sta ,dicesi selezione naturale.. secondo me la discussione e' andata avanti anche troppo

 

Non c'è mica bisogno di andare su siti porno per cuccarsi dei virus, sai?

 

Quoto jtagger in pieno, anche perché mi è capitato di doverlo rimuovere dal pc di un negoziante che ce l'ha proprio sul bancone del negozio e che comunque mi ha assicurato di non aver mai visitato siti di quel genere. (continua sotto) Oltre al fatto che ho dovuto rimuoverlo anche ad amici che mi avrebbero detto se avessero visitato siti strani. Non è quella la causa.

 

A mia analisi viene veicolato in pagine WEB usando Internet Explorer, tramite qualche exploit java forse.

AL 99% NON si installa con un programma ma direttamente navigando.

Nei casi da me visti sono praticamente sicuro sia successo così.

La cosa peggiora se l'utente ha i diritti amministrativi sulla macchina (cosa che nel caso di normali pc succede nel 90% dei casi...)

Io uso da anni (per abitudine più che tutto, non dico sia meglio di IE ma probabilmente per questi fattori lo è) Firefox e pare immune al problema.

 

Penso anch'io sia legato ad Internet Explorer. Comunque, a mio avviso, non è peggio se l'utente ha i diritti amministrativi, difatti (continua ->) il pc del negoziante di cui stavo parlando gli è stato fornito dalla ditta e gli serve anche per emettere scontrini, quindi l'utente (montava XP) non era amministratore. Il problema è venuto quando sono entrato in modalità provvisoria, infatti tentando di avviare "msconfig" o "regedit" tramite dos mi dava Accesso Negato ._. e non c'era modo di accedere all'utente amministratore, munito di password tra l'altro. La cosa peggiore è che il pc non è fornito nemmeno di lettore cd, quindi mi sarebbe stato impossibile trovare/disattivare la password con uno dei vari tool esistenti.

 

Comunque Internet Explorer si sa che non eccede per qualità in fatto di... tutto. Preferisco di gran lunga Chrome o Firefox. Secondo me la Microsoft non eccelle nei suoi servizi. Sapevate che non è mai riuscita a risolvere un bug che affligge le caselle Hotmail/Live e quindi anche Messenger? Praticamente, attraverso un tool scaricabile da internet, si può bloccare un indirizzo email a piacere (con bloccare intendo che il proprietario non potrà accedervi) per un determinato periodo di tempo, scelto dall'utente che usa il tool. Sicurezza, mah :|

Modificato 5 Marzo 201311 anni da Savio1

Tieni conto che, cmq, roba tipo Hiren's può essere fatta partire anche da chiavetta usb (io ne ho una configurata con quello, in effetti).

Nel caso c'è questa possibilità, oltre al classico cd

Tieni conto che, cmq, roba tipo Hiren's può essere fatta partire anche da chiavetta usb (io ne ho una configurata con quello, in effetti).

Nel caso c'è questa possibilità, oltre al classico cd

 

Ne sono ben consapevole, a casa mia non si usano più i cd asd In ogni caso, il proprietario del pc non voleva smanettassi troppo su di esso, dato che comunque non è nemmeno suo.

ah beh, ok, così però hai le mani legate in ogni caso!

ah beh, ok, così però hai le mani legate in ogni caso!

 

[PLAIN]

hehe, lo so[/PLAIN]

Modificato 5 Marzo 201311 anni da Savio1

2 miei clienti SICURAMENTE non lo hanno preso su siti XXX o simili.

Gestisco anche i loro proxy web e sono dotati di blocco su tutti i siti "sconvenienti".

Inoltre ho verificato la cronologia e non c'era nessun sito strano, a parte qualche radio web e simili.

Il mio vero "mistero" rimane il perchè simili virus (che sono cmq relativamente "stupidi" e semplici da trovare) non vengono rilevati e "cancellati" al volo dai vari antivirus, anche rinomati e aggiornati.

Questo mi "puzza" un po'....

ma un ripristino impostazioni di sistema ad una data anteriore all'infezione del pc no??????

risolto senza staccare nulla dal PC

ma un ripristino impostazioni di sistema ad una data anteriore all'infezione del pc no??????

risolto senza staccare nulla dal PC

 

Devi sempre entrare in modalità provvisoria per farlo e abbiamo detto che questo virus non sempre te lo permette.

...ma da quando c'è sto coso? non ne ho mai sentito parlare.....

quale "coso"?

XD scusa, il geniale hack camuffato in "polizia di stato"

E' da un po' che gira; mio cognato se l'e beccato già 3/4 mesi fa, per dire.

Difficilmente questo è una "invenzione" di chi fa antivirus, per il semplice fatto che serve a raccogliere i soldi pagati per queste "multe", e di certo una azienda non può permettersi di farlo! Sarà opera dei soliti "bravi ragazzi" (per lo più Europa dell'est) che usano ingegneria sociale spicciola per derubare i polli...

...e in che modi si attiva l'hack? scaricando un file? aprendo una pagina web? cliccando semplicemente su un hyperlink? un colloquio fra te e lui deve esserci per forza no? quindi ci devono anche essere dei modi per evitare di invitarlo sulla nostra macchina, non può trasferisri da solo sul proprio pc...si sa qualcosa?

...e in che modi si attiva l'hack? scaricando un file? aprendo una pagina web? cliccando semplicemente su un hyperlink? un colloquio fra te e lui deve esserci per forza no? quindi ci devono anche essere dei modi per evitare di invitarlo sulla nostra macchina, non può trasferisri da solo sul proprio pc...si sa qualcosa?

 

Come già detto, è quasi certo che non si nasconda dietro un programma d'installazione di altri programmi o file. Una delle ipotesi è che sfrutti IE per insediarsi nel pc, ma non si sa per certo.

"come già detto", ok asd but this is not an answer asd la domanda persiste.

"come già detto", ok asd but this is not an answer asd la domanda persiste.

 

è la risposta più concreta che abbiamo, per ora. ._.

Penso che competenze più specifiche sull'argomento vadano cercate nelle sedi appropriate piuttosto che nel forum di Modding Studio.

A meno che non sia frequentato da sviluppatori di (anti)virus, ma sarebbe assolutamente incidentale, visto che l'argomento focale del forum è un altro...

Il virus viene dalla russia, la pagina che ti appare e la cosa di paysafecash e indirizzata a un sito e un IP russo, io cmq ho calciorotato il virus in una maniera strana xD basta essere pronti coi riflessi,appena si è acceso il pc ho fatto crtl+alt+. e ho aperto la finestra di 7 (da cui puoi avviare task manager,e altra roba) io ho cliccato spegni, ma quando è comparsa la schermata che alcuni programmi impedevano l'arresto ho fatto annulla e il computer funzionava normalmente, poi una passata di malwarebytes e ho risolto, come metodo aggiungi la prontezza di riflessi, che aiuta molto con questo virus in particolare(se vai in provvisoria, prima della sua comparsa vai su CMD e l'hai fregato, il prompt dei comandi appare sopra la schermata del virus)