Commenti a "Guida alla rimozione dei bootkit"

[Uomo_Senza_Sonno]

Guida alla rimozione dei bootkit - Commenti

Una nuova forma virale, molto invasiva e capace di compromettere i sistemi operativi, sfrutta le tecniche rootkit per il suo occultamento e si annida nel bootsector. La rimozione di questa classe di malware può essere difficoltosa con i normali strumenti antivirali, ma fortunatamente la soluzione c'è. [continua...]

[caper]

Bellissimo articolo, complimenti.
Ogni passo è spiegato in maniera precisa e comprensibile, anche per chi come me, ha una limitata conoscenza del vasto ramo virus e come eliminarli.
ho fatto le prova con mbr.exe su tutti i 4 hd che ho nel pc, ed il log uscito (uguale per tutti e 4) è questo:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 1 !
copy of MBR has been found in sector 62 !

vedo che nel mio log, ci sono 2 voci in più di quello che hai messo di esempio nell'articolo, è normale?
avendo letto attentamente l'articolo, mi pare di capire che nel mio pc di questi bootkit, non ce ne siano.
un'ultima domanda, nel caso volessi fare una scansione con bootkit remover, sapendo od immaginando che non ci siano infezioni, ma solo per un controllo, oltre ad avere un eventuale mancato caricamento del sistema operativo, che non è difficile ripristinare, ci potrebbero essere altre controindicazioni?
grazie

[Neo123]

Complimenti per l'articolo che ho letto con molta attenzione.
Mi chiedo però una cosa, se avendo fatto un immagine della partizione o dell'intero disco infetto precedentemente all'infezione, avvio un ripristino dell’immagine selezionando anche l'mbr e il boot, in questo modo sovrascrivera' tutto anche l'infezione?
E un'altra cosa se dopo aver eliminato l’infezione usando il bootkit remover invece di ripristinare subito il boot ripristino l'immagine pulita del sistema che succede e' la stessa cosa?

Ho anche letto su internet che con la zerofilling in realtà al contrario della formattazione a basso livello l'mbr e la struttura in genere non viene modificata anche se si perdono comunque i dati e' vero?
Potreste per favore allegare all'articolo qualche utility per effettuare una formattazione a basso livello o questa zerofilling o e' meglio usare le varie utility delle prese dai rispettivi siti dei produttori tipo seagate SeaTools ecc. ?
Grazie :)

[crazy.cat]

e' meglio usare le varie utility delle prese dai rispettivi siti dei produttori tipo seagate SeaTools ecc. ?

Per la formattazione a basso livello è sempre meglio usare le utility dei vari produttori di dischi.

Volevo fare i complimenti anche io a Uomo_Senza_Sonno.

[Gingo]

Mi rimane la perplessità sul fatto di dover arrivare allo zero filling del disco per eliminare un bootkit dall'MBR. Molte suite di partizionamento hanno la funzione di ripristino dell'MBR alle condizioni standard, comprese suite di imaging del disco come Acronis True Image usato da CD di boot. Agiscono su tutti i dischi collegati e riconosciuti dal controller e quindi senza perdita di dati.
Per non parlare del mitico editor del MBR BootIt Next Generation con cui è possibile da cd o floppy di boot azzerare e riscrivere l'MBR di qualsiasi disco, farne un backup e ripristinarlo alla bisogna.
Gli stessi comandi da console di ripristino dei CD\DVD dei sistemi operativi dovrebbero risolvere:

DOS: fdisk /mbr

CD XP: fixmbr

DVD Seven: bootrec /fixmbr bootrec /fixboot

[crazy.cat]

Gli stessi comandi da console di ripristino dei CD\DVD dei sistemi operativi dovrebbero risolvere:

Per lo meno quelli windows non hanno mai risolto nelle discussioni che ci sono state nel forum con i vari rootkit che infettavano mbr.

[CUB3]

Il controllo con mbr.exe genera un log poco confortante, in quanto questo tool rileva un errore nella lettura del MBR ma non riesce ad identificare dove risieda l'infezione;

1. Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
2. Device: opened successfully
3. User: error reading MBR
4. Kernel: MBR read successfully

In un precedente articolo di Ste_95 (http://www.MegaLab.it/3915/2/mbr-rootkit-una-minaccia-in-via-di-diffusione) veniva detto che con un log di mbr.exe uguale a quello sopra citato non erano presenti infenzioni.
La differenza di interpretazione è un cambiamento dovuto alla versione di mbr.exe (prima era la 0.2.4 adesso è la 0.3.7) oppure possiamo considerare inutile questo tool ai fini della rilevazione di questa nuova infezione?

[Gingo]

Buono a sapersi. Effettivamente la mia era un'ipotesi, dato che li ho usati qualche volta ma solo dopo aver completamente perso il partizionamento o l'mbr per qualche pocio...

[1di9]

Lanciando mbr.exe in WIndows 7 Ultimate 64 bit il risultato è:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.ne

device: opened successfully
user: MBR read successfully
kernel: error reading MBR

Significa che il bootkit è presente o no?

[Gingo]

Beh, anche a me dà il medesimo output e non penso che il drive sia infetto:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: error reading MBR

[farbix89]

Articolo veramente ben fatto,complimenti

[1di9]

Beh, anche a me dà il medesimo output e non penso che il drive sia infetto:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: error reading MBR

Allora non capisco quale sia l'output di mbr.exe che identifichi la presenza del bootkit, anche in realzione a quanto affermato da CUB3 nel suo precedente post....

[skizzzzo]

"Scaricate il bootkit remover" e norton mi da questo avviso http://safeweb.norton.com/report/show?url=esagelab.com
"Il primo: scaricare mbr.exe, salvarlo in C:\ e lanciare il comando C:\start mbr.exe -f da Start - Esegui e verificare che il log ottenuto restituisca questo output." la finestra del prompt si vede per un millisecondo e non succede altro. Devo preoccuparmi ?. Nod32 per provarlo vorrebbedire dover disinstallare prima Norton suppongo.

[zed_711]

Ciao, non credete che un prodotto come MBRWIZARD possa assolvere egregiamente al compito di rimuovere e reimpostare l'MBR corrotto?
Grazie

[Pct]

Grande Uomo Senza Sonno, ottimo articolo, davvero complimenti

[sondlive07]

grande uomo .... grandissimo articolo

[ps3love]

Lanciando mbr.exe in WIndows 7 Ultimate 64 bit il risultato è:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: error reading MBR

Significa che il bootkit è presente o no?

Ti da questo errore perché hai avviato il programma come utente standard e non come amministratore, per un corretto avvio del programma tastro destro sul programma mbr.exe e avvia come amminstratore.Fammi sapere.

[crazy.cat]

"Scaricate il bootkit remover" e norton mi da questo avviso http://safeweb.norton.com/report/show?url=esagelab.com

Direi che norton sbaglia
http://www.virustotal.com/file-scan/rep ... 1281615515

[skizzzzo]

Ok Crazy meglio così, invece mbr.exe proprio non va neanche avviandolo come amministratore, su Seven 64bit.

[Palpas]

Mi aggiungo anche io ai complimenti per Uomo_Senza_Sonno