eliminare rootkit ring 3 din sistem

Imi cer scuze daca am postat aiurea, dar ma consider incepatoare. M-a anuntat cineva ca am rootkit ring 3 in PC si am ajuns la concluzia ca nu mintea. PCul meu se comporta destul de haotic in ultima vreme. am inteles ca ar fi persistent in sistem rootkitul asta. se poate afla in Bios sau in router? cum il pot elimina? cand am scanat cu gmer si am dat scanare pt. a arata toate NTFS streams ecranul s-a facut albastru si a aparut un mesaj pe care nu am apucat sa il citesc ca a disparut. rootkit ring 3 functioneaza sau nu in safe mode? daca nu functioneaza in safe mode nu poate fi detectat de gmer. as aprecia niste pareri avizate. stiu ca seopedia nu este tocmai locul potrivit pentru a deschide o discutie despre rootkituri, dar am zis ca poate gasesc pe cineva care se pricepe, asa ca imi cer scuze daca deranjeaza topicul meu si astept pareri.daca exista un forum special pentru discutii legate de securitatea IT si cunoasteti as aprecia daca l-ati numi.

Asta te poate ajuta?

In bios nu prea cred, routerul poate doare sa te redirectioneze catre pagini infectate si de acolo se se descarca, daca banuiesti asta incearca cu un al router. Porneste cu safemode(F8) vezi din msconfg ce prigrame pornesc si ce servicii ai. Dezactiveaza toate care par ciudate. Porneste normal, descarca Malwarebytes Anti-Malware si dai scanare.

http://invisiblethingslab.com/resour...20Rootkits.pdf

sunt termeni care nu ii inteleg in prezentarea asta. este si un standalone server? ca in ultima vreme aveam tot felul de erori , ba 500 internal server error, ba the server encountered a temporary error and could not complete your request(error 502) sau siteul a intampinat o eroare cand a preluat cutare url. aceasta poate fi dezactivata pentru lucrari de intretinere sau poate fi configurata incorect(eroare http 500, internal server error). cand serverul a incercat sa indeplineasca solicitarea, a aparut o situatie neasteptata. erorile astea aveau legatura cu rootkitul?

Citat:

---

Doua blonde: Prima o intreaba pe cea de-a doua:
- Auzi fata, care crezi tu ca e mai departe: Luna sau Londra?
- Helllooouu fata ... vezi tu Londra de aici?

---

Au fost facute recomadari aici si tu vii si ne spui ca stii mai bine .... atunci citeste de microcipuri in loc sa citesti despre Rootkit - Wikipedia, the free encyclopedia
foloseste asta Malwarebytes Anti-Malware - CNET Download.com

am folosit malwarebytes la ceva timp dupa ce am aflat ce porcarie am in sistem. dar ai un mod dragut de a te ataca si de a face pe superiorul. daca nu iti convine discutia poti lasa pe altii sa raspunda, altii care nu cred ca spun eu ca stiu mai bine.ma indoiesc ca am lasat impresia asta.am pus niste intrebari la obiect, stii sa raspunzi raspunde, nu, cu siguranta ai lucruri mai bune de facut.

Citat:

---

Postat în original de afterglow/diana

http://invisiblethingslab.com/resour...20Rootkits.pdf

sunt termeni care nu ii inteleg in prezentarea asta. este si un standalone server? ca in ultima vreme aveam tot felul de erori , ba 500 internal server error, ba the server encountered a temporary error and could not complete your request(error 502) sau siteul a intampinat o eroare cand a preluat cutare url. aceasta poate fi dezactivata pentru lucrari de intretinere sau poate fi configurata incorect(eroare http 500, internal server error). cand serverul a incercat sa indeplineasca solicitarea, a aparut o situatie neasteptata. erorile astea aveau legatura cu rootkitul?

---

Pai parca spuneai ca ai infectat computerul, pdf-ul asta este o alta macare de peste
Eu zic asa, incearca sa cureti pc, api treci la partea cu error 500
Malwarebytes Anti-Malware din ce am citit are si un modul pentru rootkit-uri

alias, ma gandeam ca exista o legatura intre faptul ca tot primeam erorile alea si faptul ca rootkitul ala poate fi si un standalone server.nu stiu daca e asa, imi dadeam si eu cu parerea, ca nu am dat cu parul.

Pai depinde de siteurile pe care le primesti, dar nu cred sa fie vre-o legatura

adica vrei sa spui depinde de siteurile care le-am accesat si in urma carora am primit erorile alea?

pai in genaral cam da, dar poate acest rootkit sa instaleze in calculatorul tau o serie de programe malicioase care maresc mult timpul de tranzitare a pachetelor de date intre calc. tau si siteurile vizitate.
cu cat lasi infectia in calculator cu atat creste riscul, ruleaza o scanare si elimina tot ce pare suspect
in cazul in care este sigura ca esti infectata cu un rootkit solutia cea mai simpla este o noua instalare a sistemului operativ (eventual o formatare a hdd in low level) cu cablul de retea scos. Instalezi un antivir si bagi cablul si faci update la windows
bafta

da, alias, dar vezi tu eu am antivirus, si inca cu licenta, dar degeaba.si acolo scrie clar : it can survive OS reinstall or other OS change.si sunt foarte sigura, nu sigura. au existat si destule semne si nu doar semne ci si pareri confirmate ale altora.am windowsul piratat si am instalat si un windows genuine remover ca sa nu mai am probleme cu celebrul windows is not genuine.

Citat:

---

Postat în original de afterglow/diana

alias, ma gandeam ca exista o legatura intre faptul ca tot primeam erorile alea si faptul ca rootkitul ala poate fi si un standalone server.nu stiu daca e asa, imi dadeam si eu cu parerea, ca nu am dat cu parul.

---

poate sa existe un malware care sa-ti schimbe adresele dns si sa primesti acele erori asta in cazul in care siteurile alea stii bine ca trebuie sa functioneze.
daca as fi in locul tau as mai incerca Mirror selection Spybot 2 | Spybot si mai am o experienta placuta cu kaspersky - as scana cu o versiune trial de internet security Download Kaspersky Internet Security Free Trial , in rest cea mai buna solutie reinstalarea
E greu sa primesti ceva concret de la cineva care nu vede exact... nu prea stiu eu de unde ai aflat ca ai rootkit ring 3???? pentru ca nu exista referinte despre numele asta de rootkit si atunci e greu sa iau in serios tot ce spui

pai de asta am zis instalare os cu cablul de retea scos si low format(nu formateaza doar mbr ci scrie date pe toata suprafata hdd, pentru 1T a mers cam toata noaptea), am trecut si eu prin asta cu alta magarie

avram, crede-ma , nu as veni aici sa bat campii. nu exista referinte, zici tu, asta pentru ca nu esti hacker si nu ai cum sa stii ceva despre rootkitul asta.asa ca probabil nestiind mare lucru despre rootkitul asta nu o sa primesc o parere tocmai avizata, dar oricum apreciez implicarea. plus ca am avut si un keylogger si nu stiu daca ala a fost scos din scenariu. am scanat imediat cum am aflat si cu antimalware si cu superantispyware.
alias, cu ce magarie mai exact?

Citat:

---

Postat în original de alias74

pai de asta am zis instalare os cu cablul de retea scos si low format(nu formateaza doar mbr ci scrie date pe toata suprafata hdd, pentru 1T a mers cam toata noaptea), am trecut si eu prin asta cu alta magarie

---

asta cu cablu scos din retea de unde ai invatat ... virusii astia de calculator sunt "contagiosi" prin cablu ?? ...

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Citat:

---

Postat în original de afterglow/diana

avram, crede-ma , nu as veni aici sa bat campii. nu exista referinte, zici tu, asta pentru ca nu esti hacker si nu ai cum sa stii ceva despre rootkitul asta.asa ca probabil nestiind mare lucru despre rootkitul asta nu o sa primesc o parere tocmai avizata

---

mai lamurit ... bine ca am aflat acum ca i0ai facut botezul

mi s-a spus ceva de genul ca degeaba formatez pentru ca nu voi scapa de rootkitul asta. vreau sa stiu doar daca este adevarat sau nu.

Diana, pe scurt rootkit-urile sunt nitel mai avanzate decat trojanele, primesc drept de execute de driver, sau de system (ring 0), se mascheaza ca un utilitar, system service sau muleaza pe un program inofensiv (de ex: se executa in adresele de memorie pe care le foloseste respectivul program, iexplorer.exe), se mascheaza pe hdd criptat a.i la o scanare euristica anvirusul sa nu zica nimic, sau isi cripteaza datele din memorie atunci cand este executat pentru a fi recunoscut si ar mai fi multe de spus, dar repet. reinstall rapid sa cum am spus mai sus.
Pune in pastebin o lista a proceselor in executie din acest moment, inchide orice program in executie.

Citat:

---

Postat în original de afterglow/diana

mi s-a spus ceva de genul ca degeaba formatez pentru ca nu voi scapa de rootkitul asta. vreau sa stiu doar daca este adevarat sau nu.

---

parerea mea ca trebuie alt calculator daca nu poti scapa fara format

Citat:

---

Postat în original de afterglow/diana

mi s-a spus ceva de genul ca degeaba formatez pentru ca nu voi scapa de rootkitul asta. vreau sa stiu doar daca este adevarat sau nu.

---

low format, scapi

sophosul nu a gasit nici o amenintare. cativa din membrii unei grupari infractionale organizate specializati in infractiuni informatice au fost arestati acum ceva timp. am avut parte de rootkitul ala si un keylogger datorita nespusei lor ''amabilitati'' .
alias, vezi ca ti-am trimis mesaj privat.
deocamdata ma retrag. noapte buna!

Buna
Am avut si eu un rootkit acum 1-2 sapt si fara format total nu am scapat(am incercat foarte multe variante) pentru ca se multiplica pe alte partitii si degeaba formatezi partitia C.Poti totusi sa incerci.
Eu am avut probleme si cu instalearea unui antivirus (nu puteam din cauza ca era infectat pc-pana la urma am reusit de pe stick) si dupa ce am instalat prima data windows am avut 20 min la dispozitie pana mi-a fost taiat accesul la internet(reteaua functiona),a fost dezactivat firewall windows,dezactivat antivirus si multe alte servicii.
Iti zic ce am facut:
-format total (am sters toate partitiile(din cd windows),format total,am refacut partitiile apoi format partitia c si instalat windows).Sa faci asta fara cablu de retea in calculator(chiar daca altii zic ca nu are rost-e mai bine sa fi sigura)
-dupa ce se instaleaza windows,instalezi de pe cd drivere placa baza (inclusiv retea),instaleaza bitdefender si vezi ca in functie de varianta (eu am total security 2012-cumparat tocmai din cauza acestui rootkit)exista si un update pe care poti sa il pui pe stick si nu iti trebuie net,il introduci si pe acesta.
-activezi firewall din windows,si toate serviciile din bitdefender(vezi ca sunt multe si trebuie si setate putin).
-instalezi de pe stick malwarebytes (pe care il iei de la ei de pe site de pe alt calculator ca si update bitdefender)
-introduci cablul de retea si faci update la malwarebytes
-daca vrei poti sa faci o scanare cu ambele (bit si malwarebytes)
-format celelalte partitii ca sa poti sa le utilizezi
Astepti sa vezi daca mai apare ceva !!
Nu stiu ce ai tu dar am vazut ca exista si rootkit care se baga in hardware si cam trebuie sa schimbi piesa respectiva.(daca e in bios banuiesc ca poti sa scoti bateria si sa il resetezi sau macar sa incerci).
-daca totul este ok poti sa treci la instalat celelalte softuri tot fara cablu de retea(vezi ca te face cu nervii bitdefender-nu prea te lasa sa instalezi multe daca nu dezactivezi anumite lucruri) dar dupa aceeea nu te mai deranjeaza prea mult.
-scoti malwarebytes si sa lasi bitdefender + firewall windows (daca doresti )
-vezi ca bit defender are si un safe mode (daca ti se pare ok ca undeva in toata treaba aceasta sa scanezi in acel safe mode poti sa o faci).Mai intai citeste despre bit defender sa vezi ce poate face si cum.
Nu stiu daca se rezolva dar decat sa te apuci sa schimbi piese poti sa incerci si asta,la mine a functionat perfect !Eu am mai avut si un hdd extern care a avut ceva fisiere infectate pe care l-am curatat cu bitdefender si malwarebytes inainte sa formatez hardul de pe pc si dupa aceea a fost oprit pe tot parcursul lucrurilor de mai sus si cand l-am pornit am dat scanare cu ambele(pe rand).
Am uitat sa iti spun sa nu iei de pe calculatorul infectat nimic de pe net pentru ca este posibil sa te infectezi mai rau(ce am avut eu te redirectiona catre site-uri care ofereau softuri sa il scoata).Totul trebuie luat de pe un alt calculator.

Sau iti instalezi Ubuntu si nu mai auzi cuvinte ca antivirus, malware, reinstalare.

Citat:

---

Postat în original de puthre

Sau iti instalezi Ubuntu si nu mai auzi cuvinte ca antivirus, malware, reinstalare.

---

Ei na... Vorbim de rootkit.

afterglow/diana - te (si ne) depaseste aceasta problema. Apeleaza la o firma specializata sau incearca zecile de metode pe care la gasesti pe net.

Citat:

---

Postat în original de crt

Ei na... Vorbim de rootkit.

---

Spuneam ca tu, cel care instalezi nu mai auzi, nu cei de la SANS care cu asta isi castiga existenta.

faza e ca aia ziceau ca rootkitul nu mai poate fi scos din PC si ca va trebui sa cumpar alt PC.nu stiu daca minteau cand au zis asta, ca se obisnuia pe acolo sa se si minta ca sa fac misto de unii. dupa cum ziceam, gmer si sophos nu au gasit nimic, cu exceptia faptului k a aparut un blue screen cu nu mai stiu ce mesaj knd am scanat prima oara cu gmer si l-am setat sa arate toate NTFS streams.

Sunt virusi care stau un MBR. Daca tot crezi ca nu ai cum sa scapi de acel virus/rootkit/keylogger/etc formateaza si refa partitiile. In felul asta se rescrie si MBR-ul si chiar nu mai are unde sa ramana acel virus.

Incearca ce am zis eu mai sus daca nu ai alta optiune,la mine a functionat.Am citit cand am avut problema ca si dupa format total pote ramane in componente in firmware sau ceva de genul acesta.

Citat:

---

Postat în original de barzafurioasa

Am citit cand am avut problema ca si dupa format total pote ramane in componente in firmware sau ceva de genul acesta.

---

Da. Si se poate si mai rau de atat.

Din acest motiv am spus ca ne depaseste aceasta problema. Poate incerca o reformatare completa. Este posibil sa scape de problema. Daca e vorba de un alt timp de rootkit trebuie sa apeleze la profesionisti.