Virus elimina dati, Cartelle intatte

[Zinedine91]

Salve, è da un pò di giorni che noto cose strane che avvengono sul mio pc....inizialmente mi ero accorto che alcune cartelle sul desktop pesassero troppo poco per contenere dei dati, infatti controllando non avevano nulla all'interno, ma alla fine non mi serviva più il file, quindi ho cancellato la cartella pensando di aver cancellato io stesso in passato ed essermi dimenticato di cancellare la cartella....ieri sera però ho scaricato delle immagini dalla fotocamera al pc e messe nella cartella dove contengo tutte le immagini....oggi vado per rivedere le foto e noto con stupore che non sono più presenti le foto, ma solo la cartella che le conteneva e controllando ene mi accorgo che tutte le foto che erano presenti sul mio pc ora non ci sono più....Pensavo che la cosa finisse li, ma sono spariti anche file da 11-12 giga e il pc gira più lento...ho fatto una scansioe con avira ma nada...sapreste aiutarmi?

[vicky67]

Ciao Zinedine
Per prima cosa visualizza i file nascosti dalle opzioni cartelle e controlla se quei file rispuntano fuori come nascosti.
Poi esegui una scansione con combofix.

• disattiva il tuo antivirus,scarica combofix http://download.bleepingcomputer.com/sUBs/ComboFix.exe , salvalo sul desktop e disconnettiti dalla rete
Una volta posizionato il programma sul desktop incolla nello spazio bianco di esegui questo comando, cosi' com'e':

"%userprofile%\desktop\combofix.exe" /killall <==copia e incolla

Premi OK, dovrebbe partire la scansione che puo' durare molto, durante la scansione non fare assolutamente niente con il pc.
Apparirà una schermata di esonero garanzie sul software-clicca su si,
Apparirà una schermata (solo per chi usa windows xp) per installare la console di ripristino,clicca su no.
Al termine apparirà a schermo il log di combofix che potrai anche trovare in C:\combofix.txt .

[Zinedine91]

vicky67 ho fatto come hai detto per il primo punto( visualizzare i file nascosti) ma nulla....nel frattempo mi è apparso questo errore e non so se sia legato al fatto:
si è verificato l'errore exeption uknown software exeption
0x0000409 nell'applicazione alla posizione 00x0040f682

Ora provo la procedura con combofix, ti faroò sapere grazie in anticipo!!

[Zinedine91]

Ecco qui...incrocio le dita
Comunque la stringa ("%userprofile%\desktop\combofix.exe" /killall) non l'ho messa perchè non me l'ha chiesta...è partito subito da solo il controllo... è normale? Grazie dell'aiuto e del tempo concessomi

[il pazzo]

Forse hai cliccato sull'icona di Combofix... mica è partito da solo. Tu non devi proprio mandarlo in esecuzione, ma devi copiare ed incollare la stringa che ti ha segnalato Vicky nello spazio in basso a sinistra che esce quando clicchi sul tasto col logo di windows (fra CTRL e ALT).

Quindi copia la stringa completa con control+c
schiaccia il tasto windows che ti ho spiegato
incolla la stringa che hai copiato prima nello spazietto bianco in basso a sinistra con control+V.
dai invio.
Partirà Combofix e poi , quando ha finito, alleghi il log, come ti ha detto Vicky.

[Zinedine91]

Ecco qui

[Zinedine91]

Ma in poche parole ha eliminato tutto(combofix) o è solo un report dei virus che ho nel pc?

[vicky67]

Dal log di combofix il pc non risulta infetto.
Per un controllo più approfondito


Scarica TDSS killer e salvalo sul desktop.Estrai il contenuto sul desktop.Doppio click su
TDSSKILLER.exe per avviare l'applicazione e poi su start scan.
Se un file infetto viene trovato,l'azione di default sarà cure,clicca su continua.
Se un file sospetto viene trovato,l'azione di default sarà skip,clicca su continua.
Se ti viene chiesto di riavviare il pc completa il processo.Clicca su riavvia ora.
Se nessun riavvio è richiesto clicca su report e salva il contenuto in un file di testo.
Se un riavvio è richiesto il report si trova in C:\folder in questa forma "TDSSKiller.[Version]_[Date]_[Time]_log.txt"

Effettua una scansione on line con Eset ed allega i rispettivi log.

-http://eset.com/onlinescan
-Clicca sul pulsante eset online scanner
-Per browser alternativi(chi usa microsoft internet explorer può saltare questo passo)
1)clicca su esetsmartinstaller_enu.exe per scaricarlo.Salvalo sul desktop.
2)doppio click sulla sua icona.
-clicca Yes per accettare le condizioni
-clicca sul pulsante START
-spunta SCAN ARCHIVES
-clicca su setting e metti la spunta su
scan per potenziali applicazioni sospette.
-clicca sul pulsante START
-Eset installerà gli aggiornamenti e avvierà lo scan
-Quando lo scan ha finito premi su LIST OF found threats
-premi su EXPORT TO TEXT FILE e salvalo sul desktop.
-premi back button
-premi finish
-Allega il report

[Zinedine91]

Durante la scansione ho trotovato un file sospetto ma che non è stato rilevato come minaccia...Credo che allora rimarrà un mistero ciò che mi è successo :P

[il pazzo]

Certamente rimarrà un mistero se non alleghi i report, come richiesto.

[Zinedine91]

Non avevo postato il report perchè con TDSS killer è uscito un report troppo grande...lo divido in due parti per postarlo?
Questo è quello dell'eset che non avevo postato perchè ci ha messo 4 ore a finire tutto il controllo....ho finito adesso!

[vicky67]

Il pc è pulito.
Credo che anche tdss rootkit non rilevi niente.
Il file sospetto che rileva dovrebbe essere sptd.sys.Se cosi' fosse non serve allegare nient'altro.In caso contrario carica il log di tdss killer su Wikisend: free file sharing service.

[Zinedine91]

Fino ad adesso non sto riscontrando più problemi...se succede qualcosa vi faccio sapere, grazie dell'aiuto e del tempo speso

[baffuto]

Quello che ti è successo è un ransomware: un malware che rende inaccessibili i dati dei computer infettati e a volte chiede il pagamento di un riscatto, controlla se hai file testo in documenti o se è cambiato lo sfondo o se hai altri danni generici al sistema di Windows.
Recuperare i file è quasi impossibile come lo è ripulirlo. Quello che ti consiglio di fare è un installazione pulita di Windows e contro i ransomware salvare i dati sensibili su un hdd esterno o un backup.


P.S: nel mio caso il ransomware aveva criptato i file con (.encrypted) ma per qualche motivo ripristinando l'estensione originale ho recuperato gran parte dei file e solo dopo il riavvio gli ha criptati.