[RISOLTO] Rimuovere Virus Polizia Penitenziaria/Guardia di Finanza /Polizia Postale

**polosud** · 03-09-2012, 17.49.55

Allego il file appena creato da FRST dopo la disinfestazione.
Preciso che la prima voce non è stata trovata perchè avendo intercettato le voci da eliminare avevo già cominciato a rimuoverle manualmente utilizzando Ultimate Boot CD 4win.
Dimenticavo, il SO è W7 64

Comunque, il pc è ripartito.

**Hotto** · 03-09-2012, 21.57.02

Ok, eseguito tutto quà ci sono i log:

OTL.txt
mbam-log-2012-09-03 (21-24-12).txt

Il pc si accende e non mi pare faccia cose strane, se dai un'occhiata ai log dimmi se ti pare tutto ok, grazie mille dell'aiuto

ciao

**at99038** · 03-09-2012, 23.41.12

Buonasera a tutti, anch'io ho avuto il solito problema col Virus GdF; ho al momento risolto facendo agire Combofix in modalità provvisoria (SO Windows XP SP3), ma vorrei sapere se, in base al file Combofix.txt, ci sono ancora potenziali rischi.
ComboFix.txt

Grazie per l'aiuto e ciao!

**vicky67** · 04-09-2012, 07.22.29

@polosud
@hotto
@at9938

E' tutto a posto, le infezioni sono state eliminate.

**at99038** · 04-09-2012, 07.49.49

Grazie mille Vicky67, sei stato come sempre gentilissimo!

Ciao e buona giornata

**touchphil** · 04-09-2012, 14.31.22

mbam-log-2012-09-04 (03-22-07).txt

il pc sta andando bene...

**enjoyer** · 04-09-2012, 16.21.16

Scusate ma anche io ho avuto la sfortuna di imbattermi nel virus "Ukash - Polizia di stato" (francamente più di una volta ... ebbene sì ... sono recidivo), probabilmente preso da siti di download di musica o fumetti.
Volevo solo segnalare una procedura che io applico e che è estremamente semplice (e al tempo stesso colgo l'occasione per avere conferma se può essere sufficiente o se rimane comunque qualcosa nel sistema). Vengo al dunque.
- ho windows 7 home premium
- Ho sempre Avast istallato ed aggiornato, e ccleaner con cui faccio periodicamente pulizie e riparazioni del registro
ma vedo che questo virus passa ugualmente.
Personalmente lo ho risolto creando un secondo utente amministratore senza altri programmi se non avast e ccleaner.
Quando mi si è presentato il virus (task manager non più funzionante e desktop irraggiungibile ecc.) con ctrl+alt+canc ho selezionato "disconnetti" (questo funziona); ho staccato fisicamente il cavo di connessione al router (non deve esserci connessione internet attiva); sono semplicemente entrato nella cartella di esecuzione automatica dell'utente infetto ed ho cancellato il file malefico "ctfmon" (ora lo fa fare senza ricrearsi perchè l'utente non è attivo) e poi cancellata la temp dello stesso utente (dove c'è il file con il virus vero e proprio); svuotando poi il cestino il problema mi si rivolve e posso tranquillamente ricollegare internet e accedere con il solito utente.
Mi pare che così funzioni.
Da parte mia vevo notato che il virus partiva se in fase di accensione veniva riscontrata una connessione internet attiva, oppure partiva dopo un pò se veniva attivata, altrimenti rimaneva lì giacente in attesa dell'accesso verso l'esterno. Forse senza connessione è possibile togliere i file anche senza il secondo utente, io personalmente però lo utilizzo spesso perchè garantisce la pulizia e controllo degli altri utenti senza che si attivino programmi o servizi in automatico e perciò è più facile pulire materialmente le varie cartelle dell'account principale.
Chiedo ai più esperti di me: è un sistema valido per voi?

**vicky67** · 04-09-2012, 17.22.26

@touchphil

@enyoger

è un sistema valido per voi?

No,perchè le varianti di questa infezione sono molteplici e sebbene la procedura che hai descritto può essere valida nel tuo caso non è valida in altri dove l'infezione risiede altrove e non viene lanciata dal file in esecuzione automatica.
Molte volte queste infezioni hanno diversi file infetti che solo una scansione con appositi tool è in grado di rilevare.
Inoltre alcuni ransom sono portatori di infezioni ben più gravi come zero access che solo appositi tool sono in grado di rilevare.
La procedura che và seguita quindi è quella della guida che ho in firma con la quale possiamo rimuovere ogni tipo di ransom ed infezioni connesse.ciao

**Alrodrigo** · 05-09-2012, 10.57.28

Nel mio caso era "Ukash - Polizia di stato", ed ho seguito le istruzioni per Combofix. Ecco il log di Combofix:
log.txt

Spero sia tutto ok

**vicky67** · 05-09-2012, 11.21.31

ciao Alrodrigo
L'infezione è stata eliminata da combofix con il suo relativo collegamento.
Rinomina combofix ad uninstall ed eseguilo per disinstallarlo.Aspetta la scritta che dice che combofix è stato disinstallato.ciao

**davide pecorelli** · 06-09-2012, 10.38.06

salve a tutti
sono nuovo dei forum e quindi chiedo scusa in anticipo se ho sbagliato sezione o cosa..
purtroppo anche io sono vittima del virus gdf.
gia in passato mi era capitato ed ero riuscito a debellarlo con le indicazioni sul sito reale della guardia di finanza....
ora come state dicendo voi è eimpossibile entrare in modalità provvisoria e quindi ho segiuto alcune indicazioni lette qui su sul forum, ma ad un certo punto mi blocco in quanto non espertissimo di computer.
fino ad ora ho fatto i seguenti passaggi:
ho scaricato e masterizzato su cd OTL.exe
ho fatto partire il pc infetto da CD/DVD
una volta aperto il descktop ho fatto partire OTL.exe finchè non mi da un file di testo....
dopo tutto questo non so piu come continuare la procedura.
sarei molto grato se qualcuno di voi mi dicesse cosa fare dato che ho urgenza di lavorare su alcuni file presenti sul pc.
grazie in anticipo

**vicky67** · 06-09-2012, 11.04.01

ciao davide
Se hai eseguito OTL devi solamente allegare il file qui sul forum tramite la gestione allegati che troverai andando nella modalità avanzata.

**davide pecorelli** · 06-09-2012, 11.16.14

ti ringrazio per la rapidità con cui mi hai risposto... gentilmente ,dopo, dimmi passo passo cosa devo fare

**norrick101** · 06-09-2012, 11.26.15

Ciao sono un nuovo utente del forum.
anche io sono stato infettato dal virus guardia di finanza come tutti gli altri, anche stavolta da un link di facebook (si lo so sono recidivo).
una prima volta, a giugno, avevo risolto con un'azione combinata di CCCleaner, Dll Flies Fixer, SpyBot, Avancede System care 5 (della Iobit.)
stavolta non so perche non funziona piu.
ho risolto temporaneamente creando un altro profilo utente, ma vorrei eliminarlo definitivamente dal pc.
inoltre da allora non mi è piu possibile utilizzare office starter 2010.
ho anche scaricato l'utility di kaspersky che ha trovato ed eliminato un paio di file sospetti.
il pc mi sembra infetto anche da zeroaccess ma non capisco come risolvere.

allego il file Frst.txt

**vicky67** · 06-09-2012, 13.55.03

@davide pecorelli

Riavvia il pc con OTLPE.
Copia il contenuto del file in allegato nel box bianco di OTL e clicca sul pulsante RUN FIX.
Aspetta il termine delle operazioni.
Allega il log che ne scaturisce.Riavvia il pc e controlla se ora hai di nuovo accesso a windows.

Una volta in windows esegui una scansione con malwarebytes e allega il log.Seguiranno ulteriori istruzioni.

• Malwarebytes Anti-Malware -> Malwarebytes Anti-Malware - CNET Download.com
dopo averlo installato è necessario aggiornarlo e solo dopo eseguire la scansione completa del sistema, è altresì richiesto eliminare tutti gli oggetti identificati e salvare il log della scansione (il file di log da allegare per il controllo si trova nel Tab "File di log").Il file di log va preso solamente dopo aver eliminato gli oggetti.