Se Windows genera un errore, hai un problema di virus o vuoi discutere/segnalare l'uscita della nuova versione di un software per la piattaforma Microsoft, questa è la sezione giusta.
Ciao a tutti, è da domenica che ho a che fare con un malware che ha infettato il mio pc windows 10 e che apparentemente ho debellato. Cerco di riassumere i fatti per far capire meglio la mia situazione.
Domenica 9 marzo verso le 11:00 del mattino noto uno strato comportamento, utilizzo il servizio di google drive che in automatico mi fa il backup della cartella documenti sul cloud. Ad un certo punto noto una finestra nera tipica di un comando cmd che si apre e chiude e poi l'iconcina di drive si anima. Vado a controllare ed ha fatto il backup di una cartella Support\temp e di un file .bat al suo interno. Vado ad aprire la cartella documenti e noto il tutto, prontamente la elimino ma la cosa mi puzza. Guarda caso dopo pochi minuti vengo buttato fuori dall'account facebook il quale viene sospeso perché un account instagram (non mio) lo ha associato e successivamente è stato bloccato, sospendendo di conseguenza il mio account (da notare che è attiva la verifica in due passaggi ma non è servita a nulla per proteggermi). Panico totale, prima di tutto ho dovuto studiare tutta una procedura per chiedere a meta di farmi ridare l'account (per fortuna verso 21:00 la procedura ha successo e rientro in possesso del mio account facebook). Nel frattempo in C:\ noto una cartella anomala xmetavip. A quel punto è chiaro che in qualche modo sono stato infettato. Utilizzo subito lo strumento di kaspersky per debellare il tutto, dopo molto lavoro ed un riavvio del pc pulisce il tutto. Ieri (lunedì) noto la guida redatta da turbolab per la pulizia fai da te contro virus e malware e metto in pratica tutti i consigli (tranne l'avvio del pc con il dispositivo kaspersky). Non trovano più nulla tranne qualche cookie. L'anomalia notata tramite google drive non si presenta più. Questa sera accendo il pc e dopo poco vedo di nuovo la finestra nera cmd che esegue un comando e subito scompare, google drive di nuovo fa un backup della solita cartella. Non fidandomi ancora al 100% non uso più questo pc per facebook (fortunatamente ho anche un portatile) ma vado a controllare questa famosa cartella e quindi dentro documenti\Support c'è una cartella Temp e dentro il file 0718xmeta.bat di circa 500 k. Lo carico dentro virustotal ma il responso è che è pulito. Della cartella in C:\xmetavip fortunatamente non vi è traccia ma avendo timore di tutto procedo anche a disinstallare chrome (spuntando anche l'eliminazione dei dati) pensando che qualche estensione malevola si sia installata. Purtroppo è tutto inutile, dopo un riavvio noto di nuovo che dentro documenti viene creata questa cartella Support.
Tutto questo per chiedervi: come faccio a sapere quale programma/processo crea questa cartella Support dentro documenti? Sono convinto che ci sia ancora una infezione ma nessun tool trova nulla, cosa posso fare?
hammer ha scritto: ↑mar mar 11, 2025 9:55 pm
(tranne l'avvio del pc con il dispositivo kaspersky).
Io lo farei, un bel boot da una pendrive e controllo completo del pc.
Se hai preso un rootkit così dovresti vederlo.
Se hai ancora il file 0718xmeta.bat lo potresti modificare con notepad e postare il testo nella discussione? Sempre se sia leggibile e non criptato.
Magari si può vedere chi lo crea e cosa combina.
Ci puoi anche mandare il link dell'analisi di virutotal?
Grazie per la rapida risposta, oggi pomeriggio dopo il lavoro farò con controllo con quella ISO di kaspersky. Devo dire però che lunedì ho fatto un controllo sia con Windows defender offline (quello che parte al posto di Windows) e sia con un tool di trend micro che crea un cd avviabile e fa il controllo del pc. Inutile dire che nessuno dei due ha trovato nulla. Oggi proverò con il tool di kaspersky e cercherò di fornire le informazioni che mi hai chiesto.
Come ultima carta da giocarmi stavo pensando di formattare tutto e installare Windows 10 da 0, domanda idiota probabilmente fatta 1000 volte: il pc è un hp, nasceva con Windows 7 e poi lo aggiornai gratuitamente a Windows 10, la key di Windows 7 è valida anche se installo direttamente Windows 10?
Ultimissima opzione è l'acquisto di un pc nuovo con Windows 11 visto che questo è del 2011!
hammer ha scritto: ↑mer mar 12, 2025 8:04 am
Come ultima carta da giocarmi stavo pensando di formattare tutto e installare Windows 10 da 0
Solitamente questo potrebbe risolvere il problema, tuttavia in questo caso c'è di mezzo anche il cloud: se hai la sincronizzazione in tempo reale della cartella incriminata (Documenti) con Google Drive, questo significa che il malware potrebbe essersi annidato lì e appena risincronizzi con Google Drive il PC resettato (con reinstallazione Windows), ti ritrovi ancora infetto. Quello che farei, se fossi al posto tuo, sarebbe interrompere la sincronizzazione di qualunque dispositivo con quel Drive, cambiare la password dell'account Google relativo al Drive, scansionare il Drive con i vari Malwarebytes, etc. Una volta resettato il PC, userei una macchina virtuale per verificare che sincronizzando Google Drive non si creino strani file bat o cartelle sospette, e se va tutto liscio riprenderei ad usare Google Drive sul PC "rinnovato". Magari il Drive è innocuo e la cartella Documenti viene usata solo come "sponda passiva", ma non potendolo sapere con certezza, non rischierei.
C'è poi da valutare, ma questo spetta a te, quanto sia necessario avere la sincronizzazione in tempo reale in cloud della cartella Documenti; se fosse stato un ransomware, e avesse cifrato in modo irreparabile sia la cartella Documenti locale che quella nel Drive, oppure un malware che cancella o esfiltra files, quali sarebbero state le conseguenze? Considera che una volta che un malware accede al Drive è difficile prevedere i potenziali sviluppi (compromette l'account Google, infetta altri dispositivi connessi, etc.; non sto dicendo sia questo il caso, parlo per pura ipotesi).
Concordo con crazy.cat (oltre che sui consigli di controllare usando anti-rootkit) che avere più informazioni sui file coinvolti aiuterebbe, non solo a capire come si comporta il malware, ma anche poi a controllare che non ci siano eventuali tracce residue (processi sospetti, etc.).
Grazie per la risposta. In effetti avere la sincronizzazione in tempo reale dei documenti espone a questo rischio ma la cosa nacque anni fa quando usavo 2 computer in due luoghi fisici distanti ed era molto comodo accedere ai documenti senza portarsi dietro chiavette o hard disk usb. Sicuramente c'è il pericolo che hai esposto e quindi credo che disattiverò la sincronizzazione e tornerò ai backup manuali sia fisici che in cloud.
Nello specifico questo sistema però mi ha fatto notare che dal pc veniva caricato un caricata una cartella, se non lo avessi avuto probabilmente avrei scoperto la cosa dopo più tempo. Gdrive dovrebbe essere al sicuro perché il file veniva caricato semplicemente perché veniva fatto il backup ma l'obiettivo del malware mi sembra che sia quello di stare sul pc e di spiare.
Come ho scritto più sopra nel pomeriggio farò altri controlli e cercherò di dare altre informazioni. La cosa che più mi stupisce è che ancora non ho capito come sono stato infettato, ho fatto sempre le solite cose e non sono tipo da cliccare banner o visitare siti dubbi.
Ragazzi ho fatto la scansione con la penna usb e il tool di karspersky ma dopo un'ora e mezza di scansione non ha trovato nulla (il pc era collegato al router con il cavo di rete in modo da aggiornare il tutto prima della scansione e poi ho messo le spunte a tutti i drive possibili e immaginabili).
Vi lascio i link di virus total:
sono due perché ieri poi è apparso anche il "compare" che era uscito domenica 9 marzo, dal nome xdone.bat sempre nella cartella Support\temp dentro Documenti. Diciamo che si sono dati il cambio, appaiono uno alla volta.
Riguardo aprire il file .bat con notepad lo avevo fatto domenica ed era pieno di caratteri cinesi.
Pubblico anche il rapporto del tool KVRT del 9 marzo, in quell'occasione ha rilevato ed eliminato varie minacce ma poi non ha più trovato nulla. A questo punto non capisco chi o cosa faccia tornare la fatidica cartella Support dentro Documenti.
Mi viene solo da pensare una cosa, al momento in cui riapparirà la cartella Support potrei evitare di cancellarla a mano e lanciare KVRT per vedere cosa succede. Non ho molte altre idee.
In questo momento nella cartella documenti non c'è la cartella support (l'ho cancellata ieri sera) ma come posso fidarmi di questo pc? Credo che mi tocca formattare e reinstallare Windows 10 da 0 (che poi non farebbe male visto che come ho scritto più sopra gira dal 2011 e ha fatto l'update da Windows 7 a Windows 10). Cosa ne pensate?
I file bat sono degli script in powershell, ben criptati e nascosti, se guardi la scheda Behavior delle due analisi vedrai quanto casino hanno fatto nel pc.
Hai (quasi) sicuramente qualcosa di ben nascosto.
Ti direi formatta, anche se mi piacerebbe tanto analizzare quel pc con le mie mani, se poi è da tanto tempo che non lo fai è l'occasione buona per una reinstallazione completa.
La più grande lezione nella vita è sapere che anche i pazzi, alle volte, hanno ragione.
hammer ha scritto: ↑mer mar 12, 2025 8:07 pm
Mi viene solo da pensare una cosa, al momento in cui riapparirà la cartella Support potrei evitare di cancellarla a mano e lanciare KVRT per vedere cosa succede. Non ho molte altre idee.
Se vuoi provare ad indagare un po' prima di radere tutto al suolo (opzione preferibile, concordo), potresti controllare se c'è qualcosa di anomalo impostato per partire all'avvio: in Gestione Attività (Task Manager), o nelle Utilità di Pianificazione (Task Scheduler) oppure nel registro (cartelle Run e RunOnce al percorso HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ e al percorso HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\).
Per indagare oltre potresti anche usare Process Monitor (SysInternals), con la funzione "Enable Boot Logging" (così che parta all'avvio del PC) e impostare poi filtri tipo "Path" "contains" "Documents", "Operations" "is" "Create File", etc per poter risalire al processo che crea quel file bat nella cartella Documenti.
Da quel che mi sembra di capire dai report di Virus Total, tutto inizia da un file bat presente nel PC, che di per sè non è eccessivamente malevolo (per questo sfugge ai rilevamenti), ma è plausibilmente uno "stager" o un "dropper", ossia tipi di file che non danneggiano direttamente l'host, avendo solo lo scopo di collegarsi a un sito per scaricare, decomprimere ed eseguire altri file (malevoli), interessati nel tuo caso a rubare i cookies di sessione (con cui hanno probabilmente violato il tuo account, nonostante la 2FA).
In questo caso il file bat non è stato adeguatamente impostato per "fare pulizia" dopo il suo uso e per fortuna lascia tracce, sia della sua esecuzione (finestra nera di CMD che compare a schermo), sia della sua presenza (cartella Support, che probabilmente non sarebbe dovuta rimanere visibile ed è dovuta ai file eseguiti). Il file bat da cui tutto origina deve essere da qualche parte nel PC, potresti anche lanciare una ricerca per trovare tutti i bat presenti nel disco e poi filtrarli per esclusione (sempre se vuoi divertirti ad indagare prima di reinstallare tutto da zero o passare a Windows 11; di sicuro c'è da non fidarsi di quel PC finché ci sono bat che appaiono ed eseguono operazioni non chiare).
Grazie a tutti per gli interventi e anche per le nozioni che sebbene in alcuni casi sono troppo avanzate per me hanno cmq arricchito il mio bagaglio culturale. Non ho intenzione di fare indagini e anzi quel computer rimarrà spento, lo accenderò solo per prelevare alcuni file (pensavo di usare la chiavetta di karspesky e da lì copiare i file che mi servono con il suo file manager). Si tratta di salvataggi di un paio di giochi, sfondi, musica mp3, documenti o programmi portable free, non credo sia una cosa pericolosa.
Il computer è vecchiotto, è un HP G5407 del 2011 a cui aumentai la ram a 8 giga, installai un ssd + una geforce e che ci crediate o meno mi permette di fare tutto quello di cui ho bisogno: navigare in internet, posta, ascoltare la musica, giocare con i giochi di alcuni anni fa ma molto validi (GTA IV gira perfettamente!). Non avrei bisogno di un computer nuovo ma c'è sempre il problema che ad ottobre terminerà il supporto a Windows 10: pensavo di installare appunto Windows 10 oppure dite che rischio e installo Windows 11 aggirando il controllo sulla cpu? (se non ricordo male installandolo da zero il controllo non avviene) Ma poi il product key di Windows 7 (usato per passare su Windows 10) sarà valido?
sicuramente partire da una pendrive di boot per salvarti i file è la scelta migliore, così il presunto malware non è attivo e limiti i rischi di sicuro.
Se hai già windows 10 nel pc reinstalla quello, se è così vecchio non sono sicuro che ci vada windows 11 con tutte le limitazioni del caso e i bypass.
Il controllo dei requisiti avviene in particolare durante la reinstallazione o installazione pulita.
Se windows 10 ti permette di fare quello che ti serve vai avanti sino a quando possibile e poi prenderai un pc nuovo con windows 11 o 12.
La più grande lezione nella vita è sapere che anche i pazzi, alle volte, hanno ragione.
Ciao a tutti, vi aggiorno solo per dirvi che ho reinstallato da 0 Windows 10. Volevo dire che ho seguito l'articolo su turbolab per scaricare Windows 10 ed ho usato il media creation tool, spuntando anche la possibilità di preparare una penna usb il tutto ha funzionato perfettamente! Ho avuto qualche problema al momento di scegliere la partizione perché c'era qualcosa che non gli piaceva ma non ho capito troppo bene. Ho capito che avevo la partizione mbr ma lui voleva gpt, inizio a essere vecchietto e non ero assolutamente aggiornato su queste cose. Fortunatamente ho risolto trovando in rete delle istruzioni con i comandi da digitare al prompt per pulire la partizione e renderla gpt. In conclusione ci ho capito poco ma non dimenticate che il computer è un assemblato HP che inizialmente montava Windows 7.
Adesso funziona tutto bene e addirittura magician di Samsung è riuscito anche ad attivare la partizione per l'over provisioning (in passato mi dava sempre errore)
Ho una domanda finale:
Questa in foto è la situazione del mio hard disk, posso eliminare quella partizione di 558 mega ed unirla al grosso del disco? C'è scritto partizione di ripristino (nella foto non si legge ma è così), secondo me è una partizione con dei dati e software di ripristino HP. Credo non mi serva perché lì dentro dovrebbe esserci l'installazione di Windows 7. Secondo voi? Non tocco nulla o è possibile sfruttare quella partizione?
E' probabile che sia la partizione di ripristino del vecchio sistema operativo, ma più che andare a "recuperare" 550 mega su 500 Gb che non credo servano a nulla, potresti recuperare i 46 Gb di quella non allocata. Inoltre per unirla dovrebbero essere adiacenti altrimenti ti risulta sempre unita ma in ogni caso sono due settori di hd fisicamente separati. Se lo volevi pulito, dovevi eliminare tutte le partizioni prima dell'installazione o durante la stessa. Considera sempre che se è un ssd, non deve essere mai pieno a tappo ma deve avere molto spazio libero, in modo da non usare sempre le stesse celle per lettura/scrittura dei dati.
hammer ha scritto: ↑sab mar 15, 2025 1:23 pm
posso eliminare quella partizione di 558 mega ed unirla al grosso del disco? C'è scritto partizione di ripristino (nella foto non si legge ma è così), secondo me è una partizione con dei dati e software di ripristino HP. Credo non mi serva perché lì dentro dovrebbe esserci l'installazione di Windows 7. Secondo voi? Non tocco nulla o è possibile sfruttare quella partizione?
Quella partizione era da eliminare prima di fare la nuova installazione! Quella partizione potrebbe anche essere utilizzata da qualche malware per sopravvivere alle formattazioni...
hammer ha scritto: ↑mer mar 12, 2025 11:06 pm
per prelevare alcuni file (pensavo di usare la chiavetta di karspesky e da lì copiare i file che mi servono con il suo file manager). Si tratta di salvataggi di un paio di giochi, sfondi, musica mp3, documenti o programmi portable free, non credo sia una cosa pericolosa.
Se hai salvato alcuni file dalla vecchia installazione utilizzando questo metodo, fai molta attenzione dato che non sai da dove ha avuto origine l'infezione! Eliminerei senza pensarci i file eseguibili e li scaricherei ex-novo ma tieni conto che, anche se poco probabile, perfino un mp3 potrebbe contenere un malware.
"Let me tell you a secret: when you hear that the machine is “smart”, what it actually means is that it’s exploitable." Mikko Hypponen
Riguardo la partizione ormai la cosa è fatta, già non mi aspettavo quel discorso mbr o gpt... figurarsi questa cosa della partizione. Nel dubbio di combinare guai non ho toccato ed ho pulito solo lo spazio principale. Teoricamente è tutto come ha detto cube ma dubito che il malware sia arrivato lì. Speriamo bene!
Have you recently bought something from Temu or other similar Chinese shopping sites and connected it to your PC? I'm experiencing the same issue with same files, and I'm very suspicious that it might be caused by a Chinese USB device.
Non ho comprato pendrive usb recentemente, circa 6 mesi fa ho comprato un dongle bluetooth ed una scheda wifi usb. Non penso sia colpa di questi dispositivi. Li ho preso di amazon molti mesi fa, la sheda wifi usb è della tp-link mentre il dongle bluetooth è un made in china generico ma con chip e driver realtek.
Inserendo un messaggio, dichiari di aver letto e accettato il regolamento di partecipazione.
Nello specifico, sei consapevole che ti stai assumendo personalmente la totale responsabilità delle tue affermazioni, anche in sede civile e/o penale,
manlevando i gestori di questo sito da ogni coinvolgimento e/o pretesa di rivalsa.
Dichiari inoltre di essere consapevole che il messaggio sarà visibile pubblicamente, accetti di diffonderlo con licenza
CC BY-NC-SA 3.0 (con attribuzione a "TurboLab.it") e rinunci ad ogni forma di compensazione (economica o altro).
Rinunci inoltre esplicitamente a qualsiasi pretesa di cancellazione del messaggio.
Re: Sospetta infezione e cartella che si ripresenta
