Rimuovere virus Favorit

L'altro giorno, su un Pc di mio zio ho trovato questo antipatico worm, che apre finestre pubblicitarie e riempie l'hard disk di schifezze sue, oltre a rallentare il Pc. Questo worm si prende installando alcuni applicativi, che in fase d'installazione propongono di inserire un non so che tool che alla fine si rivela essere il virus Favorit.

Rispetto a molti altri virus, questo è sfacciato, perché si mette in installazione applicazioni, ha pure il sito che si chiama come il worm stesso. Tra l'altro le pubblicità che propone, non sono il classico poker, casinò, viagra o similari, ma è roba legale, tra cui anche rinomati antivirus e firewall. Un virus che pubblicizza un antivirus, questa mi mancava. Mi chiedo come faccia a rimanere alla luce del sole, senza che nessuno si occupi di oscurarlo o almeno di bloccare l'Ip del sito a livello nazionale. Ipotizzo che il sito abbia sede in qualche paradiso fiscale dove regole su queste questioni non ci sono.

Ma veniamo a noi, come lo rimuoviamo? Alcuni su vari siti sostengono che basta andare in installazione applicazioni e rimuoverlo da lì. Illusi, mica lo levi così e mi chiedo come abbiano fatto loro a rimuoverlo in questo modo: sarà sfacciato, ma mica è pirla sto virus. Invece installate il programma Navilog. Alcuni antivirus vedono la pagina di Navilog o l'applicativo stesso come un virus, ma tranquilli che è un software sicuro.

Eseguendolo, vi chiederà la lingua, voi scegliete italiano - anche se è un italiano un po' maccheronico -. Poi premete invio fino ad avere la schermata col menu principale. Voi premete 1 e poi lasciatelo fare. Il pc ad un certo punto sarà riavviato. Al riavvio, non preoccupatevi se il Pc è lento ad avviarsi, c'è Navilog che sta lavorando da sotto. Alla fine il programma vi dirà di aver finito. Controllate in installazione applicazioni, non dovreste più vedere Favorit nella lista. Inoltre le finestre pubblicitarie non appariranno più, missione compiuta :-D

NB, in Vista e Seven, per non avere le solite menate di messaggi di sicurezza, eseguite Navilog come amministratore.

Foto di CharlieBoy808, Flickr.

Rimuovere Personal security

Cosa c'è peggio di prendere un virus? Prendere un virus che si spaccia per antivirus. Se poi questo ferma tutte le risorse del vostro Pc, ecco che siete davvero in trappola.

In questi giorni, riparando un computer per dei conoscenti, mi sono imbattuto in un finto antivirus, in gergo chiamato rough antivirus. Si presenta con una maschera che avvisa che siamo pieni di worm e spyware, nonché di processi pericolosi. Tende a bloccare alcune pagine di internet explorer, dicendo che sono pericolose. Di tanto in tanto chiede anche se rimuovere uno spyware - che non esiste -: se voi rispondete di no avrete una bella schermata blu, finta anche quella, è solo uno screensaver. Infine si infila nel security center di Microsoft, mettendo un pulsante per richiamarlo.

Eliminarlo non è facile, in quanto blocca il task manager, blocca ogni eseguibile dall'office a soprattutto programmi che potrebbero aiutare per rimuovere questo parassita. Quindi scordatevi di eseguire regedit, command di dos, setup vari. Scordatevi pure di avviare qualunque antivirus. Provate a riavviare in modalità provvisoria, non riuscirete e verrete rimbalzati di nuovo nella schermata del Bios.

Sembra impossibile eliminarlo, ma ogni virus ha il suo tallone d'achille. Il punto debole di questo è che è facile trovare il file eseguibile del worm. Sta in C:\programmi\PSecurity - o C:\program files\PSecurity -. Non riuscirete ad eliminare la cartella, perché il file è in uso, ma potete benissimo rinominarla. Riavviando, il processo principale del virus non si avvierà, così da riavere il controllo degli eseguibili. Il task manager non va ancora, ma a quello pensiamo dopo.

In primis scaricate il programma Process explorer, un sostituto del task manager. Servirà per chiudere eventuali processi.

A questo punto seguite le istruzioni qui riportate. Sono in inglese, per chi non avesse bene dimestichezza sappia che deve scaricare il programma Avenger ed installarlo. All'avvio, nella schermata di testo, inserire questo testo

Drivers to delete:
NDISRD

Registry keys to delete:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{35A5B43B-CB8A-49CA-A9F4-D3B308D2E3CC}

Folders to delete:
%ProgramFiles%\Common Files\PSecurityUninstall
%ProgramFiles%\PSecurity
%ProgramFiles%\PersonalSec

Files to delete:
%WinDir%\system32\win32extension.dll
%WinDir%\system32\drivers\NDISRD.sys
%WinDir%\tasks\PersonalSec.job

 Fatto questo, eseguite questo script e alla domanda di riavviare, rispondete sì.

Dopo il riavvio scaricate ed installate Malware bytes Antimalware. Effettuate la scansione veloce.

Finito questo, è il caso di alzare le barriere di protezione di Windows. Io consiglio di installare Spybot search and destroy, installarlo e fare un'ulteriore scansione. Questo programma tra l'altro monitorizza il registro di Windows, avvisando quando un applicativo lo modifica. Se siete voi che state installando qualcosa, potete dare il permesso, se invece non state facendo nulla, allora meglio negare la modifica.

Come antivirus, consiglio Avira, la versione gratuita è già potente. Se poi volete, esiste anche quella a pagamento che offre ulteriori strumenti utili. In ultimo non scordate il firewall. Io uso ancora il vecchio Sygate Personal Firewall. Se preferite un software più nuovo, allora provate Comodo.

Spero di esservi stato utile. Per applicare questi consigli serve un minimo di conoscenza e di abilità al Pc. Se non siete sicuri di ciò che fate, fatevi aiutare semmai da un amico esperto. Cercate però di imparare per poter diventare più indipendenti col computer.