Virus "guardia di finanza" che chiede 100€ per sbloccarlo

Questo è proprio nuovo! Lo ammetto, non avevo mai visto fino adesso un virus che all'avvio del sistema operativo ti piazza una bella pagina bianca con scritto "Guardia di Finanza" e che il pc è stato messo sotto sequestro perchè contenente materiale pedopornografico e varie altre cose. Poi dicono che se pago 100 euro mi liberano il pc!






Ahahahah, ma se avessi materiale pedopornografico la finaza mi lascia libero con 100€? Minimo verrebbe ad arrestarmi. Ovvio che si tratta di un virus che sicuramente ha lo scopo di fregare un po' di soldi (non sanno che c'è la crisi?!?!?).
Vediamo come eliminarlo:
Avviate il pc ed iniziate a premere di continuo il tasto F8 fino a quando vi comparirà una schermata nera con diverse opzioni. Muovetevi con le freccette e selezionate:
"Avvia il pc in modalità provvisoria con rete" sperando che la rete funzioni (a me non andava).
Nel caso la rete funzioni e si riesca ad andare in internet scaricare combofix aggiornato da qui. Se invece la rete non funziona dovete procurarvi combofix da un altro pc salvandolo su una pendrive che poi copierete sul desktop del pc infetto.
A questo punto vi basta lanciare l'eseguibile ed attendere.
Verranno eliminati i seguenti file:
c:\programdata\NOTEPAD.EXE-X.TXT
c:\programdata\RUNDLL32.EXE-X.TXT
Riavviate il pc e tutto sarà funzionante!

AGGIORNAMENTO POST FEBBRAIO 2012

La risoluzione descritta qui sopra è stata la prima e unica che risolveva il problema. Ad oggi invece questo virus si rimuove senza problemi anche con malwarebytes il quale è meno invasivo rispetto a combofix e non da' tutti i problemi di incompatibitilà che si possono avere con i vostri antivirus presenti sul pc ( avg, avast, etc etc).
Quindi prima di arrivare ad usare il mitico combofix, procediamo così:
Avviare il pc il mod provvisoria con rete (procedura già descritta dettagliatamente in alcuni commenti qui sotto)
Installare malwarebyte scaricato anche da qui: SCARICA versione 1.6
Aggiornare e far fare una scansione veloce.
Riavviare il pc ancora in mod provvisoria e ripetere la scansione questa volta completa. Ci metterà un po'!
Riavviate e vedete se il problema è risolto.
In caso contrario, allora si proceda con combofix come descitto sopra....

Se non riuscite ad entrare in modalità provvisoria, potreste provare ad usare un cd di avvio dell'antivirus kaspersky, come descitto in questo post.


AGGIORNAMENTO POST MARZO 2012

Dopo ulteriori suggerimenti ed evoluzioni nella "lotta" contro questo virus ( che per giunta ha fatto segnare quota 64.000 visite al mio post!) ecco un piccolo aggiornamento.
Pare che sia più efficace AVIRA RESCUE DISK rispetto a Kaspersky boot. Però alcuni utenti (per esempio Roberto66 e Roberto Quaranta - credo siate la stessa persona!- , come ben descritto in due suoi commenti che potete leggere tra i primi di questo post), con Kaspersky boot cd sono riusciti a debellare il virus facendo questa procedura:
seguendo la mia guida  create il cd-live di kaspersky.
Avviate con il CD inserito, ma invece di eseguire lo scan, trovate sul desktop l'editor di registro, lanciarlo quindi controllare nelle seguenti voci :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunEx
dovreste trovare un file posto in
c:\windows\system32 che inizia con o. _______.exe, cambiate l'estensione da .exe a .aaa, salvate. Riavviate il PC.

Grazie ancora Roberto.


Ringraziamento per le donazioni!

Quest'ultima parte non serve a nulla per il virus, però non saprei dove scrivere queste due brevi righe per i dovuti ringraziamenti..... mi era stato suggerito di mettere il classico link per le donazioni da un utente. Scherzando e non credendo assolutamente che qualcuno potesse farlo, ho messo sulla sinistra del blog un link per chi volesse offrirmi una birra. Confesso che  mi ero pure dimenticato di averlo fatto! L'altro giorno però, con mia enorme sorpresa, ho invece visto sui movimenti di paypal che c'erano due donazioni ( Vincenzo e Sebastiano). Ora, a parte il discorso economico, devo ammettere che mi ha fatto molto piacere soprattutto per il gesto. Io scrivo questo blog per puro piacere e per poter aiutare chi è in difficoltà col pc....qualche euro lo recupero dalle pubblicità di google e altri banner ( almeno per le spese di gestione), ma il fatto che una persona liberamente mi offra una birra mi gratifica ulteriormente.
Dunque grazie ancora a Vincenzo e Sebastiano (i primi due e spero non ultimi!!!!!!!!) per la bevuta di Venerdì sera!
Lollo