Antivirus2008xp: rimozione del malware

“Antivirus 2008 XP” o “Antivirus2008xp” è un poco simpatico software che promette di proteggere la vostra macchina da minacce provenienti dalla rete. Insieme alle varianti “Antivirus 2009“, “Antivirus 2008“, “XP Antivirus“, “XP Antivirus 2008” e “XP Antivirus 2009” compone una famiglia intera di malware in grado di infettare il PC arrecando parecchio fastidio all’utilizzatore.

Nulla che abbia a che fare con i sistemi di protezione personale in commercio. Si tratta di un software ben sviluppato con testi particolarmente curati, in grado di trarre in inganno l’utente poco esperto. Perché fastidioso? Oltre a caricare una icona a forma di scudo nella tray di WIndows, propone messaggi a video con cadenza di circa 5 minuti (talvolta anche meno) invitando l’utente ad acquistare il software affinché questo possa poi fare pulizia del proprio Hard Disk sul quale, ovviamente, sono state rilevate molte minacce tutte eliminabili dal prodigioso antivirus.

immagine presa da: Etechs.it

Cosa faccio, l’acquisto?

Assolutamente no. Antivirus 2008 XP è una minaccia da eliminare quanto prima dalla macchina. Per fare ciò è necessario possedere le credenziali di amministratore locale di sistema (o di dominio, nel caso in cui la macchina faccia parte di una rete aziendale) e avviare il sistema operativo in modalità provvisoria (premere F8 in fase di boot generalmente), magari con rete.

L’unica –apparente– falla del malware sta nel fatto che questo installa i propri file nella cartella del profilo locale dell’utente collegato durante la fase di infezione. Collegandoci al PC con un altro utente non sortirà alcun effetto.

Preparare il necessario

Sono riuscito a debellare la minaccia utilizzando un piccolo tool gratuito (o quasi) che analizza il contenuto del disco individuando ed eliminando i file utilizzati dal malware. Si chiama “Malwarebytes’ Anti-Malware” ed è prodotto –ma va?– dalla Malwarebytes. Si può scaricare gratuitamente all’indirizzo:

malwarebytes.org/mbam.php

Con le seguenti limitazioni:

• nessuna protezione real-time
• niente scansioni schedulate
• niente aggiornamenti schedulati

Tutto questo non influisce sul corretto funzionamento dell’applicativo che cercherà comunque gli aggiornamenti sul server principale dell’azienda produttrice ed eseguirà una scansione completa (o rapida) sotto nostra specifica richiesta.

Nel caso in cui si voglia abilitare le 3 funzionalità sopra elencate occorrerà pagare il dazio: 24.95 dollari (circa 16 euro).

Avanti Amministratore!

E’ giunto il momento, occorre fare pulizia! Computer in modalità provvisoria con rete, M. Anti-Malware su chiavetta USB o su cartella di rete raggiungibile, password dell’amministratore locale della macchina, c’è tutto.

1. Effettuare l’installazione di Malwarebytes’ Anti-Malware. Si tratta di un banale avanti / avanti / fine. A fine installazione verrà lanciata una ricerca di aggiornamenti sul server dell’azienda e, in seguito, l’applicazione vera e propria.
2. Effettuare una scansione completa della macchina e attendere l’esito.
3. Dovrebbero comparire tutte le voci di Rogue Antivirus 2008 XP (& Co.), generalmente all’interno di \Documents and Settings\UTENTEATTACCATO\ecc.
4. Procedere con la pulizia dando conferma di Eliminazione file rilevati.

E’ ora possibile chiudere il programma e riavviare la macchina. Manca solo un passaggio da effetturare con l’utenza attaccata dal malware ed un successivo test di corretto funzionamento del sistema.

A Windows avviato (tipicamente in schermata di CTRL + ALT + CANC o selezione dell’utente) indicare nome utente e password dell’account precedentemente attaccato e confermare, attendere quindi il caricamento del sistema.

• Selezionare Start / Esegui e digitare “regedit” (senza virgolette)
• Esplorare il ramo HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run e individuare la voce relativa all’eseguibile del malware ora non più presente perché cancellato dal tool. Generalmente gli viene assegnato un nome “random” fatto da cifre e caratteri, come in figura:

Basta cliccare sulla voce con il tasto destro del mouse e selezionare “Elimina“, confermando il tutto con OK. Chiudere il registro di Windows e godersi un sistema operativo nuovamente sano! :)

Nel caso in cui le mie istruzioni non dovessero bastare potete fare affidamento ai suggerimenti che dispensa il blog SpywareRemove!