Questo strumento non è più disponibile. Questa funzionalità è stata sostituita dallo strumento di rimozione malware di Microsoft Windows. Per ulteriori informazioni sullo Strumento di rimozione malware, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
890830 Lo Strumento di rimozione malware di Microsoft Windows consente di rimuovere software dannoso specifico e diffuso dai computer che eseguono Windows Server 2003, Windows XP o Windows 2000
Riepilogo
Microsoft è venuta a conoscenza di un programma cavallo di denominato W32/Berbew (varianti A-H) che viene scaricato dopo che un computer client basato su Microsoft Windows è stato infettato dal malware Download.Ject. Questo problema si verifica quando un utente visita un sito Web ospitato su un server che esegue Microsoft Internet Information Services (IIS) e che è stato infettato da JS. Scob. Le pagine Web scaricate sul computer dell'utente contengono un programma JavaScript aggiuntivo che scarica il cavallo di Backdoor:W32/Berbew. Backdoor:W32/Berbew è anche conosciuto come Backdoor-AXJ, Webber o Padodor. Quando questo cavallo di viene eseguito sul computer dell'utente, esegue diverse azioni, tra cui:
- Monitora l'accesso a Internet. Quando l'utente visita uno dei numerosi siti Web finanziari o ISP, il cavallo di acquisisce informazioni sensibili, come nomi di accesso, password e altre informazioni sensibili. Il cavallo di invia quindi tali informazioni a un server Web affinché l'autore del cavallo di possa recuperarle. Installa un server proxy che configura il computer dell'utente per l'uso come inoltro per azioni come l'invio di posta indesiderata.
- Apre finestre di dialogo false che richiedono all'utente di immettere informazioni riservate, come codici di carte bancomat o numeri di carte di credito. Queste informazioni vengono quindi inviate a un server Web per essere recuperate dall'autore del cavallo di.
Microsoft ha rilasciato uno strumento che consente di rimuovere le varianti di cavalli di Backdoor:W32/Berbew dal computer. È possibile scaricare questo strumento dall'Area download Microsoft ed eseguirlo nel computer per rimuovere le infezioni da Backdoor:W32/Berbew.A, Backdoor:W32/Berbew.B, Backdoor:W32/Berbew.C e Backdoor:W32/Berbew.D, Backdoor:W32/Berbew.E, Backdoor:W32/Berbew.F, Backdoor:W32/Berbew.G e Backdoor:W32/Berbew.H. Aggiornamenti tecnici
8 febbraio 2005: Microsoft ha sostituito questo strumento con lo strumento di rimozione malware Microsoft Windows. Per ulteriori informazioni sullo Strumento di rimozione malware, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
890830 Lo Strumento di rimozione malware di Microsoft Windows consente di rimuovere software dannoso specifico e diffuso dai computer che eseguono Windows Server 2003, Windows XP o Windows 2000
14 luglio 2004: Le sezioni "Riepilogo", "Risoluzione" e "Informazioni sull'utilizzo" sono state aggiornate.
13 luglio 2004: Microsoft ha rilasciato la versione 1.0 dello strumento di rilevamento e rimozione del payload Download.Ject nell'Area download Microsoft. La versione 1.0 rileva e rimuove tutte le varianti attualmente note (da A a H) del cavallo di Backdoor:W32/Berbew.
Sintomi
È possibile che si verifichino uno o più dei sintomi seguenti:
- Le prestazioni del computer sono ridotte o la connessione di rete è lenta.
- Quando visiti determinati siti Web online di servizi finanziari e ISP, vengono visualizzati messaggi o finestre di dialogo in cui vengono richiesti numeri di sicurezza bancomat e informazioni sulla carta di credito.
Causa
Questo comportamento si verifica perché il computer è stato infettato dal cavallo di Backdoor:W32/Berbew. Backdoor:W32/Berbew viene fornito dal cavallo di Download.Ject. Per ulteriori informazioni su come determinare se il computer è infetto da una variante di Backdoor:W32/Berbew, visitare il seguente sito Web Microsoft:
http://www.microsoft.com/security_essentials/default.aspx
Risoluzione
Il software antivirus con firme aggiornate ti aiuterà a impedire al cavallo di Backdoor:W32/Berbew di infettare il tuo computer.
Importante È inoltre consigliabile usare un firewall Internet e un programma antivirus con firme aggiornate e mantenere aggiornati sia Windows che i programmi.
Per ulteriori informazioni sulla prevenzione dei virus e sul ripristino da infezioni da virus, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
129972 Virus informatici: descrizione, prevenzione e recupero
Informazioni sul download e sulla configurazione
Prerequisiti
Lo strumento di rilevamento e rimozione del payload Download.Ject ha i prerequisiti seguenti:
- Sul computer deve essere in esecuzione Microsoft Windows 2000 SP2 o versione successiva o una versione a 32 bit di Microsoft Windows XP.
- È necessario eseguire l'accesso come amministratore computer o come membro del gruppo Administrators.
Per ulteriori informazioni su come determinare se un computer esegue una versione a 32 bit di Windows XP o una versione a 64 bit di Windows XP, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
827218 Come determinare se il computer esegue una versione a 32 o 64 bit del sistema operativo Windows
Se questi prerequisiti non vengono soddisfatti, l'installazione non funzionerà e verrà visualizzato un messaggio di errore. Per altre informazioni sul messaggio di errore, vedere il file di log seguente:
%Windir%\Debug\Berbcln.logInoltre, è consigliabile installare Windows Update per disabilitare l'oggetto ADODB.stream in Internet Explorer prima di eseguire lo strumento di rimozione. Sebbene lo strumento di rimozione rimuoverà il cavallo di dai computer infetti, non impedirà la reinfezione se il computer è ancora vulnerabile. Installando l'aggiornamento critico, è possibile impedire ulteriori download di malware da un server infetto da Download.Ject.
Per ulteriori informazioni sull'aggiornamento di Windows per disabilitare l'oggetto ADODB.stream, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
870669 Come disabilitare ADODB. Oggetto Stream da Internet Explorer
Richiesta di riavvio
Non è necessario riavviare il computer dopo aver installato questo strumento.
Informazioni sull'utilizzo
Importante Prima di eseguire questa procedura, assicurarsi di aver eseguito il backup di tutti i dati importanti.
Quando si installa lo strumento di rilevamento e rimozione del payload Download.Ject e si accetta il contratto di licenza con l'utente finale (EULA), il pacchetto di installazione estrae il file Berbcln.exe in una cartella temporanea e quindi viene eseguito lo strumento di rimozione. Lo strumento di rimozione verifica che il computer soddisfi i prerequisiti elencati nella sezione "Prerequisiti". Se i prerequisiti sono soddisfatti, lo strumento di rimozione esegue le azioni seguenti:
Lo strumento esamina le sottochiavi del Registro di sistema seguenti per le voci aggiunte dal cavallo di:
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
- HKEY_CLASSES_ROOT\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32
Lo strumento cerca in memoria la prova del componente principale Backdoor:Win32/Berbew Trojan horse. Se lo strumento di rimozione lo rileva, il processo è terminato.
Lo strumento cerca i seguenti file di dati creati dal cavallo di. Questi file possono contenere dati personali sensibili. Lo strumento elimina questi file.
Neh2x32.vxd
Neh2x32.dat
Glumx32.vxd
Glumx32.dat
Tt32.vxd
Tt32.dat
Gart32.vxd
Gart32.dat
Jcole32.vxd
Jcole32.dat
Kk32.dll
Kk32.dll
Dnkk.dll
Surf.dat
Kkq32.dll
Kkq32.vxd
Dnkkq.dll
Kar32.dll
Kar32.vxd
Dkk32.dll
Zurfs.datLo strumento elimina tutti i file associati al cavallo di Backdoor:W32/Berbew. Questi file sono stati identificati nei passaggi 1 e 2.
Lo strumento rimuove le voci del Registro di sistema identificate nel passaggio 1. Se un valore di registro di Berbew non punta più a un file sul disco rigido, lo strumento di rimozione non rimuove il valore di registro orfano perché il valore di registro non causerà alcun danno se il file associato non esiste sul disco rigido.
Come parte del suo metodo di funzionamento, il cavallo di esegue due istanze di Microsoft Internet Explorer in finestre nascoste. Queste finestre tentano di connettersi a siti Web dannosi. Un'istanza tenta di caricare dati personali rubati e l'altra istanza cerca aggiornamenti software per il cavallo di. Se lo strumento rileva il cavallo di Backdoor:W32/ Berbew sul computer, termina tutte le istanze di Internet Explorer attualmente in esecuzione.
Lo strumento visualizza un messaggio che descrive l'esito del processo di rilevamento e rimozione. L'elenco seguente contiene i messaggi che potresti ricevere e ne spiega il significato.
Messaggio Significato Nessuna infezione rilevata Il cavallo di Backdoor:Win32/Berbew non è stato rilevato su questo computer. Rimosso con successo Backdoor:Win32/Berbew.gen Trojan. Per evitare comunicazioni dannose, tutte le istanze di Internet Explorer sono state chiuse. Il cavallo di Backdoor:Win32/Berbew è stato rimosso. Non sono necessarie altre azioni. Questo strumento deve essere eseguito da un amministratore. È necessario disconnettersi e accedere nuovamente come amministratore. Errore irreversibile, rivedere il file di registro. Per altre informazioni, vedere la directory %Windir%\Debug\Berbcln.log. Backdoor:/W32/Berbew.gen Trojan è stato rilevato, ma non è stato possibile rimuoverlo. Prova a eseguire nuovamente lo strumento e verifica la presenza di errori nel file di log. Questo strumento richiede Windows 2000 o Windows XP. Questo strumento non è supportato nelle versioni di Windows diverse da Windows 2000 e Windows XP. Versione di Windows non corretta (Win32s) Questo strumento non è supportato in Windows 3.1 con Win32s. Quando si chiude la finestra di messaggio, lo strumento di rimozione viene chiuso e il file Berbcln.exe viene eliminato dalla cartella temporanea. Ora è possibile eliminare manualmente il file Windows-KB873018-ENU-V1.exe.
Lo strumento di rimozione crea un file di log denominato Berbcln.log nella cartella %Windir%\Debug. È possibile visualizzare questo file di registro per determinare se sono state rilevate e rimosse infezioni da Backdoor:W32/Berbew.gen.
Opzioni della riga di comando
Il programma di installazione dello strumento di rimozione supporta le seguenti opzioni della riga di comando:
/Q - Usare la modalità non interattiva o eliminare i messaggi durante l'estrazione dei file.
/Q:U: usa la modalità utente non interattiva. La modalità non interattiva visualizza alcune finestre di dialogo all'utente.
/Q:A - Usare la modalità non interattiva per l'amministratore. La modalità non interattiva per l'amministratore non presenta alcuna finestra di dialogo all'utente.
/T:
percorso - Specifica il percorso della cartella temporanea utilizzata dal programma di installazione dello strumento di rilevamento e rimozione del payload Download.Ject o specifica la cartella di destinazione per l'estrazione dei file (quando questa opzione viene utilizzata insieme all'opzione /C)./C - Estrarre i file senza installarli. Se /T:
Il percorso non è specificato, viene richiesto di specificare una cartella di destinazione./C:
cmd - Specifica il percorso e il nome di un altro file Setup.inf o di un file .exe da usare per installare lo strumento./R:N - Non riavviare mai il computer dopo l'installazione.
/R:I - Chiedere all'utente di riavviare il computer se è necessario un riavvio, tranne quando questa opzione viene usata con l'opzione /Q:A.
/R:A - Riavviare sempre il computer dopo l'installazione.
/R:S - Riavvia il computer dopo l'installazione senza chiedere conferma all'utente
Per ulteriori informazioni sulle opzioni di installazione supportate, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
197147 Opzioni della riga di comando per i pacchetti di aggiornamento software IExpress
Lo strumento di rimozione supporta la seguente opzione della riga di comando:
- /S - Abilita la modalità silenziosa per lo strumento. Questo interruttore elimina la finestra di dialogo dello stato di infezione che viene visualizzata dopo l'esecuzione dello strumento.
Informazioni sulla rimozione
Il file Berbcln.exe viene eliminato automaticamente dalla posizione temporanea dopo l'esecuzione dello strumento di rimozione. È possibile eliminare il pacchetto di installazione dello strumento dopo aver installato lo strumento di rimozione.
Nota: dopo aver installato lo strumento di rilevamento e rimozione del payload Download.Ject, non viene visualizzato nell'elenco Programmi installati nello strumento Installazione applicazioni nel Pannello di controllo.
Altre informazioni
Nelle versioni più recenti di Robocopy, ad esempio nella versione XP010, l'opzione /SECFIX è stata deprecata. Per aggiornare le informazioni di sicurezza per i file e le cartelle di destinazione esistenti senza copiare i dati dei file, usare l'opzione /IS insieme all'opzione /COPY senza il flag D. Ad esempio, /IS /COPY:SOU aggiorna tutte le informazioni di sicurezza per tutti i file selezionati senza copiare i dati dei file. Per altre informazioni, vedere l'argomento "Copia selettiva dei dati dei file" nel file Robocopy.doc.