Il Master Boot Record (MBR) è il settore di avvio che consiste nei primi 512 byte (mezzo kilobyte) dell' hard disk, che contiene la sequenza di comandi necessaria per l'avvio del sistema operativo.
MBR Rootkit si annida nel Master Boot Record da cui prende il nome rendendosi invisibile a una comune scansione antivirus ed infettando il disco rigido.

Comparso per la prima volta tra la fine dell' anno 2007 e l' inizio del 2008, già da allora risultò palese che si trattasse di un' infezione davvero fastidiosa, diversa da ogni altro tipo di infezione di tipo rootkit vista fino ad allora "in the wild" ossia allo stato selvatico come lo descrive Marco Giuliani, Malware Technology Specialist per Prevx.
In pochi mesi, MBR Rootkit si è rivelato una delle peggiori "bestie" degli ultimi anni, con decine di migliaia di PC infetti.

I sintomi sono pressochè generici :
- Impossibilità di connettersi a internet
- Impossibilità inviare posta con Outlook Express
- Instabilità del PC con segnalazione di errori vari

Ecco una guida passo-passo su come eliminare definitivamente MBR

1. Disabilitate il Ripristino configurazione di sistema
Quando una macchina è stata infettata da un virus, un worm o un trojan, è possibile che la funzionalità di Ripristino configurazione di sistema crei una copia di backup di tali codici nocivi sul PC riportandoli in vita anche dopo la loro rimozione.

*In Windows Xp dal menu Start/Impostazioni/ Pannello di controllo cliccate due volte sull’icona Sistema e, nella finestra che si apre, spostatevi sul tab Ripristino configurazione di sistema. Spuntate Disattiva Ripristino configurazione di sistema dando conferma all’azione con Applica.


*In Windows Vista andate su Start/Pannello di controllo/Sistema e manutenzione/Sistema.
Sulla sinistra cliccate su Impostazioni avanzate di sistema poi sul Tab Protezione sistema e togliete il segno di spunta sui drive di sistema.


Confermate cliccando sul pulsante Disattiva ripristino configurazione di sistema.


Lo stesso percorso è raggiungibile anche cliccando con il tasto destro del mouse sull'icona Computer che trovate sul desktop.
Selezionate Protezione sistema.
Togliete la spunta da tutti i dischi.
Confermate cliccando sul pulsante Disattiva ripristino configurazione di sistema.

2. Rilevamento del rootkit
Scaricate Prevx 3.0, un ottimo anti-malware, eseguitelo facendogli fare una bella scansione del pc (durerà un paio di minuti).
A fine scansione, verrà generato un log che potrete leggere cliccando su Options / Save a Log File.


Scegliete come Destinazione di salvataggio il Desktop e chiamate il log Prevx1 come in figura:



Nel caso siate infetti da Mbr, tra le righe del log leggerete:
ROOTKIT-\\.\PhysicalDrive0\MBR - [512] >> Hidden Disk Sectors
da cui si evince chiaramente che siete infetti dal rootkit.
Prevx effettua la scansione gratuitamente, ma per la rimozione di ciò che di dannoso trova deve essere acquistato.
A noi serve solo per rilevare il rootkit, per la rimozione useremo altri tool gratuiti :)

3. Scaricate Gmer, ottimo tool standalone (non necessita di installazione) e lanciatelo spuntando sul pannello di destra tutte le caselle.


Una volta terminata la scansione cliccate su Save..., scegliete come Destinazione di salvataggio il Desktop e chiamate il log Gmer1 come nelle immagini successive:




Ecco la parte del log che mostra l 'infezione:
Disk \Device\Harddisk0\DR0 sector 61: rootkit-like behavior; malicious code @ sector 0x1316700 size 0x1ca Disk \Device\Harddisk0\DR0 sector 62: rootkit-like behavior; copy of MBR sector

Potete incollarmi il log nei commenti in modo tale che io possa leggerlo e verificare se avete le righe che vi ho scritto sopra che confermano l' infezione dal rootkit.

4. Disinfezione
- Scaricate Stealth MBR rootkit detector, tool standalone (non necessita di installazione) e mettetelo direttamente nella Directory C:\


- Riavviate il Pc in modalità provvisoria premendo ripetutamente F8 all' avvio del PC
- Andate su Start - Esegui e digitate C:\mbr.exe -f e cliccate su OK


Verrà generato un log nella Directory C:\ dal nome mbr, voi rinominatelo in mbr1 facendo tasto destro sul file e scegliendo la voce Rinomina (se necessario, inseritelo nei commenti così potrò analizzarlo).



Se viene rilevata un' infezione, il log sarà simile a questo:

Stealth MBR rootkit detector 0.3.3 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
MBR rootkit infection detected !
MBR INT 0x13 hook detected !
malicious code @ sector 0x950e4c1 size 0x1ca !
copy of MBR has been found in sector 62 !

original MBR restored successfully !

MBR.EXE avrà svolto egregiamente il suo lavoro :)

- Riavviate il PC in modalità normale
Andate su Start - Esegui , poi digitate C:\mbr.exe e cliccate su OK


Verrà generato un log, chiamatelo mbr2 (se necessario, inseritelo nei commenti così potrò analizzarlo)
Il log sarà simile a questo:
Stealth MBR rootkit detector 0.3.3 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

- A questo punto sempre da Start - Esegui - digitate C:\mbr.exe -f e cliccate su OK


Salvate il log prodotto come mbr3 (se necessario, inseritelo nei commenti così potrò analizzarlo)
Il log sarà simile a questo:
Stealth MBR rootkit detector 0.3.3 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
MBR rootkit infection detected !
MBR INT 0x13 hook detected !
malicious code @ sector 0x12a14c00 size 0x1ca !
copy of MBR has been found in sector 62 !
original MBR restored successfully !

- Riavviate il PC in modalità normale
Andate su Start - Esegui , quindi digitate C:\mbr.exe e cliccate su OK


Salvate il log prodotto come mbr4 (se necessario, inseritelo nei commenti così potrò analizzarlo)
Il log sarà simile a questo:
Stealth MBR rootkit detector 0.2.2 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

- Scaricatevi il tool standalone (non necessita di installazione) Symantec Trojan.Mebroot Removal Tool
Fate doppio click sul file FixMebroot.exe , poi cliccate su I Accept


quindi cliccate su Start e seguire le istruzioni a video.


Una volta conclusa la scansione verrà generato sul desktop il log dal nome FixMebroot.log (se necessario, inseritelo nei commenti così potrò analizzarlo)

Nel caso in cui non siate infetti da MBR comparirà il messaggio :
Trojan.Mebroot has not been found active on your computer.

e comunque sarà richiesto il riavvio del pc:


Infine per sincerarvi che vi siate liberati definitivamente di MBR una bella ripasssata di Prevx 3.0 non guasta!
Fategli fare una bella scansione!

Se ti e' piaciuto l'articolo, iscriviti al feed o alla newsletter per tenerti sempre aggiornato sui nuovi contenuti del blog!