Ripristinare Windows XP corrotto da spyware e trojan

A chi di voi non è mai successo di dover recuperare (o far recuperare) un PC con Windows XP completamente corrotto da spyware e trojan? Magari il pc dell'amico dell'amico, quello che ha il PC solo per giocare e che sempre più spesso non fa che creare casini…

Bene, se la risposta "passa a Linux" non è stata accolta nel migliore dei modi, vi siete trovati pressappoco nella mia situazione: computer mostruosamente lento, connessioni di rete bloccate (con 3 connessioni verso numeri estoni), servizi di Windows che non si avviavano nonostante le dipendenze completamente soddisfatte e chi più ne ha più ne metta. Scartata in anticipo la soluzione più veloce (formattazione, ma per me formattare Windows è sempre una sconfitta), mi son rimboccato le maniche, ed ho risolto tutti i problemi, aiutandomi anche con qualche tool freeware reperito in rete.

Prima di tutto, ho rimosso tutti i trojan e/o gli spyware, aiutandomi con i seguenti tools:

• Avast Antivirus – Gratuito per uso personale, dopo averne aggiornato le definizioni l'ho programmato per effettuare una scansione all'avvio, e così facendo ho rimosso almeno un'80ina di trojan; i passi per avviare la scansione all'avvio sono:

1. Click con il tasto destro sull'icona nella traybar, poi scegliere la voce "Avvia avast! Antivirus";
2. Una volta avviato, nel menù principale selezionare l'opzione "Programma scansione all'avvio", scegliere le opzioni più adatte alle proprie necessità (io ho impostato il controllo dei file compressi, dei dischi locali, e nelle opzioni avanzate gli ho detto di ripulire tutto senza conferma, file di sistema inclusi);
3. Una volta dato l'ok, il PC vi chiederà il riavvio: ditegli di si e godetevi la pulizia!

• Spybot Search & Destroy – Anch'esso gratuito, l'ho installato ed ho effettuato una bella scansione approfondita, che ha definitivamente ripulito il PC da schifezze varie; ecco i passi da compiere:

1. Scaricatelo dal sito che ho linkato, installatelo ed aggiornatelo (prima vi chiederà di fare un backup del registro, se non sapete cosa state facendo backuppate tutto);
2. Una volta installato, tutto sta a cliccare su "Avvia scansione" e, al termine, su "Correggi i problemi selezionati". Due click e passa la paura ^_^

• RegSeeker – Fantastico tool freeware con il quale ho ripulito il registro del PC in vista del ripristino del sistema operativo:

1. Scaricatelo dal sito linkato, decomprimete l'archivio ed eseguite il programma. Vi si aprirà una finestra come questa:

2. Cliccate su  "Clean the registry", lasciate tutte le opzioni così come sono e infine cliccate su ok. Anche in questo caso, con due click abbiamo sistemato il registro (volendo è possibile ripulire tutto il pc, ma questa è un'altra storia…)!

A questo punto, abbiamo ripulito il PC da trojan e spyware, possiamo procedere con il ripristino di tutte le funzionalità di sistema. Il problema più grosso l'ho avuto con il servizio Windows Firewall / Condivisione connessione Internet (ICS): senza questo non è possibile far avviare tutti i servizi di condivisione della connesione ad Internet nonchè (e soprattutto, in questo caso) quello del Windows Firewall (che personalmente ritengo un ottimo firewall per un uso "casalingo" e per chi non vuol rompimenti di balle con settaggi vari su porte e finestre). L'errore che ricevevo era il 1068, con descrizione "Avvio del gruppo o del servizio di dipendenza non riuscito". Dopo alcune ricerche su Internet, e dopo aver verificato che tutte le dipendenze (l'avvio cioè dei servizi da cui dipende il servizio ICS) erano soddisfatte, son riuscito a risolvere il problema in questa maniera:

• Ho verificato che tutte le dipendenze fossero soddisfatte:

1. click su Start -> Esegui, "services.msc" e click su Ok.
2. Si aprirà la schermata dei servizi di Windows: verificate che tutti i seguenti servizi siano avviati:

1. Servizio Gateway di livello applicazione
2. Connessioni di rete
3. NLA
4. Plug and Play
5. Auto connection manager di Accesso Remoto
6. Connection Manager di Accesso Remoto
7. RPC (RPC)
8. Telefonia

Verificate con successo tutte le dipendenze, tasto destro su "Servisio Gateway di livello applicazione", e scegliete "Proprietà". Nella schermata "Connessione" spuntate la voce "Account di sistema locale" e "Consenti al servizio di interagire con il desktop". Fatto questo, dopo un riavvio il servizio è partito correttamente

Purtroppo, ho avuto una marea di problemi con gli altri servizi di Windows, e così ho deciso di ripristinare completamente l'installazione del sistema. Ecco la procedura:

1. Dopo aver impostato il PC dal bios per l'avvio da CD (anche se generalmente tutti i PC di nuova generazione hanno quest'impostazione attiva di default), inserite il CD di Windows XP nel lettore e riavviate il computer;
2. Una volta che Windows avrà terminato tutte le sue operazioni, vi ritroverete di fronte ad una schermata in cui il sistema vi chiederà di installare Windows, riparare una installazione già esistente o uscire dal programma di installazione. Selezionate la prima opzione, premendo il tasto Invio (e non F3, altrimenti il sistema vi chiederà i cd di ripristino che al 99% non avete :-P);
3. Una volta accettata la licenza (tasto F8), il programma rileverà la presenza di un'installazione di Windows e vi chiederà se volete ripararla (tasto R) o installare tutto da zero (tasto ESC). Bene, premete R e lasciate che il sistema si "ripari" da solo. Tutto ciò che avrete da fare è aspettare, inserire il codice seriale e impostare tastiera e opzioni internazionali del sistema. Il gioco è fatto!

Dopo aver riavviato, mi son ritrovato il mio sistema bell'e pronto, con tutte le connesioni di rete (LAN e WAN) presenti e che prima erano "scomparse", ho dovuto soltanto reimpostare la grafica e reinstallare qualche driver (ne ho approfittato per effettuare aggiornamenti vari). Per concludere e "blindare" le connesioni di rete (l'utente ha avuto non pochi problemi con dialer, telefonate varie verso l'Estonia e bolletta da 200€), ho effettuato la seguente operazione:

1. Da Esplora risorse, andate alla seguente cartella: C:\Documents and Settings\All Users\Dati Applicazioni\Microsoft\Network\Connections\P
   bk
2. Click con il tasto destro sul file "Rasphone.pbk" -> "Proprietà". A questo punto, impostate l'attributo "Sola lettura". Niente di più facile, ora nessuno spyware o trojan potrà impostare nuove connessioni.

Ecco fatto, procedura non troppo corta ma neanche troppo difficile. La mia unica accortezza (e suggerimento) è stata quella di creare un account "ad hoc" senza alcun privilegio di amministrazione sul sistema, da utilizzare esclusivamente per quando ci si deve connettere ad Internet (utile non solo nel caso in cui ci si stia collegando con connessioni analogiche, come in questo caso), e quella di attivare la protezione in real-time di Spybot: in questo caso l'utente sarà avvisato di ogni possibile tentativo di scrittura al registro, sperando che comunque d'ora in avanti, vista l'esperienza, ci sia un po' più di accortezza prima di visitare certi siti!

Spero di esservi stato utile, in ogni caso attendo i vostri commenti! 

[techtags: Windows, tools, XP, Spyware, Trojan, Antivirus, errore 1068, servizi, RegSeeker, Spybot, Avast]