Rimozione del virus “Guardia di Finanza”

Il cosiddetto «virus della Guardia di Finanza» blocca Windows con una schermata a tutto schermo che intima il pagamento di una multa. Non cifra i dati, quindi si può rimuovere a mano con la procedura seguente.

Rimozione dei file

1. Riavviare in modalità provvisoria (F8 all’avvio).
2. Andare nella cartella C:\Users\nomeutente e individuare eventuali file .dll o .exe anomali, che probabilmente sono richiamati anche dall’esecuzione automatica.
3. Eliminare il file anomalo.
4. Riavviare di nuovo in modalità provvisoria.

Pulizia del registro

Avviare regedit.exe e controllare le seguenti chiavi.

In questa chiave verificare che il valore DisableTaskMgr sia impostato a 0 (zero):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

Controllare che non ci siano voci sospette nelle chiavi di esecuzione automatica:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunEx
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

Infine, in questa chiave:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

• controllare che il valore Shell sia explorer.exe;
• controllare che il valore Userinit sia solo C:\Windows\system32\userinit.exe, (virgola finale inclusa).

Al riavvio successivo Windows partirà normalmente senza la schermata di blocco.