TiempoLibreSite Comunità Informatica: Maledettissimo Trojan - TiempoLibreSite Comunità Informatica

Ragazzi non ne esco più da questa situazione....aimè sto per alzare bandiera bianca e formattare tutto....

sono un po di giorni che (come al solito) ho problemi di blocco del pc, si blocca tutto e mi fa la consueta schermata blu di blocco di windows....ho fatto la mia bella scansione con spybot , sia in normale che in mod.provvisoria, e ho eliminato diversi elementi, tranne uno.....che a ogni scansione mi si ripresenta.....ho detto va bhè....mo ti frego io!!! ho avviato la scanzione con antivir premeditamente scaricato e boooooooooooooooom mi si è scatenato l'inferno stile iraq ai tempi di bush!!! mi ha trovato un 36 trojan.....fra cui:

TR/Rootkit.Gen
TR/Dropper.Gen
TR/Crypt.Gen (il più bastard)

Ora, io ho provveduto ad eliminare quanto potevo, ma quando provo a togliere TR/Crypt.Gen mi da errore e comincia una sequela interminabile di avvisi di rilevamento dll infette da metter paura......ho provato anche a prender nota dei nomi di questa dll e cercare di toglierle manualmente dalla cartella...ma niente da fare.

Suggerimenti pre format c: ?

Considerate che ho sempre XP e come detto uso antivir come antivirus.

a voi la patata bollente

ciao
dacci più informazioni come si chiama il file che ti trova?

scarica HijackThis ed estrai il file in una cartella fai doppio click su hijackthis.exe e clicchi su "Do a system scan and save a logfile" ti rilascerà un log nella cartella dove lo hai messo
vai su questo sito clicchi su sfoglia selezioni il log e clicchi su upload file now poi ti darà un direct link copialo qui

Questo messaggio è stato modificato da iceman: 08 May 2009 - 05:15 PM

wowo grankyo... una bella frittata... li hai presi proprio tutti...

mi aggiungo a quello che ha già saputo consigliarti iceman per dirti che eventualmente puoi cancellare i programmi disattivando l'explorer... almeno in vista sono riuscito a fare con successo questa operazione.
Tu che sistema operativo hai?

io che uso ancora Win2000 una volta individuato le dir che contengono malware predispongo un file AUTOEXEC.bat che contenga le istruzioni per deletarli e poi riavvio il PC incrociando tutte le dita possibili....

sergio, su May 8 2009, 07:51 PM, ha detto:

novità?

iceman, su May 8 2009, 05:12 PM, ha detto:

ti incollo il log perchè il link che mi hai dato non mi apre nessuna pagina:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13.11.58, on 11/05/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmi\DAEMON Tools\daemon.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\ClamWin\bin\ClamTray.exe
C:\Programmi\Java\jre6\bin\jusched.exe
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\MSN Messenger\MsnMsgr.Exe
C:\Programmi\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Microsoft ActiveSync\WCESCOMM.EXE
C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Update\GoogleUpdate.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\Programmi\DNA\btdna.exe
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Skype\Plugin Manager\skypePM.exe
C:\Programmi\PokerStars.IT\PokerStars.exe
C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com/?o=101764&l=dis
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft....k/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft....k/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft....k/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft....k/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://runonce.msn.com/?v=msgrv75
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {07DA18B1-A7B5-4640-ABDE-73444F7F9891} - (no file)
O2 - BHO: (no name) - {13DCFE9B-8C60-4D73-9DD4-8C68AE9AF117} - (no file)
O2 - BHO: (no name) - {437F71F8-9551-41A7-A944-3C95045C1D89} - (no file)
O2 - BHO: (no name) - {44AFC020-023F-4B7F-BF9F-4EFDFBAFF2E7} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {6AE5D975-98E2-43BB-8F4F-B59898ED4016} - (no file)
O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - (no file)
O2 - BHO: (no name) - {72677DCE-4601-4784-B5E9-3616846233DE} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {934F674D-F6C0-4D51-A6DE-E2A66332DFF3} - (no file)
O2 - BHO: (no name) - {9448603F-01B9-4E64-8551-4E509E7AE565} - C:\WINDOWS\system32\nnnliFVL.dll (file missing)
O2 - BHO: (no name) - {A0133D0F-D7F9-49C6-AE5F-279DC0EC1806} - (no file)
O2 - BHO: {003bf8d6-efa7-eb79-15f4-0c0dd0c2e9bb} - {bb9e2c0d-d0c0-4f51-97be-7afe6d8fb300} - C:\WINDOWS\system32\xuokhg.dll (file missing)
O2 - BHO: Java™ Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: (no name) - {F6204EEA-6198-460D-9B18-8ED14FFDAD24} - (no file)
O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Programmi\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programmi\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ClamWin] "C:\Programmi\ClamWin\bin\ClamTray.exe" --logon
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programmi\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Federico\Impostazioni locali\Dati applicazioni\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programmi\DNA\btdna.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Point&&Go - C:\Programmi\File comuni\Expert System\PGPlatform\PGPlatform.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Crea preferiti portatile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programmi\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmi\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra 'Tools' menuitem: Crea preferiti portatile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmi\Microsoft ActiveSync\INETREPL.DLL
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: PokerStars.it - {C4046502-6524-4d87-896C-878F57D1FF07} - C:\Programmi\PokerStars.IT\PokerStarsUpdate.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {83AFB5CA-ED35-11D4-A452-0080C8D85045} (GameDesire Poker Games) - http://194.244.16.12...er_2_0_0_49.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.m...ash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: yayaAPjJ - yayaAPjJ.dll (file missing)
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programmi\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: UPnPService - Magix AG - C:\Programmi\File comuni\MAGIX Shared\UPnPService\UPnPService.exe

--
End of file - 9779 bytes


Mi sembrava di averlo scritto ma forse mi sono scordato, uso XP come sistema operativo.

questo è un file che mi trova :
C:\WINDOWS\system32\nnnliFVL.dll

Questo messaggio è stato modificato da Grankyo: 11 May 2009 - 12:16 PM

scarica Vundofix sul desktop
fai doppio click su vundofix.exe e clicca su scan for vundo
quando ha finito lo scan clicca su remove vundo
quando ti chiede di rimuovere i file digli di sì
dopo che hai cliccato sì il desktop diventerà bianco e inizierà a rimuovere i file infetti
appena finito ti dirà che riavvierà il pc clicca OK

poi apri hijackthis e cacnella questa voce:
O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS\service32.exe

poi scarica Killbox apri il programma e nello spazio bianco ci incolli dentro questo file:
C:\WINDOWS\service32.exe

poi selezioni "delete on reboot" e poi clicchi sulla X bianca e rossa
ti chiederà se vuoi riavviare

iceman, su May 11 2009, 04:59 PM, ha detto:

OK fatto tutto, ed effettivamente antivir ora non rileva nulla.....che si buon segno?

Niente da fare, come non detto.....ieri sera antivir mentre stavo navigando mi ha segnalato il solito file infetto che non riesce a toccare.....oltretutto si è aggiunto un nuovo "sintomo", mi da il solito errore Generic Host e si blocca tutto tranne l'applicazione che sto usando in quel momento....brawser internet, comandi windows, icone sul desktop tutto blocato.

Grankyo, su May 12 2009, 08:43 AM, ha detto:

Cambia antivirus usa un'antivirus come Nod32, F-Secure o Kaspersky
attualmente sono questi i migliori oppure utilizza ClaimWin che puoi installare insieme a quello che hai attualmente, dato che non ha la protezione realtime.

E poi effettui una scansione con il claimwin

Nella sezione sicurezza trovi tutte le indicazioni

Grankyo ma che sistema operativo hai? con che cosa navighi?

Kaspersky l'ho usato e finita la versione di prova devo acquistarlo quindi per ora non ce l'ho, anche se l'ho acquistato e devo solo ritirarlo.
Claimwin ce l'ho già istallato e sinceramente da scansione non mi ha dato nulla di anormale.

Come sistema operativo ho XP e navigo con google chrome

Ho un grido shoutshark aiutaci tuuuuuuuuuuuuu (speriamo arrivi)

senti dato che sappiamo come si chiama il trojan hai provato a fare una scansione con il tool di rimozione specifico?
Attento le scansioni falle sempre dalla modalità provissoria sia con l'antivirus sia con anti-spywere....

ho appena fatto una scansione con Anti-Malware e mi ha trovato i soliti file ma questa volta eliminandoli....vi posto il log, vedete se ci capite qualcosa voi hihihi

Malwarebytes' Anti-Malware 1.36
Versione del database: 1945
Windows 5.1.2600 Service Pack 2

12/05/2009 19.18.22
mbam-log-2009-05-12 (19-18-22).txt

Tipo di scansione: Scansione rapida
Elementi scansionati: 69181
Tempo trascorso: 3 minute(s), 17 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 11
Valori di registro infetti: 0
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 1

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{bb9e2c0d-d0c0-4f51-97be-7afe6d8fb300} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{bb9e2c0d-d0c0-4f51-97be-7afe6d8fb300} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\asc3550p (Rootkit.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\cs41275 (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MSNETDED (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MSNETDED (Backdoor.Bot) -> Quarantined and deleted successfully.

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\WINDOWS\system32\xuokhg.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.

Dai tutto sommato nn ve la siete cavata male....in mia assenza.... diciamo che il virus l'avete rimosso più volte ma nn avete fatto caso al trojan dowloader.... ed ai servizi che esso genera...pertanto appena ricollegato ad internet l'hai riscaricato.... !!! questo perchè il firewall è bacato!!

per il momenta prova con questo tool di rimozione Symantec mi raccomando disattiva il servizio di ripristino di sistema... prima di procedere...cmq due antivirus si prendono a cazzotti....
poi fai una bella ripulita del registro... se va tutto ok...installa un firewall tipo Comodopersonal.... lui avrebbe aggiustato tutto al primo sintomo... bastavo nn concedere l'accesso ad internet