Guida Rimozione virus Bagle (antivirus disattivato) - leggere le Regole di Sezione

[Sirio3a]

Ho seguito passo passo la guida a pag 103: lasciato disattivato ripristino, svuotato prefetch, disinstallato a-squared free, installato Ccleaner (mi ha risolto ben 250\300 problemi!) e rifatto Elibagle.

Posto il log, mi pare pulito come prima.

http://www.fileup.itadib.com/downloa...SNjmEjlTbCkbv2

Non riesco ancora ad eliminare le chiavi di registro.

[murack83pa]

ragazzi:

rimanete in attesa, i dottori stanno lavorando x voi

questa nuova variante di beagle da un po di problemi.....

[Sirio3a]

Forza Doc!

E grazie

Se Bagle viene eliminato...avrete salvato la vita del mio acer (e il mio fegato) perchè stanno entrambi cominciando a peggiorare -.-

[Riverside]

Originariamente inviato da Sirio3a

Non riesco ancora ad eliminare le chiavi di registro.

Stai facendo riferimento a questo passaggio della Guida?

3)Scaricare questo file: http://www.zshare.net/download/4997787b160993/
Scompattarlo ,avviare il file .reg all'interno e accettare la richiesta di unirlo al registro di sistema.

4)Avviare il computer in modalità provvisoria (premere ripetutamente F8 all'accensione del pc e scegliere modalità provvisoria), eliminare manualmentele seguenti chiavi di registro(per aprire il registro di sistema andare su start>esegui>digitare "regedit" e cliccare su OK)PRESTARE LA MASSIMA ATTENZIONE A CANCELLARE LE CHIAVI GIUSTE:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
Queste chiavi potrebbero non essere tutte presenti

Potresti essere meno conciso e spiegarmi cosa intendi con:

Non riesco ancora ad eliminare le chiavi di registro.

[antoniox62]

buongiorno a tutti.
stamane ho fatto un altro controllo con elibagle, risultato: tutto ok
poi ho fatto la scansione con kaspersky e niente anche in questo caso.
son riuscito a reinstallare e far funzionare AVG anti-spyware.
pensate che possa provare a reinstallare anche l'antivirus nod32?

preciso che ho seguito tutti i passi che avete segnalato sino a ieri.

[Chill-Out]

Originariamente inviato da antoniox62

buongiorno a tutti.
stamane ho fatto un altro controllo con elibagle, risultato: tutto ok
poi ho fatto la scansione con kaspersky e niente anche in questo caso.
son riuscito a reinstallare e far funzionare AVG anti-spyware.
pensate che possa provare a reinstallare anche l'antivirus nod32?

preciso che ho seguito tutti i passi che avete segnalato sino a ieri.

Direi di si, sarbbe stato megli ose tu avessi allegato i log, ai eseguito anche i punti 7 - 8 - 9 della Guida

[antoniox62]

Originariamente inviato da Chill-Out

Direi di si, sarbbe stato megli ose tu avessi allegato i log, ai eseguito anche i punti 7 - 8 - 9 della Guida

ieri avevo postato il log ottenuto con elibagle mentre non lo avevo fatto con kaspersky
se vuoi posso darti di nuovo quello di elibagle di questa mattina

ho fatto solo la pulizia con cccleaner, mentre non ho fatto la scansione con panda e non ho fatto un log di hijackthis, devo farli?

[Riverside]

@ antoniox62: ovviamente, prima di reinstallare l'antivirus, ricorda di verificare se i servizi che aveva disabilitato il virus sono, o meno attivi.
Altrimenti devi riattivarli, manualmente.

ieri avevo postato il log ottenuto con elibagle mentre non lo avevo fatto con kaspersky se vuoi posso darti di nuovo quello di elibagle di questa mattina

Sarebbe servito quello di Kasp ... ma visto che non lo hai salvato .... non allegare altro.
Il log di Hthis, lo alleghi, caso mai, dopo aver eseguito una scansione completa del sistema, con Nod32.

[Chill-Out]

Originariamente inviato da antoniox62

ieri avevo postato il log ottenuto con elibagle mentre non lo avevo fatto con kaspersky
se vuoi posso darti di nuovo quello di elibagle di questa mattina

ho fatto solo la pulizia con cccleaner, mentre non ho fatto la scansione con panda e non ho fatto un log di hijackthis, devo farli?

Certo che si, sono indicati in Guida perchè non farli.

[antoniox62]

Originariamente inviato da Riverside

@ antoniox62: ovviamente, prima di reinstallare l'antivirus, ricorda di verificare se i servizi che aveva disabilitato il virus sono, o meno attivi.
Altrimenti devi riattivarli, manualmente.


Sarebbe servito quello di Kasp ... ma visto che non lo hai salvato .... non allegare altro.
Il log di Hthis, lo alleghi, caso mai, dopo aver eseguito una scansione completa del sistema, con Nod32.

il nod32 dovrei reinstallarlo, se me lo permette, ora allego il log di hthis

[antoniox62]

fatta anche la scansione con panda e nessun anomalia segnalata

[antoniox62]

nessun altro consiglio?

[murack83pa]

Originariamente inviato da antoniox62

nessun altro consiglio?

puo installare il nod e fare una completa scansione del sistema, poi posti il log di nod e anche il log di hijackthis

[antoniox62]

Originariamente inviato da murack83pa

puo installare il nod e fare una completa scansione del sistema, poi posti il log di nod e anche il log di hijackthis

come si salva li log del NOD32?
perchè non riesco più ad installare XoftSpySE v4.33 con il Crack mentre prima del bagle funzionava benissimo?
scusate la mia ignoranza...............

[mack61]

Prima di tutto, essendo appena arrivato, voglio farvi i miei complimenti per la passione e la professionalità che avete.
In secondo luogo vi volevo esporre il mio caso:
sicuramente infettato dal bastardo bagle, ho fatto tutte le procedure all'inizio del post, ma al momento di provare ad installare spybot S&D mi arriva il maledetto messaggio codice 193.%1 non è un'applicazione di win 32 valida.
Che devo fare? Stò a impazzì!!! Datemi delle speranze...

In allegato il log di hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14.29.28, on 29/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5700.0006)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\WINDOWS\system32\sistray.EXE
C:\WINDOWS\system32\keyhook.exe
D:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\eHome\ehmsas.exe
D:\Programmi\Microsoft ActiveSync\WCESCOMM.EXE
d:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
D:\Programmi\Logitech\SetPoint\SetPoint.exe
e:\Programmi\Photodex\ProShowProducer\ScsiAccess.exe
C:\PROGRA~2\UpsPilot\Winpower.exe
C:\Programmi\File comuni\Logitech\KHAL\KHALMNPR.EXE
C:\WINDOWS\system32\dllhost.exe
D:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\svchost.exe
C:\DOCUME~1\Marco\IMPOST~1\Temp\Rar$EX00.078\PAVARK.exe
D:\Programmi\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.vodafone.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=54729
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=55245&clcid={SUB_CLCID}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - d:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: WsftpBrowserHelper Class - {601ED020-FB6C-11D3-87D8-0050DA59922B} - d:\programmi\ws ftp\wsbho2K0.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Unamon] wscript.exe //b C:\DOCUME~1\Marco\IMPOST~1\Temp\Unamon.vbs
O4 - HKLM\..\Run: [AVP] "d:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "D:\Programmi\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] d:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: Logitech SetPoint.lnk = D:\Programmi\Logitech\SetPoint\SetPoint.exe
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - d:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - d:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - d:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-24.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O22 - SharedTaskScheduler: IE Component Categories cache daemon - {553858A7-4922-4e7e-B1C1-97140C1C16EF} - C:\WINDOWS\system32\ieframe.dll
O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Kaspersky Lab - d:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: DirectX Service (DirectDujh) - Unknown owner - c:\windows\system32\directx.exe (file missing)
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - Unknown owner - D:\MAGIX\Common\Database\bin\fbserver.exe (file missing)
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NBService - Nero AG - D:\Programmi\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: ScsiAccess - Unknown owner - e:\Programmi\Photodex\ProShowProducer\ScsiAccess.exe
O23 - Service: Winpower - Zero G - C:\PROGRA~2\UpsPilot\Winpower.exe

--
End of file - 6380 bytes

[murack83pa]

Originariamente inviato da antoniox62

come si salva li log del NOD32?
perchè non riesco più ad installare XoftSpySE v4.33 con il Crack mentre prima del bagle funzionava benissimo?
scusate la mia ignoranza...............

ragazzi: ma che crack e crakc????!!!!!????

ma siete rincoglioniti totali???

ma ve le rcercate le cose: ma perchè nn leggete bene!!!!!

il bagle si trasmette tramite crack e in guida, la prima cosa che c'è scritto, è eliminare tuttti, ma dico tuttti i crack!!!!!!!

cercati qualke altra alternativi o te li compri le cose...se vuoi utilizzare crack, sei pregato di nn venire qui a dire che ti sei reinfettato di nuovo

[antoniox62]

Originariamente inviato da murack83pa

ragazzi: ma che crack e crakc????!!!!!????

ma siete rincoglioniti totali???

ma ve le rcercate le cose: ma perchè nn leggete bene!!!!!

il bagle si trasmette tramite crack e in guida, la prima cosa che c'è scritto, è eliminare tuttti, ma dico tuttti i crack!!!!!!!

cercati qualke altra alternativi o te li compri le cose...se vuoi utilizzare crack, sei pregato di nn venire qui a dire che ti sei reinfettato di nuovo

hai ragione scusa, non avevo ben letto.................pongo rimedio
ma non avendo seguito il forum dall'inizio...............

[ninodv]

LEGGERE LEGGERE LEGGERE LEGGERE LEGGERE LEGGERE

Prima ci si informa e poi si chiede aiuto quando non ci si reisce da soli...

Cmq io sono blccato alla rimozione delle chiavi dal registro, inoltre anche dopo aver riabilitato i servizi bloccati, non mi toglie più quella schifezza del controllo account utente...così devo dire ok 3 volte prima di fare qualunque cosa.

Idee?

PS. l'unica cosa "sospetta" che antivir nn apre è qst C:\Windows\system32\drivers\sptd.sys

[murack83pa]

Originariamente inviato da ninodv

PS. l'unica cosa "sospetta" che antivir nn apre è qst C:\Windows\system32\drivers\sptd.sys

è normale che nn riesca ad analizzare quel driver, tranquillo

si sta lavorando x l'eliminazione delle chiavi in vista...

PS: Mack61, devi modificare il tuo post, i log nn vanno incollati

[antoniox62]

non riesco a caricare il log di hijackthis, non lo accetta..........