link che mi ha infettato

[barboon]

stavo cercando una scheda madre, e navigando, ho aperto una pagina che mi ha riempito di virus. Ho cmq kaspersky ancora trial che mi ha bloccato ma dovrò rimuovere manualmente, almeno credo.
Il sito è questo:
tasicetopomimi.pochta.ru/elezione-cernusco-naviglio.htm
Cosa si fa in questi casi?
Si comunica a qlcn?
Ciao

[barboon]

Nessuno sa cosa bisogna fare?Bisogna denunciare alla polizia delle telecomunicazioni?
o aspettare che altri vengano infettati

[wgator]

Ciao,

rispondo solo per dire che quel link è realmente infetto, quindi non andateci se non sapete esattamente come comportarvi. ora ci do un'occhiata per capire di cosa si tratta ;)

[wgator]

mmh... è un server geograficamente collocato a Mosca... questo l'IP: 81.211.64.111 dubito che ci si possa fare qualcosa :(

P.S.

ripeto, chi non ha esperienza non ci vada

[barboon]

Grazie, ma io ci sono andato perché nella ricerca avevo inserito i dati di una scheda madre, la quale compariva totalmente nella descrizione del link.

[GmG]

LinkOptimizer

[wgator]

Grazie, ma io ci sono andato perché nella ricerca avevo inserito i dati di una scheda madre...

Ciao,

non criticavo te, :) ma volevo solo avvisare coloro che volessero fare qualche prova per capire di quale virus si tratta...

@GmG

si, sembra che quel sito tenti di "infilare il "linkoptimizer" ma ci sono anche altre schifezze :p

[barboon]

NON CLICCATE SUL LINK .RU !!! ATTENZIONE


si, ho capito che nn era una critica, quello che volevo dire e che nn potevo sapere, o si puo'?
cosa è un linkoptimizer, omeglio, lo cerco. Intanto ho visto che kaspersky nn riesce a toglierli, ma io nn li trovo ne ho 7 infilati un po' dappertutto.
Il resoconto, mi devo preoccupare?
ciao e grazie

Protection
----------
Total scanned: 324055
Detected: 8
Untreated: 0
Start time: 08/11/2006 10.31.57
Duration: 04.40.02


Detected
--------
Status Object
------ ------
detected: Trojan program Trojan-Downloader.JS.gen (modification) Script: http://idkqzshcjxr.com/page.php?10540[2]
detected: riskware Trojan.generic Running process: C:\Documents and Settings\barboon\Impostazioni locali\Temp\30.tmp
detected: Trojan program Trojan-Downloader.JS.gen (modification) Script: http://itdeal.pochta.ru/[2]
detected: Trojan program Trojan.Win32.Obfuscated.z URL: http://nzrxadrux.com/d.php?10527_12
detected: riskware Trojan.generic Running process: C:\Documents and Settings\barboon\Impostazioni locali\Temp\B3.tmp
detected: Trojan program Trojan.Win32.Obfuscated.z URL:

http://idkqzshcjxr.com/7ea0b902/10527/1/xp/SuperToons.cab\dgb.ocx
detected: riskware Trojan.generic Running process: C:\WINDOWS\Temp\E6.tmp
deleted: Trojan program Trojan.Win32.Obfuscated.z File: C:\Documents and Settings\barboon\Impostazioni locali\Temporary

Internet Files\Content.IE5\517KK8H7\SuperToons[1].cab\dgb.ocx

07/11/2006 9.40.18 A full computer scan has never been performed. You are advised to perform a full scan as soon as

possible.
07/11/2006 9.40.36 Update completed successfully.
07/11/2006 10.28.42 A full computer scan has never been performed. You are advised to perform a full scan as soon as

possible.
07/11/2006 12.30.58 A full computer scan has never been performed. You are advised to perform a full scan as soon as

possible.
07/11/2006 12.31.11 Update completed successfully.
07/11/2006 14.51.18 Update completed successfully.
07/11/2006 15.16.22 Process (PID 3952) tried to access Kaspersky Anti-Virus 6.0 process (PID 256), but it has been

blocked. This is Self-Defense monitoring, and you do not need to do anything.
07/11/2006 15.16.22 Process (PID 3952) tried to access Kaspersky Anti-Virus 6.0 process (PID 2044), but it has been

blocked. This is Self-Defense monitoring, and you do not need to do anything.
07/11/2006 15.16.46 Process (PID 1064) tried to access Kaspersky Anti-Virus 6.0 process (PID 256), but it has been

blocked. This is Self-Defense monitoring, and you do not need to do anything.
07/11/2006 15.16.46 Process (PID 1064) tried to access Kaspersky Anti-Virus 6.0 process (PID 2044), but it has been

blocked. This is Self-Defense monitoring, and you do not need to do anything.
07/11/2006 16.51.36 Update completed successfully.
07/11/2006 18.54.29 A full computer scan has never been performed. You are advised to perform a full scan as soon as

possible.
07/11/2006 18.54.43 Update completed successfully.
07/11/2006 20.52.29 Process (PID 2512) tried to access Kaspersky Anti-Virus 6.0 process (PID 1884), but it has been

blocked. This is Self-Defense monitoring, and you do not need to do anything.
07/11/2006 20.52.29 Process (PID 2512) tried to access Kaspersky Anti-Virus 6.0 process (PID 1496), but it has been

blocked. This is Self-Defense monitoring, and you do not need to do anything.
07/11/2006 20.55.15 Update completed successfully.
07/11/2006 23.11.44 Malicious script <http://itdeal.pochta.ru/[2]>: detected new variant of Trojan program

Trojan-Downloader.JS.gen.
07/11/2006 23.11.44 Malicious script <http://itdeal.pochta.ru/[2]>: access denied.
07/11/2006 23.12.00 Malicious HTTP object <http://nzrxadrux.com/d.php?10527_12>: detected Trojan program

Trojan.Win32.Obfuscated.z.
07/11/2006 23.12.00 Malicious HTTP object <http://nzrxadrux.com/d.php?10527_12>: access denied.
07/11/2006 23.12.22 Running process C:\Documents and Settings\barboon\Impostazioni locali\Temp\B3.tmp: detected new

variant of riskware Trojan.generic
07/11/2006 23.12.33 Process C:\Documents and Settings\barboon\Impostazioni locali\Temp\B3.tmp (PID 3732) successfully

terminated.
07/11/2006 23.14.48 Rollback not completed.
07/11/2006 23.15.19 Update completed successfully.
07/11/2006 23.19.03 Malicious script <http://itdeal.pochta.ru/[2]>: detected new variant of Trojan program

Trojan-Downloader.JS.gen.
07/11/2006 23.19.03 Malicious script <http://itdeal.pochta.ru/[2]>: access denied.
07/11/2006 23.20.14 Malicious HTTP object <http://idkqzshcjxr.com/7ea0b902/10527/1/xp/SuperToons.cab\dgb.ocx>: detected

Trojan program Trojan.Win32.Obfuscated.z.
07/11/2006 23.20.14 Malicious HTTP object <http://nzrxadrux.com/d.php?10527_12>: access denied.
07/11/2006 23.20.14 Malicious HTTP object <http://idkqzshcjxr.com/7ea0b902/10527/1/xp/SuperToons.cab\dgb.ocx>: access

denied.
07/11/2006 23.26.42 Malicious script <http://itdeal.pochta.ru/[2]>: detected new variant of Trojan program

Trojan-Downloader.JS.gen.
07/11/2006 23.26.42 Malicious script <http://itdeal.pochta.ru/[2]>: access denied.
07/11/2006 23.27.39 Malicious HTTP object <http://nzrxadrux.com/d.php?10527_12>: access denied.
07/11/2006 23.27.55 Running process C:\WINDOWS\Temp\E6.tmp: detected new variant of riskware Trojan.generic
07/11/2006 23.28.04 Rollback not completed.
08/11/2006 10.31.56 A full computer scan has never been performed. You are advised to perform a full scan as soon as

possible.
08/11/2006 10.32.13 Update completed successfully.
08/11/2006 11.06.06 File C:\Documents and Settings\barboon\Impostazioni locali\Temporary Internet

Files\Content.IE5\517KK8H7\SuperToons[1].cab\dgb.ocx: detected Trojan program Trojan.Win32.Obfuscated.z
08/11/2006 11.06.06 Security threats have been detected. You are advised to neutralize them immediately.
08/11/2006 11.06.06 File C:\Documents and Settings\barboon\Impostazioni locali\Temporary Internet

Files\Content.IE5\517KK8H7\SuperToons[1].cab\dgb.ocx: is not disinfected, postponed
08/11/2006 11.48.42 File c:\documents and settings\barboon\impostazioni locali\temporary internet

files\content.ie5\517kk8h7\supertoons[1].cab\dgb.ocx: detected Trojan program Trojan.Win32.Obfuscated.z
08/11/2006 11.59.06 File c:\documents and settings\barboon\impostazioni locali\temporary internet

files\content.ie5\517kk8h7\supertoons[1].cab\dgb.ocx: deleted
08/11/2006 12.52.17 Update completed successfully.
08/11/2006 14.52.29 Update completed successfully.


Reports
-------
Task Status Start Finish Size
---- ------ ----- ------ ----
Mail Anti-Virus running 08/11/2006 10.31.57 0 bytes
File Anti-Virus running 08/11/2006 10.31.57 2.2 MB
Web Anti-Virus running 08/11/2006 10.31.57 922 KB
Update completed 08/11/2006 10.32.07 08/11/2006 10.32.12 12.9 KB
Proactive Defense running 08/11/2006 10.31.57 0 bytes
Quarantine Scan completed 08/11/2006 10.32.12 08/11/2006 10.32.12 0 bytes
Scan Startup Objects completed 08/11/2006 10.34.09 08/11/2006 10.34.31 634.6 KB
Scan completed 08/11/2006 10.42.02 08/11/2006 11.59.05 65.4 MB
Update completed 08/11/2006 12.52.10 08/11/2006 12.52.17 9.8 KB
Quarantine Scan completed 08/11/2006 12.52.16 08/11/2006 12.52.17 0 bytes
Update completed 08/11/2006 14.52.25 08/11/2006 14.52.29 10.9 KB
Quarantine Scan completed 08/11/2006 14.52.29 08/11/2006 14.52.29 4.2 KB


Quarantine
----------
Status Object Size Added
------ ------ ---- -----
Suspected: riskware Trojan.generic C:\WINDOWS\Temp\E6.tmp 55 KB 07/11/2006 23.27.55


Backup
------
Status Object Size
------ ------ ----
Infected: Trojan program Trojan.Win32.Obfuscated.z c:\documents and settings\barboon\impostazioni locali\temporary

internet files\content.ie5\517kk8h7\supertoons[1].cab 3.9 KB

NON CLICCATE SUL LINK .RU !!! ATTENZIONE

[barboon]

cacchio ogni tanto mi si sconnette per poi riconnettersi.Fortuan che ho adsl.Che faccio?

[barboon]

qui il log hijackthis:
Logfile of HijackThis v1.99.1
Scan saved at 16.04.52, on 08/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\ewido anti-spyware 4.0\guard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\DAEMON Tools\daemon.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\DOCUME~1\barboon\IMPOST~1\Temp\pgpr1.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
C:\Programmi\PeerGuardian2\pg2.exe
C:\DOCUME~1\barboon\IMPOST~1\Temp\Rar$EX00.297\RMClock.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\ewido anti-spyware 4.0\ewido.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\barboon\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O2 - BHO: QUICKfind BHO Object - {C08DF07A-3E49-4E25-9AB0-D3882835F153} - C:\Programmi\TEXTware\QUICKfind\PlugIns\IEHelp.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programmi\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [kav] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [EPSON Stylus C42 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C42 Series" /O6 "USB001" /M "Stylus C42"
O4 - HKLM\..\Run: [pgpr1.exe] C:\DOCUME~1\barboon\IMPOST~1\Temp\pgpr1.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [PeerGuardian] C:\Programmi\PeerGuardian2\pg2.exe
O4 - HKCU\..\Run: [RMClock] C:\DOCUME~1\barboon\IMPOST~1\Temp\Rar$EX00.297\RMClock.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: textwareilluminatorbase - {CE5CD329-1650-414A-8DB0-4CBF72FAED87} - C:\WINDOWS\system32\textwareilluminatorbaseProtocol.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programmi\ewido anti-spyware 4.0\guard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SysRit - Unknown owner - C:\DOCUME~1\barboon\IMPOST~1\Temp\30.tmp (file missing)

[wgator]

Ciao,

bè... veramente i log andrebbero postati nell'apposito thread, non è consentito metterli in altre discussioni.
Venendo al problema, hai le cartelle temporanee piene di schifezze quindi riavvia in mod. provvisoria e svuotale tutte. "Start -> cerca -> temp" poi apri le cartelle ad una ad una e svuotale con cura. (devi attivare la visualizzazione di file e cartelle nascoste) Svuota bene anche la cache Java e i temp di Internet.

Per sicurezza, verifica in "document and settings" di non avere un utente sconosciuto e "strano" e fai girare il remover di Eraser per il linkoptimizer: http://www.prevx.com/gromozon.asp

Dopo aver pulito tutto, riavvia ancora in provvisoria e fai una scansione completa con l'antivirus

Attenzione: a costo di ripetermi fino alla nausea: non cliccate su quel link .ru !!!!!!

[barboon]

Ciao, io ho postato nel thread apposito, ma come al solito nn ho avuto risposta. Grazie cmq della collaborazione. Ho fatto come hai scritto, in document and setting avevo altre tre cartelle con scritte incomprensibili che ho cancellato. poi ho usato il programma che mi hai linkato e poi ho fatto una scansione av in modalità provvisoria ma arrivato al 50% si blocca e si riavvia. Una volta riavviato ritrovo quelle cartelle.
Per oltre, c'e' un file che era segnato come virus che trovo in avvio (faccio esegui msconfig).
in più ho un file ntuser nella mia cartella utente che nn riesco a cancellare e che nn avevo notato in precedenza.
Mi sa che formatto tutto.
Ciao e grazie!

[wgator]

Ciao,

hai provato questi due tools?

http://securityresponse.symantec.com/avcenter/FixLinkopt.exe
http://www.prevx.com/gromozon.asp

[barboon]

gromozon l'avevo provato, ora ho provato :
Symantec Trojan.Linkoptimizer Removal Tool 1.0.8
Restored SeDebugPrivilege to Administrators group

registry: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: pgpr1.exe (value deleted)
C:\Documents and Settings\barboon\Impostazioni locali\Temp\pgpr1.exe: (deleted)

Trojan.Linkoptimizer has been successfully removed from your computer!

Here is the report:

The total number of the scanned files: 48567
The number of deleted threat files: 1
The number of threat processes terminated: 0
The number of threat threads terminated: 0
The number of registry entries fixed: 1

The tool initiated a system reboot.

registry: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (cleared)


Ecco pgpr1 era il file che ti dicevo.
Però in document and setting ci sono sempre le altre 3 cartelle:
- 1) jxbeGReJHrsrvNxhy
- 2) iilHx
- 3) sysuCHTtqoR
ora se vado sul cursore sopra senza cliccare, mi appare la scritta, su tutte:
dimensioni 599Kb, Cartelle:cockies, desktop, documenti, menu avvio, preferiti. File:ntuser.dat


Grazie mille dell'aiuto, ti offro una birra virtuale :cincin:

[wgator]

Ciao,

grazie per la birra virtuale, ottima per me perchè sono astemio :D

Il problema delle cartelle strane in "document and settings" è abbastanza ostico da eliminare. Dovresti entrare in "strumenti di amministrazione -> servizi"
Dovresti trovare dei servizi strani che fanno riferimento a quelle cartelle; non dovrebbe essere difficile riconoscerli. Tenta di arrestarli e disattivarli altrimenti quelle cartelle si rigenerano in continuazione. Verifica anche a quali eseguibili fanno riferimento quei servizi, per accertarti che non ci siano più.

Se riesci a disattivarli, poi occorre entrare in "regedit" per cancellare tutti i riferimenti a quei servizi. Dovrai divertirti un po' perchè quelle schifezze sono protette da password. Bisognerebbe appropriarsi dei diritti completi su quelle chiavi di registro. E' un po' palloso ma si fa ;)

Le ultime versioni del Gromozon sono molto ostiche da debellare

[barboon]

ok li ho trovati, erano già disattivati. Erano stati scoperti dall'antivir kapersky, solo che nn riusciva ad eliminarli. Poi ho schiacciato discard credendo di toglierli, ma forse voleva intendere ignora.
mi sono annotato il percorso, ma nn so come arrivare es.
C:\docume^1\barboon\impost^1\temp\b3.tmp.
Cmq mi sa che aspetterò il fine settimana. Verra' un amico che se ne intende un po', perché mettendo le mani sul reg nn vorrei fare troppi danni.
Ancora grazie e buona notte

[barboon]

Cavolo ho voluto provarci, però mi sa che ho rischiato di brutto. ho cercato le silge che erano indicate in "servizi", in local machine ho trovato cartelle corrispondenti e i file risultati infetti e li ho cancellati, poi ho cercato di cancellare anche le sigle ma fortunatamente non me lo ha permesso :fagiano:
finalmente :winner: :sperem: :D
Buona Notte :ronf: ! e sogni d'oro al mio vate :angel: "Wgator"