Utente indesiderato [Archivio] - Hardware Upgrade Forum

oedem

09-11-2006, 09:12

ciao a tutti,
ultimamente ho notato una cosa molto anomala: se vado in
c:\documents and settings
mi escono tutte le cartelle degli utenti, ma anche una anomala, nominata EviGfqJNOcybZyTpzR :banned:

Visto che quest'utente non mi appare né all'avvio, né in "accout utenti", la scorsa volta provai ad eliminarla, riuscendoci senza problemi; ora però è riapparsa. :mc:

a cosa può essere dovuto? :confused:

:help:

tutmosi3

09-11-2006, 09:42

Cosa contiene?
Hai fatto una scansione con antivirus aggiornato e antispyware aggiornato?
Ciao

12379

09-11-2006, 10:03

E' comparso anche a me ma con un nome diverso:iQek ho provato a rimuoverlo ma non posso inquanto l'ACCESSO è NEGATO
Che fare?

oedem

09-11-2006, 10:14

Cosa contiene?
Hai fatto una scansione con antivirus aggiornato e antispyware aggiornato?
Ciao
allora la cartella è grande 1,28 MB e contiene le seguenti sottocartelle:
- desktop, preferiti e documenti vuote
- cookies con un file index.dat
- menù avvio con collegamenti a blocco note, assistenza remota etc

ma tra le cartelle nascoste c'è la cartella "Impostazioni Locali" che è grande 0,99MB

la scansione della cartella non mi rileva nessun virus

ora provo uno scan sia con Nod32 che con spybot in mod provvisoria

12379

09-11-2006, 10:33

La mia cartella invece è 610 k e contiene
- desktop, preferiti e documenti vuote
- cookies con un file index.dat
- menù avvio con collegamenti a blocco note, assistenza remota etc

oedem

09-11-2006, 11:10

Cosa contiene?
Hai fatto una scansione con antivirus aggiornato e antispyware aggiornato?
Ciao
ho fatto la scansione con Nod32 e spybot in mod provvisoria; il primo non mi ha rilevato nulla, il secondo solo 2 cookies.

ed ora che devo fare?

tutmosi3

09-11-2006, 13:09

Io farei anche un giretto con Ewido ed una scansione online con Kaspersky, tanto è gratuita.
Ma non solo di quella cartella, dell'intero sistema.
Ciao

oedem

09-11-2006, 13:19

Io farei anche un giretto con Ewido ed una scansione online con Kaspersky, tanto è gratuita.
Ma non solo di quella cartella, dell'intero sistema.
Ciao
le scansioni le ho fatte dell'intero sistema; solo la prima volta ho fatto una scansione veloce della cartella con nod32

tutmosi3

09-11-2006, 13:21

le scansioni le ho fatte dell'intero sistema; solo la prima volta ho fatto una scansione veloce della cartella con nod32

Ok.
Procedi con Ewido e la scansione online.
Ciao

oedem

09-11-2006, 13:30

Ok.
Procedi con Ewido e la scansione online.
Ciao
ewido in mod provvisoria o normale?

tutmosi3

09-11-2006, 15:37

La scansione onlie è meglio farla dalla modalità normale.
La scansione con Ewido la puoi fare dalla modalità provvisoria.
Ciao

12379

09-11-2006, 16:38

Sto seguendo amche io tutte queste istruzioni visto che ho lo stesso problema.
Ho fatto la scansione con KASPERSKY che mi ha rilevato dei troyan, ora come li rimuovo?

tutmosi3

09-11-2006, 16:46

Sto seguendo amche io tutte queste istruzioni visto che ho lo stesso problema.
Ho fatto la scansione con KASPERSKY che mi ha rilevato dei troyan, ora come li rimuovo?
Iniziando con il dirci il nome di cos'hai trovato.
Ciao

12379

09-11-2006, 16:51

Ho trovato:
Trojan-Downloader.Win32.Small.cuu
Mail-infected-1
Trojan-Spy.Win32.BZub.fm
Trojan-Spy.Win32.BZub.fm

Guardando nel percorso ho notato che la prima è una email salvata nei documenti.
Gli ultimi due sono uguali e si trovano in C:\windows\not2j22b.exe
Che fare?

tutmosi3

09-11-2006, 17:13

Qualcuno di questi fa riferimento alla cartella C:\WINDOWS?

EDIT

Ho letto ora che sono in Windows.

Ciao

12379

09-11-2006, 17:21

Qualcuno di questi fa riferimento alla cartella C:\WINDOWS?

EDIT

Ho letto ora che sono in Windows.

Ciao

Si gli ultimi due stanno in C:\windows\not2j22b.exe ed andando a vedere nel percorso ho notato che ha un'icona bianca con un pallino rosso

tutmosi3

09-11-2006, 17:27

Adesso non ho molto tempo.
Spero di poterti dedicare un po' di tempo domani.
Intanto inizia laggere http://original.avira.com/it/threats/TR_Spy_Paybill_A_details.html
Ciao

oedem

09-11-2006, 17:39

Adesso non ho molto tempo.
Spero di poterti dedicare un po' di tempo domani.
Intanto inizia laggere http://original.avira.com/it/threats/TR_Spy_Paybill_A_details.html
Ciao
ciao,
ho fatto la scansione con ewido (rilevati 4 trojan eliminati) ed ora sto finendo la scansione online.

anticipandomi ho letto il link che hai dato a 12379, però non ci sono istruzioni su come eliminarlo. sta scritto solo come funziona questo trojan.

e se si eliminasse manualmente il file? :confused:

dicci solo questo e poi ti lasciamo in pace :D (però fino a domani :Prrr: )

:help:

12379

09-11-2006, 18:03

Adesso non ho molto tempo.
Spero di poterti dedicare un po' di tempo domani.
Intanto inizia laggere http://original.avira.com/it/threats/TR_Spy_Paybill_A_details.html
Ciao
Ho letto il link ed ho rimosso il file manualmente ma nel registro invece di essersi aggiunta la voce:
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load]

si è aggiunta la voce
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load1

e non sapendo se fosse o no uguale non ho toccato nulla.

Ho rifatto la scansione e questa volta mi ha rilevato 3 troyan

C:\System Volume Information\_restore{5BB413BC-2308-44E4-970F-6ABCE65802BC}\RP7\A0002011.dll Infected: Trojan-Spy.Win32.BZub.fm

C:\System Volume Information\_restore{5BB413BC-2308-44E4-970F-6ABCE65802BC}\RP8\A0002022.exe Infected: Trojan-Spy.Win32.BZub.fm

C:\System Volume Information\_restore{5BB413BC-2308-44E4-970F-6ABCE65802BC}\RP8\A0002023.exe Infected: Trojan-Spy.Win32.BZub.fm

Aspetto una tua risposta, grazie e scusa per l'insistenza

oedem

09-11-2006, 18:22

ho finito la scansione e, oltre ad avermi rilevato un virus in un file compresso che ho eliminato, mi ha rilevato questo:

C:\System Volume Information\_restore{C3EF0698-0F0C-4D5C-AB1B-28AA126611CF}\RP10\A0000737.exe Infected: Packed.Win32.PolyCrypt.a skipped

C:\System Volume Information\_restore{C3EF0698-0F0C-4D5C-AB1B-28AA126611CF}\RP10\change.log Object is locked skipped

C:\WINDOWS\23816361123.exe Infected: Packed.Win32.PolyCrypt.a skipped

ora il file in c:\windows l'ho eliminato manualmente, devo fare altro?

da quel sito che hai postato ho anche trovato queste informazioni:
http://original.avira.com/en/threats/TR_Packed_Klone_b_1.html

EDIT: ho provato a cancellare quella cartella relativa all'utente indesiderato, ho riavviato ma è comparsa nuovamente. il problema quindi persiste :muro:

EDIT2: ho rifatto una scansione semplicemente alle cartelle windows e System Volume Information per vedere se si fosse ricreato lo stesso trojan e non mi ha rilevato nulla. però l'utente indesiderato persiste

oedem

10-11-2006, 16:45

allora?

chi mi aiuta? :mc:

:help: :help: :help: :help: :help: :help: :help: :help: :help: :help:

tutmosi3

10-11-2006, 16:55

Come hai visto oggi sono stato parecchio impegnato al lavoro e latitante qui.
Domani e dopodomani sono via.
Spero per lunedì ... Tieni duro.
Ciao

oedem

10-11-2006, 17:21

Come hai visto oggi sono stato parecchio impegnato al lavoro e latitante qui.
Domani e dopodomani sono via.
Spero per lunedì ... Tieni duro.
Ciao
mode Renato Zero ON

NON ABBANDONARMIIIIIIII

mode Renato Zero OFF

:D

almeno puoi iniziarmi a dare qualche suggerimento sul da farsi?
:(

tutmosi3

10-11-2006, 17:37

mode Renato Zero ON

NON ABBANDONARMIIIIIIII

mode Renato Zero OFF

:D

almeno puoi iniziarmi a dare qualche suggerimento sul da farsi?
:(
Ti assicuro che ti aiuto volentieri ma muoversi nel registro alla rinfusa, è un suicidio.
Per avere un risultato sicuro devo studiarmi la situazione e poi postare.
Non è come i post che ho fatto oggi: in 2 min me la sbrigo perchè so cosa devo dire.
Qui devo vedere i tool di rimozione, capire da dove arrivano i file, controllare le chiavi del registro e dall'ufficio non è proprio semplicissimo.
Lunedì sera, da casa, spero di fare qualcosa.
Ciao

oedem

10-11-2006, 17:41

Ti assicuro che ti aiuto volentieri ma muoversi nel registro alla rinfusa, è un suicidio.
Per avere un risultato sicuro devo studiarmi la situazione e poi postare.
Non è come i post che ho fatto oggi: in 2 min me la sbrigo perchè so cosa devo dire.
Qui devo vedere i tool di rimozione, capire da dove arrivano i file, controllare le chiavi del registro e dall'ufficio non è proprio semplicissimo.
Lunedì sera, da casa, spero di fare qualcosa.
Ciao
ok, scusa per l'insistenza, ma sono curioso di capire cosa possa essere questo problema.

grazie cmq di tutto l'aiuto che mi stai dando

giuaric

11-11-2006, 18:10

:D Allora dopo aver appurato che non avete ne virus ne payware.
procedi in questo modo
Dal pannello di controllo apri prestazioni e manutenzione poi seleziona strumenti di amministrazione, vai in gestione computer , scegli utennti e gruppi locali , seleziona User e cancella il nome ykeekkkskskskssk.ecc..

poi vai a cancellare in document and setting la cartella incriminata,un bel riavvio e il gioco è fatto.
Ciao

oedem

12-11-2006, 09:49

12379

12-11-2006, 11:49

gheocom

12-11-2006, 17:38

Ciao!

Anche io avevo stassa problemma ... pero in caso mio mi appareva un colegammento indesiderato a un num speciale ... tipo 899... ho scanato pure io tutta la sistema... ma trovato niente... poi ho notato la cartela famosa ghkkjenfnoihf222 che lo cancelata ... ma riapareva ... poi a ogni accesione di sistema un processo, cioe un programino, che non era sempre lo stesso cercava di uscire in internet, che giustamente era blocato con outpost ....

Ho seguito le istrutioni dell ultimo post, e per ora va bene...

tutmosi3

13-11-2006, 08:27

Allora avete risolto ... Bene sono molto felice. :)
Avete fatto un'altra scansione online di verifica?
Ciao

oedem

13-11-2006, 10:06

Allora avete risolto ... Bene sono molto felice. :)
Avete fatto un'altra scansione online di verifica?
Ciao
ho appena finito di fare la scansione online e, ahimé, mi ha trovato altri trojan.
rimuovo i file infetti manualmente

C:\Documents and Settings\???\Impostazioni locali\Temporary Internet Files\Content.IE5\3J5BZ10W\popup[1].htm Infected: Trojan-Clicker.HTML.Agent.a skipped
C:\Documents and Settings\???\Impostazioni locali\Temporary Internet Files\Content.IE5\3J5BZ10W\popup[1].php/packed Infected: Trojan-Clicker.HTML.Agent.a skipped
C:\Documents and Settings\???\Impostazioni locali\Temporary Internet Files\Content.IE5\3J5BZ10W\popup[1].php GZIP: infected - 1 skipped

C:\System Volume Information\_restore{C3EF0698-0F0C-4D5C-AB1B-28AA126611CF}\RP10\A0000737.exe Infected: Packed.Win32.PolyCrypt.a
C:\System Volume Information\_restore{C3EF0698-0F0C-4D5C-AB1B-28AA126611CF}\RP10\A0000748.exe Infected: Packed.Win32.PolyCrypt.a

penso che per i primi basta eliminare i file temporanei e i cookies da IE, ma il resto? :muro:

:help:

tutmosi3

13-11-2006, 10:27

Lo immaginavo.
Ho proposto la scansione apposta, ero quasi sicuro che l'elimnazione dell'utente non avrebbe portato alla risoluzione totale del problema.

Stay in tuned.

oedem

13-11-2006, 10:35

Lo immaginavo.
Ho proposto la scansione apposta, ero quasi sicuro che l'elimnazione dell'utente non avrebbe portato alla risoluzione totale del problema.

Stay in tuned.
ok, attendo allora tue istruzioni :D

tutmosi3

13-11-2006, 11:03

ho appena finito di fare la scansione online e, ahimé, mi ha trovato altri trojan.
rimuovo i file infetti manualmente

C:\Documents and Settings\???\Impostazioni locali\Temporary Internet Files\Content.IE5\3J5BZ10W\popup[1].htm Infected: Trojan-Clicker.HTML.Agent.a skipped
C:\Documents and Settings\???\Impostazioni locali\Temporary Internet Files\Content.IE5\3J5BZ10W\popup[1].php/packed Infected: Trojan-Clicker.HTML.Agent.a skipped
C:\Documents and Settings\???\Impostazioni locali\Temporary Internet Files\Content.IE5\3J5BZ10W\popup[1].php GZIP: infected - 1 skipped

C:\System Volume Information\_restore{C3EF0698-0F0C-4D5C-AB1B-28AA126611CF}\RP10\A0000737.exe Infected: Packed.Win32.PolyCrypt.a
C:\System Volume Information\_restore{C3EF0698-0F0C-4D5C-AB1B-28AA126611CF}\RP10\A0000748.exe Infected: Packed.Win32.PolyCrypt.a

penso che per i primi basta eliminare i file temporanei e i cookies da IE, ma il resto? :muro:

:help:
Clicker.HTML.Agent.a non è un troiano di cattive fattezze, di lui leggi in http://www.f-secure.com/v-descs/agent_a.shtml
Mentre Packed.Win32.PolyCrypt.a lo conoscevo con un altro nome: Downloader.Tukpat.a

Quello che non capisco, è che un malware vecchio di diversi mesi non sia possibile rimuoverlo.
Siccome in questa discussione sono sopraggiunti in molti, vorrei che mi ricordassi che antivirus hai e se lo hai aggiornato.

Poi non mi sembra tu abbia staccato il ripristino della configurazione di sistema.

Ciao

oedem

13-11-2006, 11:17

Clicker.HTML.Agent.a non è un troiano di cattive fattezze, di lui leggi in http://www.f-secure.com/v-descs/agent_a.shtml
Mentre Packed.Win32.PolyCrypt.a lo conoscevo con un altro nome: Downloader.Tukpat.a

Quello che non capisco, è che un malware vecchio di diversi mesi non sia possibile rimuoverlo.
Siccome in questa discussione sono sopraggiunti in molti, vorrei che mi ricordassi che antivirus hai e se lo hai aggiornato.

Poi non mi sembra tu abbia staccato il ripristino della configurazione di sistema.

Ciao
come antivirus uso NOD32 che è sempre aggiornato.

riguardo il ripristino lo avevo attivato ed ora l'ho disattivato.

devo fare qualcos'altro?

UtenteSospeso

13-11-2006, 11:19

Sul NOD32 devi selezionare tutte le opzioni di AMON altrimenti ti passano sotto il naso (passano lo stesso ma di meno).

oedem

13-11-2006, 11:23

Sul NOD32 devi selezionare tutte le opzioni di AMON altrimenti ti passano sotto il naso (passano lo stesso ma di meno).
nell'AMON-impostazioni-metodi non tenevo spuntato solo Applicazioni potenzialmente pericolose, che ho provveduto ora a selezionare

tutmosi3

13-11-2006, 12:54

Queste voci
C:\System Volume Information\_restore{C3EF0698-0F0C-4D5C-AB1B-28AA126611CF}\RP10\A0000737.exe Infected: Packed.Win32.PolyCrypt.a
C:\System Volume Information\_restore{C3EF0698-0F0C-4D5C-AB1B-28AA126611CF}\RP10\A0000748.exe Infected: Packed.Win32.PolyCrypt.a
sono riferite al ripristino della configurazione del sistema, NOD non te le aveva segnalate?

Purtroppo vado a singhiozzo.
Con il mio lavoro, posso dedicarmi al forum ma non in maniera continuativa per ore.
Faccio 10 min, poi devo sospendere, poi torno per altri 15 min, ecc.
Ciao

oedem

13-11-2006, 13:43

Queste vocisono riferite al ripristino della configurazione del sistema, NOD non te le aveva segnalate?

No, purtroppo.

come le devo eliminare?

tutmosi3

13-11-2006, 13:49

12379

13-11-2006, 15:20

Allora avete risolto ... Bene sono molto felice. :)
Avete fatto un'altra scansione online di verifica?
Ciao
Ho fatto la scansione online con Kaspersky e non mi ha trovato nessun troyan nè virus, ho poi fatto una scansione con ewido in provvisoria e neanche mi ha trovato niente.
Ho risolto il mio problema?

tutmosi3

13-11-2006, 15:23

Ho fatto la scansione online con Kaspersky e non mi ha trovato nessun troyan nè virus, ho poi fatto una scansione con ewido in provvisoria e neanche mi ha trovato niente.
Ho risolto il mio problema?
Bene ... Tu sei OK.
Ciao

12379

13-11-2006, 15:25

Ok grazie ciao

P.S. Lascio la disattivazione del ripristino o la riattivo?

tutmosi3

13-11-2006, 15:32

Dipende dalle tue esigenze.
Il ripristino del sistema è un'area dove il SO immagazzina delle informazioni su se stesso in modo da poter tornare a quelle impostazioni in ogni momento.
Una specie di Ghost.
L'area dedicata al ripristino è accessibile in scrittura solo al SO, quindi, se hai un virus nel PC e fai un punto di ripristino, questo virus verrà memorizzato e non sarà removibile perchè in un'area inaccessibile.
Se vuoi riattivarla, sappi che è la prima cosa da staccare in caso di infezione.
A volte può essere utile avere un punto di ripristino sicuro.
Ciao

oedem

13-11-2006, 18:09

Hmmmm ... Mi permetto una critica a NOD. Tempo fa, pareve destinato a spodestare Kaspersky dal trono di miglior antivirus. Le sue armi erano velocità senza pari e leggerezza migliore della media.
So che pagava verso i virus meno recenti ma questo thread ne demolisce la qualità in maniera pesante.

Scarica HiJack This e posta il log nel thread apposito in Antivirus
Fai la scansione dalla modalità provvisoria e senza il ripristino della configurazione di sistema.

Rifai tutte le scansioni senza ripristino della configurazione di sistema.

Ciao
ho fatto le scansioni prima con ewido (trovati solo cookies) e nod32 in mod provvisoria, che non mi hanno trovato nulla.

poi per sicurezza ne ho fatto un altro con kaspersky online e neanche questo ha rilevato nulla.

posso finalmente rassicurarmi? penso che eliminando il ripristino mi abbia anche eliminato i file che erano infetti.

cmq ho messo il log di hijackthis nel relativo thread e aspetto un responso :D

tutmosi3

13-11-2006, 19:32

ho fatto le scansioni prima con ewido (trovati solo cookies) e nod32 in mod provvisoria, che non mi hanno trovato nulla.

poi per sicurezza ne ho fatto un altro con kaspersky online e neanche questo ha rilevato nulla.

posso finalmente rassicurarmi? penso che eliminando il ripristino mi abbia anche eliminato i file che erano infetti.

cmq ho messo il log di hijackthis nel relativo thread e aspetto un responso :D
Sei OK. Vai tranquillo se Kaspersky.
Ciao

oedem

13-11-2006, 19:46

Sei OK. Vai tranquillo se Kaspersky.
Ciao
EVVIVA EVVIVA EVVIVA!!!!!!!!!:winner:

Grazie tante tutmosi3 (complimenti per il nick, davvero bello) :mano:

un grazie anche a tutti gli altri che hanno partecipato al thread e hanno posto fine ai miei problemi :cincin:

tutmosi3

13-11-2006, 20:37

EVVIVA EVVIVA EVVIVA!!!!!!!!!:winner:

Grazie tante tutmosi3 (complimenti per il nick, davvero bello) :mano:

un grazie anche a tutti gli altri che hanno partecipato al thread e hanno posto fine ai miei problemi :cincin:
Conosci la storia del grande Tut Mosi III (quello vero)?
Ciao

oedem

14-11-2006, 08:23

Conosci la storia del grande Tut Mosi III (quello vero)?
Ciao
non conosco la storia, però sono molto affascinato dall'antico egitto, interesse che mi è nato leggende le saghe egiziane scritte da Christian Jacq (Ramses in primis).

anzi, se hai qualche link interessante sull'argomento, mi faresti un grosso piacere.

grazie. ;)

ps: casomai continuiamo il nostro confronto via MP altrimenti andiamo OT :D

tutmosi3

14-11-2006, 10:36

non conosco la storia, però sono molto affascinato dall'antico egitto, interesse che mi è nato leggende le saghe egiziane scritte da Christian Jacq (Ramses in primis).

anzi, se hai qualche link interessante sull'argomento, mi faresti un grosso piacere.

grazie. ;)

ps: casomai continuiamo il nostro confronto via MP altrimenti andiamo OT :D
Dovrei linkarti il mio cervello :D
Mi permetto solo un piccolo OT.
Durante il regno di Tut Mosi III, l'Egitto è sceso in guerra per 25 volte.
In alcuni momenti c'erano addirittura 2 fronti aperti.
La presenza sul campo di battaglia del faraone è certa in 12 occasioni, in 6 è incerta (ma da studi che ho condotto direi che almeno in 4 era presente visto il modus operandi delle truppe) ed in 7 è certa la sua assenza visto che era impegnato in altri posti.
Il bilancio recita 25 vittorie, 0 sconfitte. Mai nessuno riuscì a fare meglio e chiudere imbattuto.
Era atleticamente molto preparato e scendeva in campo con le sue truppe, lo testimonia il suo cadavere che ha molte cicatrici.
La sua ultima impresa fu tentare di scoprire le sorgenti del Nilo.
Morì a 63 anni presso le cascate Tissisat nel Nilo Azzuro tra Etiopia e Somalia.
Viste le numerose fratture della salma si ritiene si deceduto a causa di una caduta durante il tentativo di scalata.

Ciao