Virus pendisk

[fulviettino]

Ciao a tutti,
ho il seguente problema che ritengo essere dovuto ad un virus.
Inserendo una chiavetta usb in un pc inizialmente mi apre la finestra che mi chiede cosa desidero fare. Se chiudo questa finestra e vado in esplora risorse per visualizzare il contenuto della chiavetta, la vedo ma cliccandoci su visualizzo una finestra di errore "ACCESSO NEGATO".

Penso sia un virus perche' provando questa chiavetta su un pc che funzionava correttamente ho "infettato" anche questo che ha cominciato a "comportarsi" in maniera analoga
:help::help::help:

[Bugs Bunny]

se non ci sono dati importanti formattala

[fulviettino]

Ho fatto una scansione del pc con hijackthis ma non mi sembra ci sia nulla di sospetto :wtf:

Il log è questo

Logfile of HijackThis v1.99.1
Scan saved at 23.08.16, on 22/04/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Avast4\ashServ.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\PROGRA~1\Avast4\ashDisp.exe
C:\Programmi\Microsoft ActiveSync\wcescomm.exe
C:\PROGRA~1\MICROS~3\rapimgr.exe
C:\Programmi\Avast4\ashMaiSv.exe
C:\Programmi\Avast4\ashWebSv.exe
C:\Programmi\MemoRex\MemoRex.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Mozilla Thunderbird\thunderbird.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\_noninstallati\Sysinternals\procexp.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\Documents and Settings\...\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://wer-mit-wem.webhop.net/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://192.168.1.1/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [MemoREX] "C:\Programmi\MemoRex\MemoRexStart.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programmi\Microsoft ActiveSync\wcescomm.exe"
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Crea preferito portatile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{BD33612C-B29A-44F0-ABBA-10CCA86626DA}: NameServer = 192.168.1.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

[fulviettino]

se non ci sono dati importanti formattala
Si ma tutti i pc dove la inserisco si "infettano". In pratica ora anche nell'altro pc dove l'ho inserita la prima volta mi appare la finestra di selezione dell'operazione da fare; se chiudo questa finestra e vado in esplora risorse vedo la chiave ma se cerco di accedervi mi da l'errore: "ACCESSO NEGATO".

[wizard1993]

Si ma tutti i pc dove la inserisco si "infettano". In pratica ora anche nell'altro pc dove l'ho inserita la prima volta mi appare la finestra di selezione dell'operazione da fare; se chiudo questa finestra e vado in esplora risorse vedo la chiave ma se cerco di accedervi mi da l'errore: "ACCESSO NEGATO".

te formatta la chiave da dos; poi i pc si puliscono

[fulviettino]

Nella chiavetta c'era un file autorun.ini

[AutoRun]
open=Cn911.exe
Shellexecute=Cn911.exe
shell\Auto\command=Cn911.exe

Cancellandolo il problema non si verifica piu'.
Ora devo capire se sono rimaste tracce nel pc...spero di no.
Cosa mi consigliate di fare per capirlo ?

[H5N1]

Forse non si tratta di un virus...

-Potresti avere la pendrive con il blocco in scrittura.
-Controlla se la tua pendrive è formattata in FAT32 o NTSF.

[Tidus Strife]

E' un virus... il file autorun.ini faceva partire l'applicazione Cn911.exe che dovrebbe essere Backdoor.Bifrose... toglilo con Prevx :)

[fulviettino]

E' un virus... il file autorun.ini faceva partire l'applicazione Cn911.exe che dovrebbe essere Backdoor.Bifrose... toglilo con Prevx :)
Grazie mille!
Stasera provo

[H5N1]

Mi spiace se è un virus. :muro:

[fulviettino]

Non capisco...seguendo le istruzioni riportate qui
http://www.symantec.com/security_response/writeup.jsp?docid=2004-101214-5358-99&tabid=3
non mi sembra essere infetto...nessuna voce di quelle li presenti e' nel mio registro..:wtf:

[fulviettino]

Su un altro pc ho trovato e cancellato due chiavi del registro che contenevano la parola "CF911" che corrisponde al nome dell'eseguibile lanciato dal file ini misteriosamente comparso sulla chiavetta

[wizard1993]

Su un altro pc ho trovato e cancellato due chiavi del registro che contenevano la parola "CF911" che corrisponde al nome dell'eseguibile lanciato dal file ini misteriosamente comparso sulla chiavetta

fai una scansione online con bitdefender

[fulviettino]

fai una scansione online con bitdefender
Ho fatto la scansione pero' porca paletta mi ha cancellato dei file senza chiedermelo (fra cui i demoni del server ftp :mad: )...non la consiglierei questa scansione online a nessuno...
Grazie cmq ora dovrei essere pulito.

[wizard1993]

Ho fatto la scansione pero' porca paletta mi ha cancellato dei file senza chiedermelo (fra cui i demoni del server ftp :mad: )...non la consiglierei questa scansione online a nessuno...
Grazie cmq ora dovrei essere pulito.

e cavolo devi dirmele prima queste cose; è normale che quando consiglio di fare una scan online conisglio una che i virus li isintegra anche, senno ci vado al manicomio a rimuoverli manualemten uno per uno.

[fulviettino]

e cavolo devi dirmele prima queste cose; è normale che quando consiglio di fare una scan online conisglio una che i virus li isintegra anche, senno ci vado al manicomio a rimuoverli manualemten uno per uno.
Vabe per fortuna nulla di grave

[ettore70]

Salve, anch'io ho lo stesso problema, che scansione on-line posso fare senza che mi vengano eliminati dei file importanti.
Ho avast, ma non mi trova nulla di infetto!
ciao

[Bugs Bunny]

la scan online con kaspersky non pulisce