Guida Rimozione virus Bagle (antivirus disattivato) - leggere le Regole di Sezione [Archivio] - Pagina 5

View Full Version : Guida Rimozione virus Bagle (antivirus disattivato) - leggere le Regole di Sezione

Pagine : 1 2 3 4 [5] 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30

miz86miz

25-01-2008, 21:59

ecco ci sn riuscito...ed ora??

juveda06

26-01-2008, 08:11

Buongiorno a tutti ragazzi,una cortesia:qualcuno mi sa dire in che sezione del forum mi posso rivolgere per essere aiutato ad eliminare l'icona "internet connection" che spesso mi fa saltare la connessione adsl?
Vi ringrazio sin d'ora

Chill-Out

26-01-2008, 08:29

http://www.hwupgrade.it/forum/showthread.php?t=1651594

miz86miz

26-01-2008, 09:52

ragazzi nessuno mi ha fatto sapere più nulla?

juveda06

26-01-2008, 11:04

rieccomi ragazzi con un dubbio su kaspersky:
ho la sua protezione che almeno 20 volte al giorni mi evidenzia il processo in esecuzione :7ev4kV0I.exe.
Qualcuno ne ha mai sentito parlare? cosa è?

fubbbina

26-01-2008, 11:07

buongiorno a tutti. Credo anche io di essere infetta da bagle, ho cercato di eseguire passo passo quello che è scritto nella guida. non mi parte la modalità provvisoria per cui elibagla l'ho fatto girare in modalità normale. in allegato trovate il log. il problema è che quando tento di far partire kaspersky mi dà l'errore "c:\programmi\kaspersky lab\kaspersky anti-virus 7.0\avp.exe non è un'aaplicazione di win 32 valida"

Chill-Out

26-01-2008, 11:11

Chill-Out

26-01-2008, 11:12

murack83pa

26-01-2008, 11:13

rieccomi ragazzi con un dubbio su kaspersky:
ho la sua protezione che almeno 20 volte al giorni mi evidenzia il processo in esecuzione :7ev4kV0I.exe.
Qualcuno ne ha mai sentito parlare? cosa è?

come già ti aveva accenato francizio, devi aprire una nuova discussione....nn è questo il 3d adatto x la tua domanda...

apri una nuova discussione, esponi il tuo problema, e posta anche il messaggio esatto di kaspersky oppure un suo report, secondo le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1589984), e attendi risposta

inoltre, dai uno sguardo alla la guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737) e incomincia a seguirla

buon lavoro
NB: se posti in modo nn corretto il log, nessuno ti potrà dare assistenza

ps: buon giorno chill

lancetta

26-01-2008, 11:17

miz86miz

26-01-2008, 12:20

ragazzi ho installato di nuovo antivir...
funzionava,poi ho fatto l'aggiornamento
e quando lo apro mi dice di nuovo appilcazione nn valida di Win32 :stordita:

lancetta

26-01-2008, 12:25

ragazzi ho installato di nuovo antivir...
funzionava,poi ho fatto l'aggiornamento
e quando lo apro mi dice di nuovo appilcazione nn valida di Win32 :stordita:

ripassa l'elibagla prima in normale poi in provvisoria e posta qui i log...un altra cosa riscaricalo perchè è stato aggiornato....;)

miz86miz

26-01-2008, 12:45

dove posso scaricarlo..??
e poi mi dici se la x la devo mettere o no su elimina automaticamente?

fubbbina

26-01-2008, 13:27

ho riprovato, ma in modalità provvisoria non riesco ad entrare, in sostanza dopo aver scelto l'avvio in modalità provvisoria, pensa un po' chiede di premere esc se non voglio caricare due file e poi mi si riavvia tornando alla schermata di scelta della modalità. ho cmq provato a lanciare avenger e in allegato trovate il log. panda non mi parte e mi dà lo stesso errore di kaspersky. devo ricom,inciare tutto daccapo?

fubbbina

26-01-2008, 13:30

scusate ho dimenticato l'allegato:doh:

miz86miz

26-01-2008, 13:35

ecco il log di EliBaglA

riccardo7

26-01-2008, 13:36

ecco il mio log, dopo la scansione con eliBaglA
http://www.fileup.itadib.com/download.php?id=K1Ny9gWXFGByLyqWSmVe

a cosa serve postare questo log?
adesso vado avanti con le istruzioni?

grazie

riccardo7

26-01-2008, 13:48

il virus non mi fa partire kaspersky antivirus. come posso fare? la situazione è brutta. aiutatemi vi prego :(

lancetta

26-01-2008, 13:49

dove posso scaricarlo..??
e poi mi dici se la x la devo mettere o no su elimina automaticamente?
certo!!!!
scusate ho dimenticato l'allegato:doh:

ecco il log di EliBaglA
un'attimo....;) che basta riscaricare sempre dallo stesso link (porta alla pagina di download
ecco il mio log, dopo la scansione con eliBaglA
http://www.fileup.itadib.com/download.php?id=K1Ny9gWXFGByLyqWSmVe

a cosa serve postare questo log?
adesso vado avanti con le istruzioni?

grazie
anche te aspetta n'attimino
serve a noi per sapere il numero del tuo cont.....hem....per avere uno stato della situazione :asd: si scherza:D

il tempo di leggere n'attimo di pazienza ;)

miz86miz

26-01-2008, 13:51

ok...aspetto una vostra risposta!!

lancetta

26-01-2008, 13:58

scusate ho dimenticato l'allegato:doh:
riscarica elibagle e fagli fare un altro giro per favore...prova in normale e vedi se te lo fà fare dopo in provvisoria..comuqnue qualcosa è stato eliminato ;)
ecco il log di EliBaglA
passa ora allo script di avenger...
il virus non mi fa partire kaspersky antivirus. come posso fare? la situazione è brutta. aiutatemi vi prego :(

stessa cosa passa alla procedura avenger

qualcosa vi è stato già eliminato ragazzi..proseguite col resto ed allegate i log di quello che vi ho chiesto ;)

riccardo7

26-01-2008, 14:00

certo!!!!

serve a noi per sapere il numero del tuo cont.....hem....per avere uno stato della situazione :asd: si scherza:D

:) ok, grazie!

mi funziona una cosa su 3. sono un pochetto nella cacca :cry:

p.s. Aveger mi si blocca! passo al punto successivo?

miz86miz

26-01-2008, 14:04

ecco...aspetto vostre indicazioni?

lancetta

26-01-2008, 14:15

:) ok, grazie!

mi funziona una cosa su 3. sono un pochetto nella cacca :cry:

p.s. Aveger mi si blocca! passo al punto successivo?

hum...che errore ti dà?

miz86miz

26-01-2008, 14:17

ci sono novità?

lancetta

26-01-2008, 14:17

ecco...aspetto vostre indicazioni?

un altro log elibagla per conferma e prova a reinstallare l'antivirus

miz86miz

26-01-2008, 14:19

un altro log ottenendolo sempre come prima??
prima in modalità normale e poi in provvisoria?

riccardo7

26-01-2008, 14:20

hum...che errore ti dà?

nessuno. rimane la clessidra. il pc rallenta a dismisura. vado in task manager e mi dice che non risponde.

anche Panda. uguale. :(

fubbbina

26-01-2008, 14:31

ok adesso la modalità provvisoria mi è partita ed ho rilanciato elibagla e poi ho fatto avenger, in allegato i nuovi log. ma ancora non riesco a far partire panda
:muro:

miz86miz

26-01-2008, 14:39

questo è l'ultimo log fatto con eigbla...
mi spiegate cm va...e cosa cè ke nn andava?

miz86miz

26-01-2008, 14:51

l'avevo dimenticato :(

lancetta

26-01-2008, 14:56

l'avevo dimenticato :(

prova ora a reinstallare l'antivirus

miz86miz

26-01-2008, 14:59

lancetta

26-01-2008, 14:59

nessuno. rimane la clessidra. il pc rallenta a dismisura. vado in task manager e mi dice che non risponde.

anche Panda. uguale. :(

riccardo un log di hijackthis con più applicazioni possibili chiuse(msn,emule,bit torrent,word,wmplayer ecc..) scaricalo da QUI LINK (http://www.trendsecure.com/portal/en-US/_download/HiJackThis.exe) è stand alone (senza installazione)mettilo in una sua cartella dedicata, lo avvii dalla schermata clik su "do a system scan and save a logfile" ti si aprirà una schermata txt con dei dati, allega nel prossimo post

lancetta

26-01-2008, 15:02

ok adesso la modalità provvisoria mi è partita ed ho rilanciato elibagla e poi ho fatto avenger, in allegato i nuovi log. ma ancora non riesco a far partire panda
:muro:

i log confermano la cancellazione...il panda credo che lo devi riscaricare e reinstallare...

lancetta

26-01-2008, 15:07

ma il problema si è risolto?? se si puoi dirmi cosa era??
e poi un favore enorme,visto ke ne capisco poco....ke antivirus mi consigli di installare?...e se installare insieme ad esso qualke altro programma di sicurezza...
grazie per la tua gentilezza e xtt

il mio consiglio è Antivir
qua c'è la guida e il link per scaricarlo
http://www.hwupgrade.it/forum/showthread.php?t=1514684
poi per il resto qui ci sono le cose che cerchi
http://www.hwupgrade.it/forum/showthread.php?t=1476319

il bagle è un virus rootkit che si distingue dagli altri perchè disattiva tutti i soft di sicurezza....;)

miz86miz

26-01-2008, 15:10

..quindi ora è tt risolto...
senti ma ora posso cancellare le cartelle ke mi hanno creato quei programmi che ho usato?

miz86miz

26-01-2008, 15:11

e poi un altra domanda ma questi "beagle" nn li riconosce antivir??
io lo avevo installato ma nn mi ha avvisato...
cm posso rimediare contro questi?

lancetta

26-01-2008, 15:22

e poi un altra domanda ma questi "beagle" nn li riconosce antivir??
io lo avevo installato ma nn mi ha avvisato...
cm posso rimediare contro questi?

l'infezione è subdola e muta in continuazione...se poi si clicca sull'eseguibile sbagliato....sopratutto da emule ;)
in quei 3d che ti ho indicato trovi le risposte..antivir và settato in un certo modo,per potenziarlo..leggiti la guida...è molto interessante e facile ;)

puoi cancellare le cartelle
installa prima l'antivirus però così fai la prova del 9

miz86miz

26-01-2008, 15:26

grazie di tt sei stato davvero molto gentile!

lancetta

26-01-2008, 16:11

grazie di tt sei stato davvero molto gentile!

prego :D non c'e di che ;)

steven79

26-01-2008, 19:04

Buonasera a tutti...

Ho beccato sto schifo pure io... non riesco a levrmelo di torno seguendo la procedura...è che per queste cose io sono neofita :-(

Posto il txt di InfoSat...poi ho scaricato la trial di Kaspersky, ma non me la fa partire :-( Solito messaggio di errore (non è applicazione di win32 valida)

Che faccio :-(
Spero mi possiate aiutare...
Grazie di cuore a tutti....

Chill-Out

26-01-2008, 19:49

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

● se il relativo txt generato è max 20 kb, allegato alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
● se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere hostato su FileUP clicca qui per raggiungere FileUP (http://www.fileup.itadib.com/index.php), pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download

steven79

26-01-2008, 22:18

Scusate, ho subito corretto l'errore...

comunque tra modalità provvisoria e 3 ore di tempo, sono riuscito a sistemare credo...

Posso postare qui il log di HiJackThis?
Eccolo...
Magari qualcuno mi può illuminare...per me è arabo...o quasi! :-)

Grassie! ;-)

Chill-Out

26-01-2008, 22:20

Allega un'altro log di EliBagla fatto da modalità provvisoria F8 + il log di Avenger

steven79

26-01-2008, 23:07

Ecco, allego il log di Elibagla.
Per Avenger, devo inserire il contenuto (copiando/incollando) di cui alla prima pagina del topic?

murack83pa

26-01-2008, 23:13

Ecco, allego il log di Elibagla.
Per Avenger, devo inserire il contenuto (copiando/incollando) di cui alla prima pagina del topic?

in avenger devi inserire lo script che è inserito tra il quote (la parte in evidenza dentro l'area blu scuro)

le modalità di inserimento sono spiegate sempre in prima pagina

Chill-Out

26-01-2008, 23:16

Il log di EliBagla è pulito in confronto a quello postato ieri, sinceramente pensavo che tu avessi già utilizzato Avenger, attendiamo il log, ciao.

fubbbina

26-01-2008, 23:30

ok forse ce l'ho fatta... qui ho postato il log di hijackthis, speriamo sia andato tutto bene:sperem:
URL=http://www.fileup.itadib.com/download.php?id=r3LAhQC2HkfH0CzKrU3q]http://www.fileup.itadib.com/download.php?id=r3LAhQC2HkfH0CzKrU3q[/URL]

steven79

26-01-2008, 23:40

Ecco il log di Avenger...non è che mi convinca molto...
Ma Kaspersky trova trojan anche su Avenger???
Mi è uscita la finestra con un trojan-PSW.Win32.Agent.xd su avenger\down\86171.exe

mah...

murack83pa

26-01-2008, 23:42

fubbina: modifica il link ;)

steven: si, è normale che kaspersky possa rilevar avenger come malware :O

Chill-Out

26-01-2008, 23:43

Ecco il log di Avenger...non è che mi convinca molto...
Ma Kaspersky trova trojan anche su Avenger???
Mi è uscita la finestra con un trojan-PSW.Win32.Agent.xd su avenger\down\86171.exe

mah...

Si è normale che Kav rilevi come Trojan Avenger non ti preoccupare, immagino tu abbia gia fatto una scansione completa col Kav, se si allega il log di HJT

Edit: murack per tè si è fatta ora di andare a dormire devi studiare Economia :asd:

Chill-Out

26-01-2008, 23:47

Esegui HJT clicca su Do a system scan only - metti il segno di spunta nella casella bianca a sx delle voci sottoindicate:

O2 - BHO: (no name) - {77701e16-9bfe-4b63-a5b4-7bd156758a37} - (no file)
O4 - HKLM\..\Run: [LanzarL2007] "C:\DOCUME~1\Gianluca\IMPOST~1\Temp\{184D6300-FF99-40F5-ABC1-37C56D9C2E8F}\{D1DA 2BA7-2592-4036-9BB2-DCCABDE8DC1A}\..\..\L2007tmp\Setup.exe" /SETUP:"/l0x0010"

clicca su Fix checked

al termine nuovo log di HJT

murack83pa

26-01-2008, 23:54

Si è normale che Kav rilevi come Trojan Avenger non ti preoccupare, immagino tu abbia gia fatto una scansione completa col Kav, se si allega il log di HJT

Edit: murack per tè si è fatta ora di andare a dormire devi studiare Economia :asd:

sisi, me ne stavo andando giusto ora a lettuccio.....

nn voglioooo studiare sta caxx di economia :muro: :muro: :muro: :muro:

buona notte

Chill-Out

26-01-2008, 23:58

OT che ci vuoi fare purtroppo ti tocca mica posso venire io a dare l'esame al posto tuo :D

Buonanotte

steven79

27-01-2008, 00:02

Ecco il log di HJT...
...uhm...mi dice invalid file mentre cerco di caricarlo....dove sbaglio? :doh:

Chill-Out

27-01-2008, 00:08

Ecco il log di HJT...
...uhm...mi dice invalid file mentre cerco di caricarlo....dove sbaglio? :doh:

Lo salvi in formato .txt e lo hosti qui http://www.fileup.itadib.com indica il link dove prelevarlo

fubbbina

27-01-2008, 10:11

lancetta

27-01-2008, 11:35

buongiorno, ecco l'ultimo log di hjt.
cmq sembra adesso funzionare tutto, mi fa anche gli aggiornamenti di windows e dell'antivirus che prima non faceva. magari è davvero finito l'incubo:winner:

http://www.fileup.itadib.com/download.php?id=uvKoMCr9dD8uRRLiK3Vx

Ciao...tutto a posto sei ok.....;) :D
cancella i tool con tutte le cartelle...

in start-> esegui digita %temp% si apre la cartella dei temporanei, cancellane il contenuto per pulizia.

Saluti e tante belle cose :cool:

fubbbina

27-01-2008, 11:46

grazie tantissime per l'aiuto, siete dei grandi :D

steven79

27-01-2008, 12:42

Ecco qui il link al log di hjt...
Spero sia tutto a posto...

http://www.fileup.itadib.com/download.php?id=9gvDJQ53K8ecDWMLrsVT

Grazie a tutti intanto..

lancetta

27-01-2008, 14:04

Ecco qui il link al log di hjt...
Spero sia tutto a posto...

http://www.fileup.itadib.com/download.php?id=9gvDJQ53K8ecDWMLrsVT

Grazie a tutti intanto..

Log pulito e vedo anche il kasper in run ;)
il pc come và?

riccardo7

27-01-2008, 14:34

lancetta

27-01-2008, 14:41

ragazzi, io sto cercando di eliminare sto virus da ieri, ma niente. adesso provo a rifare tutto ma la vedo grigia. siate RE, aiutatemi.

una domanda prima di cominciare tutto:
ma la disattivazione ripristino conf di sys devo farla solo una volta prima del punto 2? perchè quando riavvio il pc torna tutto come prima.

grazie.

lo devi lasciare disattivato fino alla fine della procedura...fai il tutto e posta i log tutti insieme allegandoli e non copiaincollandoli
MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:
1 se il relativo txt generato è max 20 kb, allegarlo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2 se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere hostato su FileUP clicca qui per raggiungere FileUP (http://www.fileup.itadib.com/index.php), pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download[/QUOTE]

steven79

27-01-2008, 15:06

Log pulito e vedo anche il kasper in run ;)
il pc come và?

Ciao, il pc va bene mi pare...essendo uscito avevo dato inizio ad altra scansione con Kav, e mi ha trovato dei virus...al di la di avenger etc che li considera tali o adware....altri file li trova come infettati...il percorso preciso non lo ricordo...tipo system information-volume restore etc...
Qualche suggerimento?
Comunque il pc va bene mi pare...non si riavvia da solo, i programmi funzionano come prima...

murack83pa

27-01-2008, 15:18

Ciao, il pc va bene mi pare...essendo uscito avevo dato inizio ad altra scansione con Kav, e mi ha trovato dei virus...al di la di avenger etc che li considera tali o adware....altri file li trova come infettati...il percorso preciso non lo ricordo...tipo system information-volume restore etc...
Qualche suggerimento?
Comunque il pc va bene mi pare...non si riavvia da solo, i programmi funzionano come prima...

disabilita il ripristino configurazione sistema, riavvia il pc, e poi rifai la scansione con kaspersky....

nn ti era stato avvisato che il ripristino configurazione sistema va disabilitato fin da subito? :rolleyes:

lancetta

27-01-2008, 15:20

Ciao, il pc va bene mi pare...essendo uscito avevo dato inizio ad altra scansione con Kav, e mi ha trovato dei virus...al di la di avenger etc che li considera tali o adware....altri file li trova come infettati...il percorso preciso non lo ricordo...tipo system information-volume restore etc...
Qualche suggerimento?
Comunque il pc va bene mi pare...non si riavvia da solo, i programmi funzionano come prima...

Disattiva e riattiva il ripristino configurazione di sistema,la prima cosa che dovevi fare .....

lancetta

27-01-2008, 15:24

ragazzi, io sto cercando di eliminare sto virus da ieri, ma niente. adesso provo a rifare tutto ma la vedo grigia. siate RE, aiutatemi.

una domanda prima di cominciare tutto:
ma la disattivazione ripristino conf di sys devo farla solo una volta prima del punto 2? perchè quando riavvio il pc torna tutto come prima.

grazie.

scarica questo questo toolCombofix (http://download.bleepingcomputer.com/sUBs/ComboFix.exe)
doppio click. Si aprirà una finestra blu ...attendi....dovrebbe apparirti un avviso che declina l'autore da ogni responsabilità.
seleziona 1 e premi ENTER per lanciare lo scan.
finito lo scan visualizzerà il log con i dettagli.
N.B. Durante l'operazione di scansione è importante non usare il PC,disconnessi dalla rete e attendere pazientemente la fine delle operazioni.
vediamo n'attimino come sei messo

steven79

27-01-2008, 15:26

Certo, è quello che ho fatto! Avevo la letto con attenzione la prima pagina...

(Poi comunque ho notato che al successivo avvio, non c'è più il segno di spunta sui ripristini...)
O magari ieri nella confusione e nelle varie prova, me ne sono dimenticato la "volta decisiva" :-(

A sto punto blocco la scansione, spunto, riavvio e rilancio la scansione?
(Peraltro ci vuole molto per la scansione! Pensavo fosse più veloce)

riccardo7

27-01-2008, 15:26

ragazzi, qualcuno che ha msn può contattarmi per aiutarmi con questo virus?

dei programmi dell guida mi funziona solo elibagla. a volte mi si resetta il pc da solo dopo una classica schermata blu di errore. proprio non vuole andarsene. :muro:

se qualcuno è così gentile il mio contatto msn è

scolaro7 chiocciola hotmail punto com

grazie

murack83pa

27-01-2008, 15:27

steven79

27-01-2008, 15:58

si, disabilita, riavvia, controlli e poi fai la scansione ;)

Ultima perplessità: disabilito, riavvio, e poi scansione, MA devo, dopo aver riavviato, spuntare ancora la disabilitazione ripristini o la lascio bianca?

murack83pa

27-01-2008, 16:50

Ultima perplessità: disabilito, riavvio, e poi scansione, MA devo, dopo aver riavviato, spuntare ancora la disabilitazione ripristini o la lascio bianca?

come bianca? :confused:

l'opzione "disattiva il ripristino configurazione sistema" deve essere spuntata, selezionata, c deve essere la v verde........

guarda l'immagine:
http://img155.imageshack.us/img155/2606/ripristinonp4.th.jpg (http://img155.imageshack.us/my.php?image=ripristinonp4.jpg)

steven79

27-01-2008, 17:12

Forse non mi ero spiegato! :-)

Comunque ok, l'ho spuntata, riavviato...ora ho controllato, è ancora spuntata.
Eseguo la scansione con la spuntatura? Ma dopo aver fatto scansione, tolgo la spuntatura?

murack83pa

27-01-2008, 17:20

steven79

27-01-2008, 17:22

O.K.!
Orario di fine stimato 22:36 Gulp!!! E dovrei pure lavorarci...uhm...:cry:

lancetta

27-01-2008, 17:27

O.K.!
Orario di fine stimato 22:36 Gulp!!! E dovrei pure lavorarci...uhm...:cry:

cerca di salvare il log stavolta...;)

steven79

27-01-2008, 17:34

cerca di salvare il log stavolta...;)

Ma il log di di hjt che farò dopo....?
O parli di Kav? (sempre che sappia dove trovare un log di Kav!)
Scusate, ma è terreno seminuovo per me...:(

riccardo7

27-01-2008, 17:42

steven79

27-01-2008, 17:46

elibagla mi dice che non riesce ad eliminare il file MDELK.EXE che si trova nella cartella system32.
io lo vedo ma non riesco a cancellarlo. se uso un rogramma che FORZA il procedimento e lo cancella, risolvo secondo voi? posso avere dei problemi successivamente alla cancellazione?

Da neofita, ti dico che neanche io riuscivo a cancellarlo, in modalità normale.
Usando win in modalità provvisoria ci sono riuscito...spero ti possa essere utile...

Tauros

27-01-2008, 17:47

Salve gente!!

Anche io aimè qualche giorno fa son caduto nella trappola come un piskello.

Conseguenze: Non parte Avast, non parte Kav, non parte Nod 32, non parte avenger, non parte gmer, non parte hjt

In pratica l'unico spiraglio di luce me lo hanno dato EliBagla e VirIT.

Con Elibagla son riuscito a ripristinare il safemode, con VirIT ho fatto scansione totale scovando 19 bastardi che ha eliminato automaticamente.
Purtroppo il problema persiste, perchè ancora tutt'ora non riesco a far avviare un antivirus tra quelli che ho mensionato prima (ovviamente non li ho tutti installati contemporaneamente, ma li ho provati uno alla volta).

Comunque sia posso postare l' InfoSat di EliBagla.

QUESTO E' IL LOG (http://www.fileup.itadib.com/download.php?id=fovmRU9phumYgArEwBMT)

Spero proprio che mi saprete aiutare, perchè sono in alto mare col lavoro e non posso formattare per nulla al mondo!!

Grazie in anticipo ragazzi!

riccardo7

27-01-2008, 17:49

Da neofita, ti dico che neanche io riuscivo a cancellarlo, in modalità normale.
Usando win in modalità provvisoria ci sono riuscito...spero ti possa essere utile...

eh, purtroppo non riesco ad entrare in modalità provvisoria. probabilmente a causa del virus. mi piacerebbe sapere se, eliminato questo file, ho risolto il problema del tutto.

ho anche scaricato un programmino per cancellare i file che non si cancellano normalmente. chiaramente non funziona.

lancetta

27-01-2008, 17:51

elibagla mi dice che non riesce ad eliminare il file MDELK.EXE che si trova nella cartella system32.
io lo vedo ma non riesco a cancellarlo. se uso un rogramma che FORZA il procedimento e lo cancella, risolvo secondo voi? posso avere dei problemi successivamente alla cancellazione?

sto sempre aspettando quel log di combofix.......:rolleyes:

lancetta

27-01-2008, 17:56

riccardo7

27-01-2008, 18:00

sto sempre aspettando quel log di combofix.......:rolleyes:

chiaramente non parte.
mi dice che non è un'applicazione di win32 valida

riccardo7

27-01-2008, 18:04

riposto il log dell'unico programma che mi funziona. elibagla.

non sono ancora riuscito ad eliminare MDELK.EXE
qualcuno conosce un metodo per farlo manualmente?

lancetta

27-01-2008, 18:21

riposto il log dell'unico programma che mi funziona. elibagla.

non sono ancora riuscito ad eliminare MDELK.EXE
qualcuno conosce un metodo per farlo manualmente?

dunque se ho ben capito avenger non và...hum.....
carica questo programma sul desktop http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe Nel pannello di sinistra trovi la voce "Paste List of Files/Folders to be Moved" con relativo spazio bianco, nello spazio bianco copia e incolla questo

%SystemDrive%\WINDOWS\system32\drivers\hidr.exe
%SystemDrive%\WINDOWS\system32\drivers\srosa.sys
%SystemDrive%\WINDOWS\system32\wintems.exe
%SystemDrive%\WINDOWS\system32\hldrrr.exe
%SystemDrive%\WINDOWS\system32\trusted.exe
%SystemDrive%\WINDOWS\system32\drivers\pci32.sys
%UserProfile%\Dati applicazioni\hidires\hidr.exe
%UserProfile%\Dati applicazioni\hidires\rosa.sys
%UserProfile%\Dati applicazioni\m\data.oct
%UserProfile%\Dati applicazioni\m\flec006.exe
%UserProfile%\Dati applicazioni\hidires\m_hook.sys
%SystemDrive%\WINDOWS\system32\drivers\hldrrr.exe
%SystemDrive%\WINDOWS\system32\drivers\hldrrr.ex_
%SystemDrive%\WINDOWS\system32\mdelk.exe
%SystemDrive%\WINDOWS\system32\drivers\pci32.sys
%SystemDrive%\WINDOWS\system32\drivers\hIdrrr.exe
%SystemDrive%\WINDOWS\SYSTEM32\EDLM.EXE
%SystemDrive%\WINDOWS\SYSTEM32\EDLM2.EXE
%SystemDrive%\Windows\system32\LDR64.DLL
%SystemDrive%\WINDOWS\exefnd
%SystemDrive%\WINDOWS\exefld
%UserProfile%\Dati applicazioni\hidires
%SystemDrive%\WINDOWS\System32\drivers\down\
%SystemDrive%\WINDOWS\system32\MDELK.EXE
C:\WINDOWS\system32\mdelk.exe
Clicca sul pulsante rosso MoveIt!...Se i file non posso essere eliminati subito, ti chiederà il riavvio, nel caso rispondi di Yes (se non sia riavvia lo fai tu)
Nel pannello a destra trovi il box "Result" seleziona tutto il contenuto e salvalo sul block notes e lo alleghi

riccardo7

27-01-2008, 18:33

Clicca sul pulsante rosso MoveIt!...Se i file non posso essere eliminati subito, ti chiederà il riavvio, nel caso rispondi di Yes (se non sia riavvia lo fai tu)
Nel pannello a destra trovi il box "Result" seleziona tutto il contenuto e salvalo sul block notes e lo alleghi

il programma parte, ma il file dopo il riavvio c'è ancora.

dei file della lista trova solo MDELK.EXE e dice : File move failed. C:\WINDOWS\system32\mdelk.exe scheduled to be moved on reboot.

miz86miz

27-01-2008, 18:58

ragazzi il mio antivir classic,ha riconosciuto un file sospetto in windows...
NIRCMD.EXE
io l ho messo in quarantine....

Cos'è?
Posso cancellarlo?

murack83pa

27-01-2008, 19:26

ragazzi il mio antivir classic,ha riconosciuto un file sospetto in windows...
NIRCMD.EXE
io l ho messo in quarantine....

Cos'è?
Posso cancellarlo?

è un processo relativo a combo: molti di questi tool che hai utilizzato verrano riconosciuti da avira come malware....

combo lo puoi anche cancellare....

Chill-Out

27-01-2008, 19:47

Fai girare questo tool
ComboFix
Download: http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt e anche il file; C:\ComboFix-quarantined-files.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

Tauros

27-01-2008, 19:49

cancella sti cacchio di programmi :rolleyes:

ripassa l'elibagla (a volte serve più di un giro)
poi passa alla procedura con avenger

è inutile dirti come lo hai preso sto virus :D

allora, EliBagla continua a dirmi che non c'è niente......e Avenger continua a non andare, inoltre ho usato col MoveIt, ma non mi trova i file come se non ci fosse nessun cacchio di virus......non capisco cosa debbo fare e soprattutto non capisco perchè i programmi di sicurezza continuano a non partire sul mio pc...intanto li ho disinstallati e non piu piu nnt.

Ho fatto comunque uno scan sul sito di kaspersky, ed ecco il LOG (http://www.fileup.itadib.com/download.php?id=xJ8COqERfdgQxH3VasFh)

Chill-Out

27-01-2008, 20:28

http://www.hwupgrade.it/forum/showpost.php?p=20789208&postcount=1091

fai girare ComboFix

riccardo7

27-01-2008, 20:37

Chill-Out

27-01-2008, 20:39

non mi parte purtroppo

detto così è un pò generico cosa vuol dire?

Tauros

27-01-2008, 20:56

detto così è un pò generico cosa vuol dire?

vuol dire il virus ha effetto anche su di esso e facendolo partire spounta l'avviso "non è un'applicazione win 32 valida".......anche a me fa cosi con combofix, ora provo in modalità provvisoria....

steven79

27-01-2008, 21:18

Il mio sta ancora facendo scansione...orario di fine previsto ore 00:13....è dalle 18:14 che va avanti...mah!

flashe

27-01-2008, 21:18

ciao ragazzi
purtroppo anche io sono stato colpito (mea culpa, il popò è uscito da un programa di p2p, nascosto dentro un eseguibile... che era meglio se non scaricavo) :)

ho cercato di seguire la fantastica guida di rimozione... ed eccomi ad allegare i 3 log.

Cosa ne pensate? Sono a posto? :fagiano:

Grazie 1000

riccardo7

27-01-2008, 21:19

vuol dire il virus ha effetto anche su di esso e facendolo partire spounta l'avviso "non è un'applicazione win 32 valida".......anche a me fa cosi con combofix, ora provo in modalità provvisoria....

a dire il vero no. hanno tutti comportamenti diversi i progrmmi che non mi partono.
alcuni mi dive che non è un'applicazione win32 valida, altri non partono (come in questo caso, in cui carica una barretta e poi non succede nulla), altri si bloccano prima di partire e mi costringono ad andare nel task manager per chiudere la cartella nel quale sono installati perchè non risponde.

io per ora ho capito solo che devo cancellare quel maledetto file e non ci sono riuscito in alcun modo. e non mi va neanche in modalità provvisoria.

non so più che fare.

Chill-Out

27-01-2008, 21:24

Eliminate il Combo precedente, riscaricatelo e fate un'altro tentativo

Nuz

27-01-2008, 21:37

@flashe

Fixa queste:

O1 - Hosts: 65.54.239.80 messenger.hotmail.com

O1 - Hosts: 65.54.239.80 dp.msnmessenger.skadns.net

O20 - AppInit_DLLs: fz32.dll

Esegui anche tu una scansione con combofix:

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Posta il log C:\combofix.txt

Tauros

27-01-2008, 21:50

niente combofix non ne vuole sapere di partire......porco2.,.....stavolta sto bagle m'ha distrutto.....

Nuz

27-01-2008, 22:13

Ho fatto comunque uno scan sul sito di kaspersky, ed ecco il LOG (http://www.fileup.itadib.com/download.php?id=xJ8COqERfdgQxH3VasFh)

Il log non si apre col notepad. Aveva trovato delle infezioni? Puoi provare ad usare il kaspersky Virus Removal Tool (http://www.hwupgrade.it/forum/showthread.php?t=1631690) (AVPTool).

http://downloads1.kaspersky-labs.com/devbuilds/AVPTool/

Il tool si installa in una cartella a scelta da cui viene eseguito, non si può aggiornare, ma basta scaricare l'ultima versione, aggiornata ogni due ore, e da la possibilità di creare un report della scansione.
Per procedere alla completa disinstallazione si deve cliccare nella finestra principale, in basso, sulla voce Complete Virus Protection.

Chill-Out

27-01-2008, 22:13

niente combofix non ne vuole sapere di partire......porco2.,.....stavolta sto bagle m'ha distrutto.....

che errori ti danno parlo sia di Combo che di Avenger perchè se no così non se ne esce

Tauros

27-01-2008, 22:42

che errori ti danno parlo sia di Combo che di Avenger perchè se no così non se ne esce

Ecco in che modo non si avviano.....

http://img139.imageshack.us/img139/7731/combovn1.jpg

http://img152.imageshack.us/img152/3499/avengervd0.jpg

steven79

27-01-2008, 22:50

Salve ragazzi, Kav mi ha finito la scansione....
Ora che devo fare?
Scansione con hjt e poi postare il log?

Chill-Out

27-01-2008, 22:52

Ecco in che modo non si avviano.....

http://img139.imageshack.us/img139/7731/combovn1.jpg

http://img152.imageshack.us/img152/3499/avengervd0.jpg

http://www.hwupgrade.it/forum/showpost.php?p=20791371&postcount=1103

murack83pa

27-01-2008, 22:52

Salve ragazzi, Kav mi ha finito la scansione....
Ora che devo fare?
Scansione con hjt e poi postare il log?

avenger l'hai già utilizzato?

posta il log di kav e il log di avenger se nn l'avevi ancora fatto girare

steven79

27-01-2008, 22:55

Già postato ieri o stanotte :-)

Scusa l'ignoranza, il log di Kav come si posta? Cioè, come si trova?? :(

murack83pa

27-01-2008, 22:58

Già postato ieri o stanotte :-)

Scusa l'ignoranza, il log di Kav come si posta? Cioè, come si trova?? :(

ok, ho visto i tuoi post

x il log di kav, sicuramente è pesante, quindi caricalo su fileup:
MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:
1- Se il log generato è max 20 kb, prima salvalo in formato .txt e poi allegalo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2- Se è superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere caricato su FileUp (http://www.fileup.itadib.com/index.php), pubblicando, per ogni log, il link che verrà rilasciato per il download.
E' preferibile pubblicare i log in un unico post, separatamente, non zippateli

nella guida, poi è indicato di far girare panda antirootkit, fallo girare

poi fai la pulizia con ccleaner, riavvia, e posta il log di hijackthis

steven79

27-01-2008, 23:01

Ehm....il log forse l'ho trovato...ma segna 230,8 mb....forse non è quello...

murack83pa

27-01-2008, 23:10

Ehm....il log forse l'ho trovato...ma segna 230,8 mb....forse non è quello...

ma anche si.....:D

visto quanto tempo è durata la scansione nn mi sorprende....

fai cosi: vedi di spezzarlo e riportare solo la parte relativa alla rilevazione dei trojan e alla azione eseguita da kav

ok?

se nn c riesci, intanto posta il log di hijackthis e nel frattempo fai girare panda antirootkit

steven79

27-01-2008, 23:12

Non ha rilevato alcun trojan...(considera che la disattivazioni ripsristini è spuntata)..
Ora faccio panda antiroot (già fatto ieri), poi ccleaner, e poi riavvio...

murack83pa

27-01-2008, 23:15

Non ha rilevato alcun trojan...(considera che la disattivazioni ripsristini è spuntata)..
Ora faccio panda antiroot (già fatto ieri), poi ccleaner, e poi riavvio...

perfetto, allora attendiamo il log di hijackthis

steven79

27-01-2008, 23:27

Ecco qui il log di hjt...
http://www.fileup.itadib.com/download.php?id=Rity2lq5EaeDFVNwvGry

La disattivazione dei ripristini la lascio spuntata o tolgo la spunta?

Grazie

riccardo7

27-01-2008, 23:45

Chill-Out

28-01-2008, 00:00

grazier all'ultimo link sono riuscito a fare una scansione della cartella system32 con Kaspersky.
ecco il mio report:
http://www.fileup.itadib.com/download.php?id=UQlX1C7VQtVFqG8LrheE

però, oltre a trovarmi 4 file con il virus non me li cura.

cosa devo fare ora?

devi fare la scansione di tutto il sistema non solo di C:\WINDOWS\system32 tutto le minacce rilevate le passi in quarantena e posti il log :O

riccardo7

28-01-2008, 00:05

devi fare la scansione di tutto il sistema non solo di C:\WINDOWS\system32 tutto le minacce rilevate le passi in quarantena e posti il log :O

domani farò lo scan completo. ma intanto posso mettere in quarantena questi file che mi trova? non vedo opzioni per metterceli. grazie

flashe

28-01-2008, 02:26

X NUZ

Grazie per avermi risposto!
Ho fatto quanto mi hai consigliato, fixato le 2 voci e scan con combofix... allego il log.

Fammi sapere, grazie ancora

@flashe

Fixa queste:
Esegui anche tu una scansione con combofix:
Posta il log C:\combofix.txt

steven79

28-01-2008, 07:48

Che ne dite del mio log finale di hjt? tutto è a posto?
Buon lunedì!

murack83pa

28-01-2008, 08:36

Che ne dite del mio log finale di hjt? tutto è a posto?
Buon lunedì!

ciao,
il log sembra pulito, fixa queste voci inutili:

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe

O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Programmi\Adobe\Adobe Acrobat 7.0\Distillr\Acrotray.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"

O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background

Nuz

28-01-2008, 09:30

@ Flashe:

Mi sono dimenticato di dirti che serve anche questo log C:\ComboFix-quarantined-files.txt

Chill-Out

28-01-2008, 09:57

Dimmi se ricordi di aver usato l'antirootkit di Sophos poi apri una cartella qualsiasi e clicchi su Strumenti - Opzioni cartella - Visualizzazione - metti il segno di spunta su Visualizza cartelle e file nascosti - togli il segno di spunta da Nascondi i file protetti di sistema e da Nascondi le estensioni per i tipi di file conosciuti - Applica e OK dopodichè controlli per sicurezza su www.virustotal.com il seguente file:
C:\WINDOWS\System32\Drivers\SjyPkt.sys

steven79

28-01-2008, 11:52

ciao,
il log sembra pulito, fixa queste voci inutili:

Ehm, che vuol dire....scusa l'inesperienza... :(

murack83pa

28-01-2008, 12:13

Ehm, che vuol dire....scusa l'inesperienza... :(

riavvia hijackthis,click su do a systema scan only, e quando ha finito, selezioni nell'elenco le voci che ti ho indicato e poi clicca su fix checked

steven79

28-01-2008, 12:22

Fatto...

ho riavviato hjt, ed ecco il "niovo" log:

http://www.fileup.itadib.com/download.php?id=i0U5rYWs81XUGX3nI4EC

A presto e grazie

Dimenticavo...attendo consigli sul lasciare spuntato o meno la casellina dei ripristini....grazie!

murack83pa

28-01-2008, 12:34

flashe

28-01-2008, 13:07

@ Flashe:

Mi sono dimenticato di dirti che serve anche questo log C:\ComboFix-quarantined-files.txt

NUZ ... non ho il file che mi indichi, suppongo che combofix non l'abbia generato, possibile ?

Nuz

28-01-2008, 13:09

fai questo:

http://www.hwupgrade.it/forum/showpost.php?p=20794941&postcount=1123

e poi allega anche un nuovo log di HJT.

riccardo7

28-01-2008, 13:41

ragazzi, ho fatto lo scan con kapersky. mi trova diversi file infetti ma non riesce a cancellarmeli e non so come si faccia a metterli in quarantena.
ma il problema è un altro. il report della scansione tiene 11 Mb.
perché? è normale? è un file txt.

il file è questo:
http://www.fileup.itadib.com/download.php?id=N56LvQdh5KSN7nb9x1wb

riccardo7

28-01-2008, 14:16

sono riuscito a far partire avenger, rinominando il file dentro lo zip.

mi sembra che tutti questi programmi non riescano a fare nulla però :(

Chill-Out

28-01-2008, 14:23

sono riuscito a far partire avenger, rinominando il file dentro lo zip.

mi sembra che tutti questi programmi non riescano a fare nulla però :(

Per forza non li mette in quarantena sono stati cancellati

Dai un'altra passa di EliBagla da modalità provvisoria F8

riccardo7

28-01-2008, 14:24

Dai un'altra passa di EliBagla da modalità provvisoria F8

non mi funziona la modalità provvisoria

Chill-Out

28-01-2008, 14:26

non mi funziona la modalità provvisoria

fallo da modalità normale

flashe

28-01-2008, 14:29

fai questo:

http://www.hwupgrade.it/forum/showpost.php?p=20794941&postcount=1123

e poi allega anche un nuovo log di HJT.

Ciao NUZ e grazie per il supporto, sei l'unico che mi considera :)

Ho cercato di seguire le istruzioni, ma non ho potuto far nulla in quanto il file SjyPkt.sys non è presente nel mio sistema.

Cosa posso fare?

Ah dimenticavo, SI ho usato l'utility antirootkit sophos prima di approdare qui e poter eseguire le istruzioni in lista.

lancetta

28-01-2008, 14:57

Ciao NUZ e grazie per il supporto, sei l'unico che mi considera :)

Ho cercato di seguire le istruzioni, ma non ho potuto far nulla in quanto il file SjyPkt.sys non è presente nel mio sistema.

Cosa posso fare?

Ah dimenticavo, SI ho usato l'utility antirootkit sophos prima di approdare qui e poter eseguire le istruzioni in lista.

scusa ma siccome siete in tanti..non ho seguto..hai windows 2000 per caso?

Chill-Out

28-01-2008, 15:18

Ciao NUZ e grazie per il supporto, sei l'unico che mi considera

evitiamo almeno di dire eresie siete in tanti e noi siamo pochi e si fà quel che si può, ma almeno leggete:
http://www.hwupgrade.it/forum/showpost.php?p=20794941&postcount=1123

Chill-Out

28-01-2008, 15:40

scusa ma siccome siete in tanti..non ho seguto..hai windows 2000 per caso?

si dovrebbe essere di Win 2000 ma volevo essere sicuro

Nuz

28-01-2008, 16:25

evitiamo almeno di dire eresie siete in tanti e noi siamo pochi e si fà quel che si può, ma almeno leggete:
http://www.hwupgrade.it/forum/showpost.php?p=20794941&postcount=1123

Flashe sei riuscito a far inc@zz.. il mite Chill. :banned:

Comunque se posti un nuovo log di HiJackThis per una controllata è meglio. Fai anche uno scan con gmer

http://www.gmer.net/gmer.zip

e dicci se ci sono righe rosse.

flashe

28-01-2008, 16:55

scusa ma siccome siete in tanti..non ho seguto..hai windows 2000 per caso?

Ciao Lancetta, grazie della risposta.

Ho winxp sp2.
Questi sono i brevi passi della mia vicenda:

1) http://www.hwupgrade.it/forum/showpost.php?p=20790497&postcount=1098
2) http://www.hwupgrade.it/forum/showpost.php?p=20790757&postcount=1101
3) http://www.hwupgrade.it/forum/showpost.php?p=20792927&postcount=1119
4) http://www.hwupgrade.it/forum/showpost.php?p=20798320&postcount=1128
5) http://www.hwupgrade.it/forum/showpost.php?p=20800090&postcount=1135

che ne pensi dei log?

lancetta

28-01-2008, 16:56

si dovrebbe essere di Win 2000 ma volevo essere sicuro

socio...he he :D ci si legge nel pensiero ormai ;)

flashe

28-01-2008, 16:57

evitiamo almeno di dire eresie siete in tanti e noi siamo pochi e si fà quel che si può, ma almeno leggete:
http://www.hwupgrade.it/forum/showpost.php?p=20794941&postcount=1123

Scusa chill ma mia ho detto un eresia, ho fatto soltanto una costatazione... nuz era l'unico che mi ha considerato in 3 pagine .... e per questo lo ringrazio :)

Il link che mi consigli l'ho letto circa 2 ore fa sotto indicazioni di nuz... e ho gia postato risposta relativa 2 post sopra il tuo.

Grazie per il consiglio e scusa ma non volevo essere offensivo

flashe

28-01-2008, 17:00

si dovrebbe essere di Win 2000 ma volevo essere sicuro

se è rifferito al mio caso, non ho windows2000, ho winxp sp2

Chill-Out

28-01-2008, 17:05

socio...he he :D ci si legge nel pensiero ormai ;)

già già, socio pensaci tù a me stavolta stà partire un'embolo :D

lancetta

28-01-2008, 17:15

già già, socio pensaci tù a me stavolta stà partire un'embolo :D

tranquillo socio ci spalleggiamo ;)

@flashe sto dando un occhiata ai tuoi log...nel frattempo prova a reinstallare l'antivirus e un nuovo log di hijackthis ;)

flashe

28-01-2008, 17:17

già già, socio pensaci tù a me stavolta stà partire un'embolo :D

Chill ti ho fatto le mie scuse sopra, non volevo offenderti... quelle che fate qui sono azioni generose e impagabili, non potrei mai avere l'intenzione di offendere qualcuno :(

Chill-Out

28-01-2008, 17:22

Chill ti ho fatto le mie scuse sopra, non volevo offenderti... quelle che fate qui sono azioni generose e impagabili, non potrei mai avere l'intenzione di offendere qualcuno :(

tranquillo nessun problema e che siamo un pò sotto pressione ;) tutto OK

flashe

28-01-2008, 17:29

Fai anche uno scan con gmer

http://www.gmer.net/gmer.zip

e dicci se ci sono righe rosse.

Fatto, un log interminabile, ma niente righe rosse :)
Allego anche scan di hjk.

tranquillo socio ci spalleggiamo ;)

@flashe sto dando un occhiata ai tuoi log...nel frattempo prova a reinstallare l'antivirus e un nuovo log di hijackthis ;)

Fatto, allego.

Nuz

28-01-2008, 17:46

Ora il log è pulito. Aggiorna Acrobat Reader e Internet Explorer all'ultima versione.

lancetta

28-01-2008, 17:58

Fatto, un log interminabile, ma niente righe rosse :)
Allego anche scan di hjk.
Fatto, allego.
digita start->esegui scrivi cmd digita
sc stop SjyPkt
sc delete SjyPkt
rifai il procedimento e scrivi
sc stop MEMSWEEP2
sc delete MEMSWEEP2

in avenger
Files to delete:
C:\WINDOWS\system32\fz32.dll
C:\Temp\WinSde1.9.exe
C:\WINDOWS\system32\44.tmp
C:\WINDOWS\System32\Drivers\SjyPkt.sys

start esegui digita %temp% cancella tutto quello che c'è dentro sta cartella (non la cartella)

poi giusto per......
fai girare Questo VUNDOFIX (http://www.atribune.org/public-beta/VundoFix.exe)
sul desktop lancialo metti la spunta su "Run VundoFix as a task" ti darà un messaggio che vundofix si chiuderà e riaprirà in un minuto o meno, quando il programma si riaprirà clicca OK clicca su "Scan for Vundo" quando ha finito di fare la scansione clicca su "Remove vundo" clicca YES alla domanda se vuoi rimuovere i files,quindi inizierà a rimuovere le dll del vundo ,quando ha finito ti dirà che dovrà riavviare il pc clicca OK.
accendi il pc e posta il log che troverai in C:\vundofix.txt....

C:\WINDOWS\system\secedit.chm questo fallo analizzare QUI (http://www.virustotal.com/en/indexf.html) (se non ricordo male non è quella la cartella)
poi dimmi? hai applicato la patch per aumentare le connessioni ?

steven79

28-01-2008, 18:24

Vorrei ringraziare tutti per l'aiuto.
A presto, grazie ancora.

lancetta

28-01-2008, 18:48

Vorrei ringraziare tutti per l'aiuto.
A presto, grazie ancora.

ciao steven :cool:

flashe

28-01-2008, 19:50

digita start->esegui scrivi cmd digita
sc stop SjyPkt
sc delete SjyPkt
rifai il procedimento e scrivi
sc stop MEMSWEEP2
sc delete MEMSWEEP2

fatto ... per entrambi:
[SC] ControlService FAILED 1062:
Servizio non avviato.

Per quanto riguarda Avenger, posto il log.

Per la cartella temp, alcuni files non ho potuto eliminarli, posto lo screenshot.

fai girare VUNDOFIX
sul desktop lancialo metti la spunta su "Run VundoFix as a task" ti darà un messaggio che vundofix si chiuderà e riaprirà in un minuto o meno, quando il programma si riaprirà clicca OK clicca su "Scan for Vundo" quando ha finito di fare la scansione clicca su "Remove vundo" clicca YES alla domanda se vuoi rimuovere i files,quindi inizierà a rimuovere le dll del vundo ,quando ha finito ti dirà che dovrà riavviare il pc clicca OK.
accendi il pc e posta il log che troverai in C:\vundofix.txt....

Fatto ma.. all'avvio avevo 2 tasti... scan e remove... premuto scan e dopo un po mi ha detto che non ha trovato niente.... poi ho premuto remove e il programma ha detto che non c'era niente da rimuovere e si è chiuso.
Non ho trovato "run vundofix as a task" , non mi ha dato il messaggio che dicevi ecc... ho sbagliato qualcosa?

Per quanto riguarda secedit.chm ... ho fatto la scansione con virustotal ed è risultato pulito (si trovava nella cartella che mi hai indicato)

poi dimmi? hai applicato la patch per aumentare le connessioni ?

Se non ricordo male tempo fa l'ho applicata, come posso verificare?

GRAZIE 1000

thedoctor85

28-01-2008, 20:22

ragazzi help meeeeeeeeeee

Chill-Out

28-01-2008, 20:42

ragazzi help meeeeeeeeeee

Adesso dovresti riuscire a far girare per la seconda volta Elibagla anche dalla modalità provvisoria F8 dopodichè inserisci lo script in Avenger, ricorda di allegare entrambi i log, ciao.

thedoctor85

28-01-2008, 21:15

ops.. ho fatto prima avenger e poi elibagla, ora avenger non va più e mi dice che non è stato possibile creare il file zip

thedoctor85

28-01-2008, 21:16

questo è il log di elibagla

edit. aggiungo il log di avenger che poi sono riuscito ad ottenere, chiedo scusa per il doppio post

lancetta

28-01-2008, 23:00

fatto ... per entrambi:
[SC] ControlService FAILED 1062:
Servizio non avviato.

Per quanto riguarda Avenger, posto il log.

Per la cartella temp, alcuni files non ho potuto eliminarli, posto lo screenshot.

Fatto ma.. all'avvio avevo 2 tasti... scan e remove... premuto scan e dopo un po mi ha detto che non ha trovato niente.... poi ho premuto remove e il programma ha detto che non c'era niente da rimuovere e si è chiuso.
Non ho trovato "run vundofix as a task" , non mi ha dato il messaggio che dicevi ecc... ho sbagliato qualcosa?

Per quanto riguarda secedit.chm ... ho fatto la scansione con virustotal ed è risultato pulito (si trovava nella cartella che mi hai indicato)

Se non ricordo male tempo fa l'ho applicata, come posso verificare?

GRAZIE 1000

c'è l'hai ho visto io tranquillo volevo solo sapere se era intenzionale..;)
allora sembra che non ci sia nulla(vundofix era solo un di più) più reinstalla l'antivirus a fagli fare una scansione completa per sicurezza per i temp o vai in provvisoria oppure usi questo ( QUI (http://www.filehippo.com/download/9838386a743262a2d7aaedfb3b432ae2/download/)) (evita di installare la toolbar di yahoo) disattivando dalle opzioni avanzate "cancella solo file più vecchi di 48 ore" ottimo soft free per la pulizia e sei a posto cancella i tool con le cartelle di backup ...

Ciao :cool:

lancetta

28-01-2008, 23:04

questo è il log di elibagla

edit. aggiungo il log di avenger che poi sono riuscito ad ottenere, chiedo scusa per il doppio post

hum...l'antivirus si reinstalla?

thedoctor85

28-01-2008, 23:12

hum...l'antivirus si reinstalla?

non mi fa accedere all'installazione dell'antivirus che ho, né tantomeno mi permette di installarne uno nuovo

akos

28-01-2008, 23:16

Ciao ragazzi, sono nuovo di questo forum che non conoscevo prima.
Vi scrivo perchp sono stato colpito anche io da questo benedetto virus.
é da stamattina che sto impazzendo cercando di risolvere il problema, ma mi pare che le cose stiano solo peggiorando. Ho provato a seguire la vostra guida.. arrivo fino al punto 2 cioè l'uso di elibagla, che mi si blocca quando lo faccio partire. Poi riavvio il computer mi fa la scansione e il rapporto. QUando poi cerco di farlo in modalità provvisoria, questa non mi parte. é partita solo una volta ma il file di elibagla non c'era.
Poi quando passo a usare kasperky mi dice la solita frase "applicazione non valida per win32", e stessa cosa per avenger.
Ho provato ad usare anche altri due programmi: "baglegui" e "cleanbagle" ma non hanno trovato nulla.

Ora ho altri problemi, mi compare molto spesso la schermata blu che mi riavvia il computer. Infatti per scrivere questo post ho fatto miracoli. Poi quando avvio windows mi si aprono due file txt che dicono la stessa cosa:
[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21787

Inoltre mi si apre una finestra con scritto "select file to crack" con una finestra sulle risorse del computer per selezionare un eventuale file. Tutto questo stamattina non mi usciva.

Premetto che ho formattato il computer 2 settimane fa e avevo Panda Antivirus, da me ora disintrallato in quanto non capivo perchè avesse smesso di funzionare (non conoscendo il virus), ho poi provato ad installare NOd, ma non lo installa neanche.
ANche installare kaspersky mi ha dato numerosi problemi.

Vi posto il log di elibagla:

Aiutatemi a risolvere questo dramma!GRAZIE in anticipo per la pazienza.

http://www.fileup.itadib.com/download.php?id=8UmDziEoFTCNdJ1aQrrw

lancetta

28-01-2008, 23:18

non mi fa accedere all'installazione dell'antivirus che ho, né tantomeno mi permette di installarne uno nuovo

sta ca@@o di variante è più rompiballe del solito..ripassa l'elibagla in normale ed un altra volta in modalità provvisoria (F8 al riavvio del pc) poi di nuovo avenger con log e l'ultimo log di elibagla ;)

lancetta

28-01-2008, 23:23

Ciao ragazzi, sono nuovo di questo forum che non conoscevo prima....CUT!......
Aiutatemi a risolvere questo dramma!GRAZIE in anticipo per la pazienza.

http://www.fileup.itadib.com/download.php?id=8UmDziEoFTCNdJ1aQrrw
disattiva il ripristino configurazione di sistema come riportato in guida e ripassa più volte l'elibagla almeno fino a quando non và la mod provvisoria se riesci..altrimenti riposta che vediamo in pò il da farsi...

akos

28-01-2008, 23:39

Niente da fare, ho fatto altre 4 volte elibagla, ma non mi fa entrare in modalità provvisoria.
Elibagla mi ha dato 4 risultati diversi per ogni volta. è passato da 2 a 5 a 3 infetti.

akos

28-01-2008, 23:40

il ripristino di configurazione di sistema l'ho eliminato, e addirittura ora se riento in proprietà di risorse del computer, mi è sparita la cartelletta "ripristino configurazione del sistema"

lancetta

28-01-2008, 23:49

il ripristino di configurazione di sistema l'ho eliminato, e addirittura ora se riento in proprietà di risorse del computer, mi è sparita la cartelletta "ripristino configurazione del sistema"

hum...Scarica questo toolCombofix (http://download.bleepingcomputer.com/sUBs/ComboFix.exe)
doppio click. Si aprirà una finestra blu ...attendi....dovrebbe apparirti un avviso che declina l'autore da ogni responsabilità.
seleziona 1 e premi ENTER per lanciare lo scan.
finito lo scan visualizzerà il log con i dettagli.
N.B. Durante l'operazione di scansione è importante non usare il PC,disconnessi dalla rete e attendere pazientemente la fine delle operazioni. allega il log

BianconiglioRoma

29-01-2008, 00:14

lancetta

29-01-2008, 00:35

buonasera a tutti,
mi dispiace dovervi annoiare dopo 59 pagine sempre della stessa roba, ma anche io avrei una domanda
win xp sp2
non mi apre più gli antivirus, modalità provvisoria non parte.
inizia la mia ricerca per la soluzione.
dunque
spyware doctor mi rileva questo file Trojan-Downloader.Bagle...
che è proprio il topic di questo utilissimo post.
provo a eliminarlo con un tool di Norton, ma non lo trova.
link: http://www.zshare.net/download/69703126fde93c/
allo stesso modo con un altro tool
che mi dà log che linko qui: http://www.zshare.net/download/69703273323bbf/

a questo punto la domanda è: ho davvero questo bagle e quindi procedo con tutta la procedura?

grazie mille
davide

secondo te? :rolleyes:
fai la guida e posta i log attenzione al modo di postarli e mettili tutti insieme allegandoli uno alla volta

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:
1 se il relativo txt generato è max 20 kb, allegarlo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2 se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere hostato su FileUP clicca qui per raggiungere FileUP (http://www.fileup.itadib.com/index.php), pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download[/QUOTE]

ci vediamo alla fine ;)

BianconiglioRoma

29-01-2008, 10:01

BianconiglioRoma

29-01-2008, 10:04

allora ho disattivato il ripristino configurazione di sistema
avviato elibagla... posto il log...
riavvio il pc e nuovamente mi parte in automatico all'avvio eligabla...

scaricato kasper che ovviamente non scansiona nulla
e avenger non si apre, si blocca...

aiuto... :(

ulteriore update:
adesso mi dice che è un applicazione win32 non valida.

una domanda:ma se io riavvio il pc, il sistema riattiva il ripristino della configurazione automatica?

grazie ancora

Nuz

29-01-2008, 10:37

Altri tool che puoi usare:

Norman Malware Cleaner

http://download.norman.no/public/Norman_Malware_Cleaner.exe

Eseguire in modalità provvisoria

Combofix

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Doppio click su combofix.exe e segui le istruzioni
Postare il log C:\combofix.txt e anche C:\ComboFix-quarantined-files.txt

Kaspersky Virus Removal Tool

http://downloads1.kaspersky-labs.com/devbuilds/AVPTool/

Il tool si installa in una cartella a scelta da cui viene eseguito, non si può aggiornare, ma basta scaricare l'ultima versione, aggiornata ogni due ore, e da la possibilità di creare un report della scansione. Seleziona le unita da scansionare e procedi con lo scan.
Per procedere alla completa disinstallazione si deve cliccare nella prima schermata, in basso, su Complete Virus Protection.

fraizzo

29-01-2008, 11:10

Ragazzi ho un server Microsoft SBS 2003 infettato con il maledetto bagle.in

La cosa brutta è che non riesco ad entrarci neanche in windows, appena inserisco la password di administrator il server si riavvia, in mod provvisoria non va... aiutatemi che sono in panico

Nuz

29-01-2008, 11:24

fraizzo

29-01-2008, 11:27

La prima cosa che mi viene in mente è di crearti un cd di recovery bootabile:

www.ubcd4win.com

Ti consiglio intanto di iniziare a crearlo, se poi qualcun'altro ha qualche idea più semplice e rapida è meglio.

quello non è un problema.

Comincio col cancellare file e chiavi di registro evidenziate nel primo post?

Nuz

29-01-2008, 11:53

quello non è un problema.

Comincio col cancellare file e chiavi di registro evidenziate nel primo post?

Ma allora riesci ad accedere a Windows? O ho capito male la domanda?

BianconiglioRoma

29-01-2008, 12:09

Nuz

29-01-2008, 12:15

@ BianconiglioRoma:

Si. Per la modalità provvisoria scarica questo ed eseguilo.

http://www.zshare.net/download/4997787b160993/

BianconiglioRoma

29-01-2008, 12:24

@ BianconiglioRoma:

Si. Per la modalità provvisoria scarica questo ed eseguilo.

http://www.zshare.net/download/4997787b160993/

allora combofix mi dice che è un'applicazione di win32 non valida.
in compenso miracolo dei miracoli sono in modalità provvisoria

e non ho la minima idea di cosa fare, kaspersky antivirus non funziona...
e l'antivirus che si aggiornava ogni 2 ore che mi avevi scritto mi dice che ha i file corrotti...
uff... aiuto...

Nuz

29-01-2008, 12:45

BianconiglioRoma

29-01-2008, 13:01

Rimuovi Kaspersky e poi Kaspersky Virus Removal Tool (apri la cartella creata clicca sul file setup..., ha una K rossa, e poi cliccando su Complete Virus Protection).
Poi prova ad eseguire da modalità provvisoria Norman Malware Cleaner.
Se non va accendi in Modalità provvisoria con supporto di rete.
Vai qua:

http://www.bitdefender.com/scan8/ie.html

ed esegui una scansione.

mentre aspettavo un amico mi ha consigliato di usare trend microhouse che pure fa una scansione.
appena finisce faccio quello che mi hai scritto.
intanto davvero grazie mille per l'aiuto.

fraizzo

29-01-2008, 13:12

Ma allora riesci ad accedere a Windows? O ho capito male la domanda?

No, non ci accedo, intendo cancellare quei file e quelle voci di registro a mano accedendo da un cd di boot

flashe

29-01-2008, 13:43

allora sembra che non ci sia nulla(vundofix era solo un di più) più reinstalla l'antivirus a fagli fare una scansione completa per sicurezza per i temp o vai in provvisoria

come antivirus nella guida ad un certo punto si parla di kasperski... quindi attualmente ho quello (dura 30 giorni) poi ripasserò ad avg oppure avast.... ok?

se posso dare un consiglio agli altri anche io non riuscivo ad avviare niente perchè mi diceva "applicazoine win32 non valida ecc" ... allora sono riuscito ad entrare in provvisoria ed usare i tool di scansione accendendo come admin anzichè come utente tradizionale (anche se aveva cmq privilegi di admin)

:)

Grazie a nuz lancetta e tutti quelli che mi hanno aiutato ;)

lancetta

29-01-2008, 14:50

come antivirus nella guida ad un certo punto si parla di kasperski... quindi attualmente ho quello (dura 30 giorni) poi ripasserò ad avg oppure avast.... ok?

se posso dare un consiglio agli altri anche io non riuscivo ad avviare niente perchè mi diceva "applicazoine win32 non valida ecc" ... allora sono riuscito ad entrare in provvisoria ed usare i tool di scansione accendendo come admin anzichè come utente tradizionale (anche se aveva cmq privilegi di admin)

:)

Grazie a nuz lancetta e tutti quelli che mi hanno aiutato ;)

bene ottimo suggerimento..comunque dopo il kasper ti consiglierei Avira Antivir settato come dice qui
http://www.hwupgrade.it/forum/showthread.php?t=1514684

ottimo davvero...;)

Saluti :cool:

Nuz

29-01-2008, 14:59

No, non ci accedo, intendo cancellare quei file e quelle voci di registro a mano accedendo da un cd di boot

Allora si, cerca quei file e quelle voci di registro. Poi ti consiglio anche di eseguire i programmi di sicurezza che trovi in ubcd4win (antivir, superantispyware, ecc.).

NightSky256

29-01-2008, 15:27

Grazie mille per la guida è stata utilissima per rimuovere una di quelel che penso siano una delle ultime varianti del virii.

In ogni caso vorrei segnalare un passaggio che forse per molti è sembrato banale ma a me ha fatto perdere molto tempo...

Il virus opera alla "vecchia maniera" cioè rovina di peso gli eseguibili dei programmi antivirus.

Io pensavo che funzionasse tipo i vari virtual mode che mettono qualcosa nel registro per non fare eseguire certi eseguibili.

E dunque ho pensato per diverse ore che l'antivirus non partiva perchè c'era qualcosa di ancora rovinato nel registry...

Reinstallando Kaspersky 7.0 è tutto rientrato nella normalità....

Altro consiglio...

STATE LONTANI da avg e avast... saranno anche free, ma forse 30-50 euro spesi 1 volta all'anno evitano ore ed ore di malditesta...

Alla fine del m ese di prova penso comprerò kasp. 7 mi sembra molto buono... che dite... pagare per pagare, c'è di meglio ingiro ?

fraizzo

29-01-2008, 15:32

Allora si, cerca quei file e quelle voci di registro. Poi ti consiglio anche di eseguire i programmi di sicurezza che trovi in ubcd4win (antivir, superantispyware, ecc.).

Ma che voi sappiate è prerogativa del virus quello di riavviare il server una volta fatto il boot?

murack83pa

29-01-2008, 15:38

......

da quello che ho visto fin'ora, ne nod32 ne kaspersky sono immuni da bagle....:rolleyes:

Chill-Out

29-01-2008, 16:03

da quello che ho visto fin'ora, ne nod32 ne kaspersky sono immuni da bagle....:rolleyes:

con Kav/Kis 7 Bagle ha vita dura, l'unica antivirus immune dal Bagle è il CERVELLO

BianconiglioRoma

29-01-2008, 16:27

ovviamente sono nel pallone più totale.

ho effettuato un controllo con Norman Malware Cleaner
del quale posto il log
ho rimosso l'antivirus kasper

all'avvio del pc in modalità normale è nuovamente partito elibagla in automatico...

ripeto tutta la procedura dall'inizio?
cosa faccio?

scusate per il gran casino...
davide

yuk_it

29-01-2008, 16:37

Dunque dunque... da bravo pirlotto ho pigliato anche io il beagle... :muro:
Nel senso credo di averlo preso.. Non mi va più nod e ho un file mdelk.exe... :doh:

Cosa ho fatto...
Scarico gmer (non dal link che c'è nel primo messaggio ((la guida)) di questa discussione, perché non funzia) dal sito gmer.net
Già questo non mi funziona... :cry: mi esce un messaggio con scritto gmer.dll non è un immagine valida di windows. Verificare con il dischetto di installazione :mbe:

VAbbeh
ho detto chissene.. passo al passo successivo... :D

Ho scaricato elibagla e questo è il risultato:

C:\Programmi\Hewlett-Packard\{45B6180B-DCAB-4093-8EE8-6164457517F0}\HPHUPD05.EXE --> Eliminado Bagle.dldr

Nº Total de Directorios: 11583
Nº Total de Ficheros: 149940
Nº de Ficheros Analizados: 12419
Nº de Ficheros Infectados: 2
Nº de Ficheros Limpiados: 1

Ho riavviato e scaricato avenger, come da guida, ma non parte... solita frase non è un applicazione di win32 valida :help:

Che devo fà?
:cry:

Chill-Out

29-01-2008, 16:47

I log vanne allegati secondo le seguenti modalità:
MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

● se il relativo txt generato è max 20 kb, allegato alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
● se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere hostato su FileUP clicca qui per raggiungere FileUP (http://www.fileup.itadib.com/index.php), pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download

PER TUTTI
Avenger scaricalo da qui e dagli in pasto lo script indicato in guida
http://www.wikifortio.com/630243/AntiBagle.zip

Nuz

29-01-2008, 17:59

yuk_it

29-01-2008, 18:16

Avenger scaricalo da qui e dagli in pasto lo script indicato in guida
http://www.wikifortio.com/630243/AntiBagle.zip[/QUOTE]

Ho fatto tutti gli step successivi...
Ecco il post di hijack se volete dargli un occhiata... Grassie :sofico:

Chill-Out

29-01-2008, 18:25

Avenger scaricalo da qui e dagli in pasto lo script indicato in guida
http://www.wikifortio.com/630243/AntiBagle.zip

Ho fatto tutti gli step successivi...
Ecco il post di hijack se volete dargli un occhiata... Grassie :sofico:[/QUOTE]

Allega il log di Avenger

yuk_it

29-01-2008, 18:28

ekkila =)

BianconiglioRoma

29-01-2008, 18:39

dunque
è tutto il pomeriggio che smanetto con vari programmi che controllano online...
purtroppo ho fatto un gran casino...
vediamo quali sono i punti fermi

elibagla mi ha eliminato qualcosa, come da log che ho postato prima.
sono riuscito ad accedere alla modalità provvisoria, fatto diverse scansioni con norman cleaner e un'altra cosa... che ovviamente non riuscirò mai a recuperare il log

e poco fa finalmente sono riuscito a far partire avenger, scaricandolo dal link che avete postato (quello mega lab)
e di quello posto il log
ho riavviato il pc e mi è apparso un msg di errore per exception eccezione software per il file pctstray.exe

dunque, come procedo?
comunque ogni volta che riavvio il pc si riattiva il ripristino configurazione di sys

grazie

Polonio

29-01-2008, 18:44

scusate se mi ALLEGO anch'io.....

anche io mi sono preso il Beagle, ma a causa sua adesso non mi si accende più nemmeno il computer....:mc:
ossia ,all'accensione, l'avvio di Windows viene sospeso da una bellissima schemrata blu a sfondo bianco in cui mi si comunica che il computer non si può avviare probabilmente a causa del driver srosa.sys, che se non sbaglio e uno dei file creati da Beagle....

grazie al live cd di Ubuntu ora riesco comunque ad usare il computer, ma speravo si potesse risolvere il problema.....

grazie in anticipo a tutti (nella speranza) che sappiate aiutarmi
ciao

BianconiglioRoma

29-01-2008, 20:07

ho fatto una scansione con hijack intanto così per vedere se funzionava

che ne dite?

http://www.zshare.net/download/699709018e6bd0/

Nuz

29-01-2008, 20:10

Nuz

29-01-2008, 20:17

ho fatto una scansione con hijack intanto così per vedere se funzionava

che ne dite?

http://www.zshare.net/download/699709018e6bd0/

Effettua uno scan con gmer e dicci se ci sono righe rosse:

http://www.gmer.net/gmer.zip

Poi accedi in modalità normale e installa Antivir o la trial di Kaspersky. Ed effettua una scansione.

P.S. Se prima avevi Norton allora prima di installare un nuovo antivirus devi usare il Norton Removal Tool.

Polonio

29-01-2008, 20:25

tradotto in un linguaggio x ritardati, cosa intendi per "accesso alle partizioni"???:what: e quindi come trovo questi file sul mio computer se non mi fà più accedere al disco rigido (C) e mi rimane solo un hard disk dati(G)??:cry:
poi mi sembra di aver capito che il fatto che non posso accedere a C:// è per un "problema" di ubuntu o in generale di linux per "montare" i dischi....... si può risolvere???

sunto: state parlando con un semi-deficiente (se non del tutto) nei pc, e se qualche anima pia deciderà di aiutarmi "dovrà" cercare di farsi capire... il che (ammetto) potrebbe non essere un impresa da tutti...

please.....:help: me!!!!

grazie in anticipo a tutti

Nuz

29-01-2008, 20:35

Accesso alle partizioni vuol dire che dal cd di ubuntu vedi c: e puoi agire sui file.
Comunque già mi hai risposto.
Un modo per accedere al pc è usare un cd bootable:

www.ubcd4win.com

Per realizzare il cd serve un altro pc tuo o di un amico per farlo.

Polonio

29-01-2008, 20:50

avevo già fatto un cd con "Ultimate Boot Cd 4 e qlks.." (scaricato da: http://www.ultimatebootcd.com/download.html (qui)) però mi accorgo ora che non so se ho utilizzato la versione per Windows....

oltre a questo il cd si può comunque fare da Ubuntu (come dicevo ho già fatto Ultimate Boot Cd) e il cd cell'ho, ma inserendolo mi appaiono tante belle opzioni in inglese di cui però non so che farci....

Come dicevo il cd cell'ho e mi pareva che funzionava, ma non so che devo fare....
Se invece quello che ho non va bene posso scaricare l'altra versione....

fammi sapere

grazie mille

Chill-Out

29-01-2008, 20:50

ekkila =)

Dai un'altra passata di EliBagla in modalità provvisoria F8, poi reinstalla l'antivirus aggiornalo e fai una scanione completa del sistema.

BianconiglioRoma

29-01-2008, 21:00

Effettua uno scan con gmer e dicci se ci sono righe rosse:

http://www.gmer.net/gmer.zip

Poi accedi in modalità normale e installa Antivir o la trial di Kaspersky. Ed effettua una scansione.

P.S. Se prima avevi Norton allora prima di installare un nuovo antivirus devi usare il Norton Removal Tool.

allora
pare che non ci siano righe rosse

a questo punto ho un paio di domande:
devo comuinque effettuare i passaggi con panda antirootkit e cc cleaner?

a me il file di hijack mi sembra alquanto lungo è normale?

devo dinstallare e rinstallare windows live one care e spyware doctor? mi sembra siano entrmabi andati del tutto

grazie ancora di tutto, senza di voi non ci sarei riuscito.

Nuz

29-01-2008, 21:04

allora
pare che non ci siano righe rosse
Bene
a questo punto ho un paio di domande:
devo comuinque effettuare i passaggi con panda antirootkit e cc cleaner?
Male non fanno.
a me il file di hijack mi sembra alquanto lungo è normale?
Dipende da quanto è lungo. Comunque postalo.
devo dinstallare e rinstallare windows live one care e spyware doctor? mi sembra siano entrmabi andati del tutto
Se non funzionano reinstallali.

Comunque devi procede ad una scansione antivirus.

thedoctor85

29-01-2008, 21:13

sta ca@@o di variante è più rompiballe del solito..ripassa l'elibagla in normale ed un altra volta in modalità provvisoria (F8 al riavvio del pc) poi di nuovo avenger con log e l'ultimo log di elibagla ;)

qui credo di aver risolto ho fatto la scansione con kaspersky dal cd di rispristino, da bitdefender (installato), panda antirootkit, ccleaner e hijack, di cui allego report.
Non so davvero come ringraziarvi per il tempo dedicatomi http://forum.tntvillage.org/tntforum/html/emoticons/birra.gif

Chill-Out

29-01-2008, 21:17

Vedo BitDefender in Run, buon segno ;) il log è pultio, ciao.

Polonio

29-01-2008, 21:26

scusatemi se insisto, ma andare avanti con un live cd è una (rottura di p***e) grande scocciatura.....

qui credo di aver risolto
grazie ancora di tutto, senza di voi non ci sarei riuscito.
il log è pultio
ecc. ecc.

Non è che tra tutti questi miracolati riuscite a fare il miracolo anche con me?? che tutti questi BEATI fanno invidia a me comune mortale..... :( ....

No comunque apparte tutto da solo non sò davvero cosa fare...

Nuz

29-01-2008, 21:32

L'altra alternativa più rapida è fare un ripristino di Windows. fai il boot dal cd di windows. Arrivato alla schermata principale ti chiede se vuoi installare Xp. Scegli questa opzione. Verrà rilevata la precedente installazione. Ti verra chiesto se vuoi ripararla (mi pare che devi premere R). Poi procederà come se stesse facendo una nuova installazione riparando Xp.

P.S. se ritrovo la guida con immagini ti posto il link.

http://www.windowsreinstall.com/winxppro/installxpcdrepair/indexfullpage.htm

Polonio

29-01-2008, 21:42

oddio non trovo il cd:doh: ........ si può scaricare o qualcosa??

e cmq ho win 2000... è uguale??

ps: ti faranno santo :angel: ...

Nuz

29-01-2008, 21:45

oddio non trovo il cd:doh: ........ si può scaricare o qualcosa??

(ti faranno santo :angel: ...)

L'importante è che tu abbia una licenza valida e il cd contenga lo stesso sistema operativo.

La procedura con Win 2000 non la conosco. Ma pare di si:

http://www.mydigitallife.info/wp-content/uploads/2006/11/dreampack1.jpg

Polonio

29-01-2008, 21:47

la licenza originale cell'ho.... ossia di originale (per il momento) mi resta solo il seriale...... i cd si sono persi nei meandri dei contenitori....

Polonio

29-01-2008, 21:52

http://www.mydigitallife.info/wp-con...dreampack1.jpg
ma è normale che il link porta a questo??
http://www.mydigitallife.info/wp-content/uploads/2006/11/dreampack1.jpg

se si che devo fare??

Nuz

29-01-2008, 22:03

Non conosco la procedura di installazione di Win 2000, ma è simile a quella di Xp.

Edit: ecco il link:

http://www.windows2000.windowsreinstall.com/Repair/

Polonio

29-01-2008, 22:12

a ok grazie
What you will require to do this walkthrough is:

1. A Windows 2000 Professional CD

Ecco qui avrei un problemino....

BianconiglioRoma

29-01-2008, 22:23

il mio hikack

c'è qualcosa da correggere?

http://www.zshare.net/download/700064027be9bc/

Nuz

29-01-2008, 22:36

il mio hikack

c'è qualcosa da correggere?

http://www.zshare.net/download/700064027be9bc/

Fixa queste voci:

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe (file missing)

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe (file missing)

O16 - DPF: {ADACAA8F-3595-47FE-9C31-9C7471B9BEC7} (OCXDownloadChecker Control) - http://87.22.159.74/cab/OCXChecker_8000.cab

O16 - DPF: {DBAFE6AD-DC14-45DF-A3F7-F8832289A1CD} (DownloadFile Control) - http://87.22.159.74/cab/DownloadFile_8110.cab

Rimuovi Windows live one care e installa Antivir. Aggiorna anche Java alla versione 1.6.0.4

BianconiglioRoma

29-01-2008, 22:45

grazie grazie grazie grazie

murack83pa

30-01-2008, 12:56

a ok grazie

Ecco qui avrei un problemino....

il tuo nn è un problemino, è un problemone....peggio di chi perde la garanzia di un prodotto.....

devi trovare assolutamente il cd....:rolleyes:

nn so se è possibile, xò l'unica soluzione sarebbe contattare l'assistenza e vedere se te ne mandano una copia o qualkosa del genere...

Polonio

30-01-2008, 13:23

ci potrebbe anche essere qualcuno che salva il cd sul pc come file iso, e poi mi rifaccio il cd.....

ma chi ha ancora il cd di WIndows 2000???

il computer lo devo cambiare proprio in questi giorni, ma di lasciar morire cos= questo e perdere tutti i dati....

fly7

30-01-2008, 15:59

anche io ho lo stesso problema di non riuscire ad installare ne a far funzionare qualsiasi antivirus.Vi prego aiutatemi.ho seguito tutta la Vostra procedura ma non riesco a risolvere il problema.qui sotto vi posto il log hijackthis e il risultato della scansione con KASPERSKY ONLINE SCANNER REPORT.Come poso risolvere il problema?Grazie :muro:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16.44.13, on 30/01/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Hamlet\Adsl\dslstat.exe
C:\Program Files\Hamlet\Adsl\dslagent.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Programmi\WebcamMax\CAMTHINS.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\File comuni\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\Hamlet\Adsl\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\Hamlet\Adsl\dslagent.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programmi\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programmi\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [WebcamMaxMoniter] "C:\Programmi\WebcamMax\CAMTHINS.exe" /m
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] C:\Programmi\Logitech\Video\ManifestEngine.exe boot
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Active Desktop Calendar] C:\Programmi\XemiComputers\Active Desktop Calendar\ADC.exe
O4 - HKCU\..\Run: [drvsyskit] C:\WINDOWS\system32\drivers\hldrrr.exe
O4 - HKCU\..\Run: [german.exe] C:\WINDOWS\system32\wintems.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab2.cab
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://cid-8c395142a7e5f2a6.spaces.live.com/PhotoUpload/MsnPUpld.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3018F033-4A7D-4473-AA38-CED371DE59C5}: NameServer = 213.205.36.70 213.205.32.70
O17 - HKLM\System\CS1\Services\Tcpip\..\{3018F033-4A7D-4473-AA38-CED371DE59C5}: NameServer = 213.205.36.70 213.205.32.70
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Google Desktop Manager 5.7.801.1629 (GoogleDesktopManager-010108-205858) - Google - C:\Programmi\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\File comuni\PCSuite\Services\ServiceLayer.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

--
End of file - 7571 bytes

-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
Tuesday, January 29, 2008 4:04:48 PM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.98.0
Kaspersky Anti-Virus database last update: 29/01/2008
Kaspersky Anti-Virus database records: 535353
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: extended
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\

Scan Statistics:
Total number of scanned objects: 135850
Number of viruses found: 9
Number of infected objects: 58
Number of suspicious objects: 0
Duration of the scan process: 07:41:14

Infected Object Name / Virus Name / Last Action
A:\[SOFTWARE] keyfinder.v1.4b4\keyfinder.exe/data.rar/xpkey.exe Infected: not-a-virus:PSWTool.Win32.RAS.a skipped
A:\[SOFTWARE] keyfinder.v1.4b4\keyfinder.exe/data.rar/officekey.exe Infected: not-a-virus:PSWTool.Win32.RAS.a skipped
A:\[SOFTWARE] keyfinder.v1.4b4\keyfinder.exe/data.rar Infected: not-a-virus:PSWTool.Win32.RAS.a skipped
A:\[SOFTWARE] keyfinder.v1.4b4\keyfinder.exe RarSFX: infected - 3 skipped
C:\Documents and Settings\All Users\Dati applicazioni\Microsoft\Network\Downloader\qmgr0.dat Object is locked skipped
C:\Documents and Settings\All Users\Dati applicazioni\Microsoft\Network\Downloader\qmgr1.dat Object is locked skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\AutoUpdateWin31.dll.bac_a02368 Infected: not-a-virus:AdWare.Win32.Agent.bm skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\b64_1[1].jpg.bac_a02368 Infected: Trojan-PSW.Win32.Agent.xd skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\b64_2[1].jpg.bac_a02368 Infected: Trojan.Win32.Pakes.bwy skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\keyfinder.exe.bac_a02368/data.rar/xpkey.exe Infected: not-a-virus:PSWTool.Win32.RAS.a skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\keyfinder.exe.bac_a02368/data.rar/officekey.exe Infected: not-a-virus:PSWTool.Win32.RAS.a skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\keyfinder.exe.bac_a02368/data.rar Infected: not-a-virus:PSWTool.Win32.RAS.a skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\keyfinder.exe.bac_a02368 RarSFX: infected - 3 skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\keyfinder.exe.bac_a02368 CryptFF.b: infected - 3 skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\ManifestEngine.exe boot.bac_a02368 Infected: Trojan-Downloader.Win32.Bagle.it skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\mirc.exe.bac_a02368 Infected: not-a-virus:Client-IRC.Win32.mIRC.602 skipped
C:\Documents and Settings\ciro\.housecall6.6\Quarantine\WindowsUpdates.exe.bac_a02368 Infected: not-a-virus:AdWare.Win32.Agent.bm skipped
C:\Documents and Settings\ciro\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\ciro\Dati applicazioni\XemiComputers\Active Desktop Calendar\Data\Active Desktop Calendar.xdat Object is locked skipped
C:\Documents and Settings\ciro\Dati applicazioni\XemiComputers\Active Desktop Calendar\Log\ADC Errors Log.txt Object is locked skipped
C:\Documents and Settings\ciro\Dati applicazioni\XemiComputers\Active Desktop Calendar\Log\ADC Internet Errors Log.txt Object is locked skipped
C:\Documents and Settings\ciro\Dati applicazioni\XemiComputers\Active Desktop Calendar\Log\ADCLog.log Object is locked skipped
C:\Documents and Settings\ciro\Documenti\emule download\flin4pay 2006 1.9.zip/flin4pay 2006 1.9.exe Infected: Trojan-Downloader.Win32.Bagle.in skipped
C:\Documents and Settings\ciro\Documenti\emule download\flin4pay 2006 1.9.zip ZIP: infected - 1 skipped
C:\Documents and Settings\ciro\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\ciro\Impostazioni locali\Cronologia\History.IE5\MSHist012008012920080130\index.dat Object is locked skipped
C:\Documents and Settings\ciro\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\ciro\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\3IMV7QVQ\b64_2[1].jpg Infected: Trojan.Win32.Pakes.bwy skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\3IMV7QVQ\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\3IMV7QVQ\b64_31[2].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\81S7SCQJ\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\IVH82YB9\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\KCUP64K1\b64_1[1].jpg Infected: Trojan-PSW.Win32.Agent.xd skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\KCUP64K1\b64_1[2].jpg Infected: Trojan-PSW.Win32.Agent.xd skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\KCUP64K1\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\NVJXU0YE\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\NVJXU0YE\b64_31[2].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\XEXP5EK5\b64_1[1].jpg Infected: Trojan-PSW.Win32.Agent.xd skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\XEXP5EK5\b64_2[1].jpg Infected: Trojan.Win32.Pakes.bwy skipped
C:\Documents and Settings\ciro\Impostazioni locali\Temporary Internet Files\Content.IE5\ZSSI0D03\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\ciro\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\ciro\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\LocalService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\NetworkService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked skipped
C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\logs\starwind.2008-01-29.07-08-42.log Object is locked skipped
C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP120\A0017228.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP121\A0017265.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP124\A0017379.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP125\A0017404.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP126\A0017417.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP126\A0017418.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP126\A0017422.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0017432.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0017433.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0017434.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018432.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018449.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018450.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018451.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018463.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018500.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018501.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018600.exe Infected: not-a-virus:AdWare.Win32.Agent.bm skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018601.dll Infected: not-a-virus:AdWare.Win32.Agent.bm skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018607.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018657.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018669.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018683.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018831.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018840.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018876.sys Infected: Trojan-Downloader.Win32.Bagle.iu skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\A0018892.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{0A624AA1-5832-454D-93EB-DA8C9C9F4103}\RP127\change.log Object is locked skipped
C:\WINDOWS\$hf_mig$\KB890859\SP2QFE\ntoskrnl.exe Object is locked skipped
C:\WINDOWS\$hf_mig$\KB931784\SP2QFE\ntoskrnl.exe Object is locked skipped
C:\WINDOWS\$NtUninstallKB890859$\ntoskrnl.exe Object is locked skipped
C:\WINDOWS\$NtUninstallKB931784$\ntoskrnl.exe Object is locked skipped
C:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped
C:\WINDOWS\Driver Cache\i386\ntoskrnl.exe Object is locked skipped
C:\WINDOWS\SchedLgU.Txt Object is locked skipped
C:\WINDOWS\Sti_Trace.log Object is locked skipped
C:\WINDOWS\system32\config\Antiviru.evt Object is locked skipped
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\default Object is locked skipped
C:\WINDOWS\system32\config\default.LOG Object is locked skipped
C:\WINDOWS\system32\config\Internet.evt Object is locked skipped
C:\WINDOWS\system32\config\SAM Object is locked skipped
C:\WINDOWS\system32\config\SAM.LOG Object is locked skipped
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\SECURITY Object is locked skipped
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped
C:\WINDOWS\system32\config\software Object is locked skipped
C:\WINDOWS\system32\config\software.LOG Object is locked skipped
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\system Object is locked skipped
C:\WINDOWS\system32\config\system.LOG Object is locked skipped
C:\WINDOWS\system32\h323log.txt Object is locked skipped
C:\WINDOWS\system32\mdelk.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked skipped
C:\WINDOWS\wiadebug.log Object is locked skipped
C:\WINDOWS\wiaservc.log Object is locked skipped

Scan process completed.

murack83pa

30-01-2008, 16:04

fly: modifica il tuo post, i log nn vanno postati col copia/incolla, grazie

gentilmente modifica il tuo post(nn crearne uno nuovo) e cancelli i log che hai incollati e posti i log secondo quanto scritto qui (hai 2 opzioni):

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:
1- Se il log generato è max 20 kb, prima salvalo in formato .txt e poi allegalo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2- Se è superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere caricato su FileUp (http://www.fileup.itadib.com/index.php), pubblicando, per ogni log, il link che verrà rilasciato per il download.
E' preferibile pubblicare i log in un unico post, separatamente, non zippateli

bruj

30-01-2008, 16:17

murack83pa

30-01-2008, 16:22

salve a tutti... è da qulache giorno che quasi tutti i programmi relativi alla sicurezza non mi si avviano più ("l'applicazione non è win32 compatibile....")

ho scoperto di avere un bagle, e ho seguto la vostra guida... vi posto il log di elibagla!!!!

http://www.fileup.itadib.com/download.php?id=czob404qG15g5uElPlp7

grazie di tutto in anticipo!!!!!!!!

l'hai fatto girare in modalità provvissoria? vedi se c riesci

Chill-Out

30-01-2008, 16:23

salve a tutti... è da qulache giorno che quasi tutti i programmi relativi alla sicurezza non mi si avviano più ("l'applicazione non è win32 compatibile....")

ho scoperto di avere un bagle, e ho seguto la vostra guida... vi posto il log di elibagla!!!!

http://www.fileup.itadib.com/download.php?id=czob404qG15g5uElPlp7

grazie di tutto in anticipo!!!!!!!!

Scarica Avenger da qui: http://www.wikifortio.com/630243/AntiBagle.zip
inserisci lo script indicato in Guida dopodichè ridai una passata con EliBagla in modalità provvisoria F8 ed alleghi entrambi i log

tyuuyt

30-01-2008, 17:32

salve a tutti
volevo chiedere se il mio computer è affetto da un bagle o altro
questi sono i problemi che ho riscontrato dopo aver scaricato un file da emule:

1 blue screen (ogni tanto)
2 quando apro norton mi dice "ccapp.exe non è un applicazione di win32 valida"
3 collegamento wirless acceso, funzionante(secondo il computer) ma non utilizzabile
4 Il firewall di windows ha preso fuoco
5 windows defender non fa e quando cerco di aprirlo compare per mezzo secondo la scritta "impossibile inizializare l'applicaziopne....."
6 la memoria occupata nell' hd mi sembra diminuita (potrebbero essere allucinazioni da disperazione)
7 all'accesso a windows ogni tanto il sistema mi blocca 2 programmi automatici il primo è l'eseguiblie che ho preso da emule e il secondo non lo so
8 l'antivirus mi dice che non è un applicazione win32 valida e non me lo apre

Chill-Out

30-01-2008, 18:04

Bagle segui la Guida

NB: Avenger lo scarichi da qui: http://www.wikifortio.com/630243/AntiBagle.zip

Tauros

31-01-2008, 13:16

problema Bagle risolto con l' AVP removal tool linkatomi da Nuz......ho fatto una passata totale, poi in safemode mi ha fatto avviare avenger e con avenger ho estirpato il bastardo....

Thank You Nuz e a tutti ;) :D

bruj

31-01-2008, 16:07

Scarica Avenger da qui: http://www.wikifortio.com/630243/AntiBagle.zip
inserisci lo script indicato in Guida dopodichè ridai una passata con EliBagla in modalità provvisoria F8 ed alleghi entrambi i log

grazie mille!! ho risolto tutto!!!!! a presto!

bruj

31-01-2008, 16:08

l'hai fatto girare in modalità provvissoria? vedi se c riesci
grazie mille!! ho risolto tutto!!!!! a presto!

Ciarli

31-01-2008, 16:24

Gentilissimi Bugs Bunny e collaboratori, vorrei sfruttare questo mio primo post per ringraziarvi infinitamente per la guida molto ben fatta. Seguendo alla lettera i vari punti sono riuscito con successo ad eliminare il bagle che avevo erroneamente e inconsapevolmente installato sul mio pc. Come da voi suggerito ora attaccherò il file con il log di hijackthis. Nel qual caso vogliate spendere un pochino del vostro tempo per dagli un'occhiatina ve ne sarei molto grato. Vien da sè che nel qual caso troviate degli errori ancora presenti che posso eliminare sarebbe apprezzatissimo un vostro consiglio sul dafarsi.
Auguro a tutti il meglio per voi e per i vostri pc ;-)

P.S.: Siete i nostri vigili del fuoco che con diligenza vi mettete al servizio di noi "povera gente" e ci salvate dai guai nei quali ci cacciamo.

Nuz

31-01-2008, 16:42

Apri HJT e fixa:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.finderg.com

O8 - Extra context menu item: &Suchen - res://C:\WINDOWS\system32\Suchspur.dll/Suchspur.HTM

Sconosciuto
O17 - HKLM\System\CCS\Services\Tcpip\..\{AB0775C2-3161-4F48-B900-58F4632CC49A}: NameServer = 81.88.224.129,81.88.224.130

Se non lo conosci fixa anche questo:

O24 - Desktop Component 1: (no name) - h**p://www.tacabanda.it/

Poi scarica Fixwareout (http://downloads.subratam.org/Fixwareout.exe)

Lo lanci e ti chiede di installarlo. Alla fine lo esegui e accetta quello che ti chiede. Alla fine si dovrebbe aprire hijackthis con cui fai un nuovo log. Inoltre in C:\fixwareot\ trovi il report.txt che devi allegare.
Siccome agirà sui DNS alla fine riavvia e fai:

Pannello di controllo -->Connessioni di rete.
Clicca col tasto destro sulla connessione di rete.
Poi su proprietà.
Ora nella nuova finestra vai su Protocollo Internet (TCP/IP)
Clicca su Proprietà. Si apre un'altra finestra.
Seleziona Ottieni DNS Automaticamente.

Poi ancora scarica Avenger (http://swandog46.geekstogo.com/avenger.zip). Eseguilo e seleziona Input Script Manually, clicca sulla lente e inserisci:

Files to delete:
C:\WINDOWS\system32\Suchspur.dll

Clicca sul semaforo, accetta e riavvia quando richiesto.
Poi allega il log che trovi in c:\avenger.txt e un nuovo log di HiJackThis.

P.S. Per i log di HiJackThis c'è un thread apposito.

tyuuyt

31-01-2008, 17:40

scusate la mia ignoranza ma adesso con sto file cosa devo fare?

venturas

31-01-2008, 18:46

Thu Jan 31 14:49:18 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
Por favor, envienos una muestra del fichero
C:\Muestras\SROSA.SYS.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle Acceso Denegado.

Thu Jan 31 14:51:01 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios: 10619
Nº Total de Ficheros: 58305
Nº de Ficheros Analizados: 11504
Nº de Ficheros Infectados: 1
Nº de Ficheros Limpiados: 0

Thu Jan 31 14:58:48 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
Por favor, envienos una muestra del fichero
C:\Muestras\SROSA.SYS.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle Acceso Denegado.

Thu Jan 31 14:59:40 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios: 10619
Nº Total de Ficheros: 58345
Nº de Ficheros Analizados: 11504
Nº de Ficheros Infectados: 1
Nº de Ficheros Limpiados: 0

Thu Jan 31 15:43:41 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
Por favor, envienos una muestra del fichero
C:\Muestras\SROSA.SYS.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle Acceso Denegado.

Thu Jan 31 15:44:11 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\SROSA.SYS.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle Acceso Denegado.

Thu Jan 31 15:44:18 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios: 10590
Nº Total de Ficheros: 57831
Nº de Ficheros Analizados: 11380
Nº de Ficheros Infectados: 1
Nº de Ficheros Limpiados: 0

Thu Jan 31 16:11:30 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\SROSA.SYS.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.94
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle Acceso Denegado.

Thu Jan 31 16:12:08 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios: 10590
Nº Total de Ficheros: 57903
Nº de Ficheros Analizados: 11380
Nº de Ficheros Infectados: 1
Nº de Ficheros Limpiados: 0

Thu Jan 31 16:27:10 2008
EliBagle v10.94 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios: 147
Nº Total de Ficheros: 407
Nº de Ficheros Analizados: 39
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0
Exploración Detenida por el Usuario.

Thu Jan 31 19:19:38 2008
EliBagle v10.95 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.95
a "virus@satinfo.es". Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle Acceso Denegado.

Thu Jan 31 19:19:47 2008
EliBagle v10.95 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\Muestras\SROSA.SYS.MUESTRA ELIBAGLE V10.94 --> Eliminado Bagle (rootkit)

Nº Total de Directorios: 10641
Nº Total de Ficheros: 59159
Nº de Ficheros Analizados: 11407
Nº de Ficheros Infectados: 2
Nº de Ficheros Limpiados: 1

murack83pa

31-01-2008, 19:24

x favore venturas:

modifica il tuo post

i log nn vanno inseriti col copia incolla

clicca su modifica ,poi su avanzate e cancella il log che hai incollato e lo posti secondo quanto scritto qui di seguito:

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:
1- Se il log generato è max 20 kb, prima salvalo in formato .txt e poi allegalo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2- Se è superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere caricato su FileUp (http://www.fileup.itadib.com/index.php), pubblicando, per ogni log, il link che verrà rilasciato per il download.
E' preferibile pubblicare i log in un unico post, separatamente, non zippateli

PS: tyuuyt, attendi istruzioni

Chill-Out

31-01-2008, 19:34

scusate la mia ignoranza ma adesso con sto file cosa devo fare?

Scarichi Avenger da qui: http://www.wikifortio.com/630243/AntiBagle.zip

e inserisci lo Script indicato in Guida, ricorda di allegare il log per il controllo.

Luckylox

31-01-2008, 21:46

Dunque...

.....colgo intanto l'occasione per postare il file di log dei miei complimenti ai realizzatori di questo post... sono affetto da bagle da poche ore, vi leggo da poche ore meno pochi minuti... e siete la mia ancora di salvezza...

...andiamo al dunque..

...ho scaricato elibagla... l'ho avviato in modalità provvisoria (non ho riscontrato problemi ad avviarla...)

ho avviato l'utility, e mi è apparsa una piccola finestrella che recitava "Por favor envienos muestra del fichero C:\muestras\HLDRRR.exe Muestra Elibagle v.10.95 a "virus@satinfo.es" gracias."

...

...sono andato avanti, e per prima cosa ho dato uno scan all'unita C, dove la piccola utility mi ha trovato 6 o 7 varianti infette e me le ha correttamente eliminate, a parte qualche cartella non ispezionata, poichè il programma non aveva accesso consentito. (???)

...ma...

...quando sono passato all'ispezione dell'unità D:, quella fra l'altro dove ha messo piede per la prima volta il Bagle, dopo un po il programmino è andato in crash e si chiudeva automaticamente.

Ho provato e riprovato, ma nulla.

Cosi ho fatto ripartire il sistema in modalità normale ed ho avviato nuovamente l'utility. A parte le cartelle 'vietate', che stavolta erano molte di piu, il programmino non ha rilevato segni di bagle su C:.

....ma non riesco ad esaminare D! Elibagle va in crash dopo una trentina di secondi e non riesco a capire perche'.

Premetto che ho disattivato il ripristino di configurazione automatica gia' prima di eseguire EliBagla per la prima volta.

In attesa di una vostra risposta, vi ringrazio anticipatamente.

Rock'n'Roll.

murack83pa

31-01-2008, 21:51

posta il log....:rolleyes:

lancetta

31-01-2008, 21:52

Luckylox

31-01-2008, 21:54

Grazie!

Dunque, questo è il file di log di Elibagle

Dagli un'occhiata...

EDIT... scusate per il log esteso... Ho gia rimediato. ;)

EDIT2...dimenticavo....il tutto gira su Win Vista 32.

Knv

01-02-2008, 10:55

Buongiorno a tutti ragazzi, sono nuovo del Forum ma è da tutta la settimana che vi seguo.....La ragione pare tristemente ovvia, anche qui siamo riusciti a prenderci una bella versione del BEGLE, più precisamente la variante MDELK.exe/BEGLE.

Premesso che ho letto praticamente tutte le 63 pagine (non proprio tutte si intenda) :P Temo tuttavia che il mio caso pare esser ancora peggiore.

Il virus si è insediato sul server (HP Proliant ML350 G5 - Windows Small Businness Server 2003) e come da consueto, non mi funziona più alcun tipo di safety software (Nod32, Avast, Antivir, Kaspersky, Spybot, Panda ecc ecc) alcuni non li fa installare, altri da l'ovvio messaggio di "applicazione win32 non valida".
Alla stessa maniera, l'Avenger (AntiBagle) non mi funziona e restituisce il seguente errore : Applicazione valida solo per Windows2000 o WinXp.

L'unico software a dare segni di vita è l'hijackthis....Eccovi il LOG....Vi prego è una settimana che vado avanti a provarle tutte (ivi compreso l' EliBagle che trova il virus ma in nessun modo lo elimina, l'avrò passato 15 volte)

Ancora grazie

Chill-Out

01-02-2008, 11:02

Per favore i log in formato .txt, thx.

tyuuyt

01-02-2008, 11:31

ho lo stesso problema di knv:

avenger non parte:

"fatal error:unsupported version of windows! this program will run only on windows 2000 or xp"

poi mi dice anche

"error code: 0
could not log error --- aborting now!"

L'altro programma mi da come risultato della scansione questo file

Chill-Out

01-02-2008, 11:50

Per forza hai Vista, vedi se riesci ad accedere alla modalità provvisoria F8, se si, rilancia EliBagla ed allega il log, poi prova a reinstallare l'antivirus.

Knv

01-02-2008, 12:55

Chill-Out ho editato il mio post di prima mettendo il file in formato TXT...dici che non ho speranze?

Luckylox

01-02-2008, 13:22

Dunque... forse sono riuscito a risolvere.

Faccio una breve scheda cronologica dello sviluppo del problema:

-Individuazione Bagle.
-Disattivata ripristino conf. sys.
-Modalità provvisoria-->Scansione EliBagla su C:--->individuate varianti di bagle ed eliminate
-Modalità provvisoria--->EliBagla su D:---crash dell'applicazione
-Modalità Normale--->EliBagla in C:--->Nessun problema rilevato
-Modalità normale-->EliBagla in D:--->crash dell'applicazione.
-Download ed installazione di AntiVir--->Scansione completa C, D, e rootkit
-Individuazione e rimozione di altre varianti di Bagle.
-Esecusione di HiJackThis

HiJackthis mi segnala 2 problemi...

1--->For some reason your system denied write access to the Hosts file. If anyhijacked domains are in this file, HJT may NOT be able to fix this

If that happens, you need to edit the file yourself, To do this...

2--->An unexpected error has occurred at procedure: modMain_CheckOther1Item()
Error #75 - Path/File access error

Please email me at merijn@spywareinfo.com, reporting the following:
* What you were trying to fix when the error occurred, if applicable
* How you can reproduce the error
* A complete HijackThis scan log, if possible

Windows version: Windows NT 6.00.1904
MSIE version: 7.0.6000.16386
HijackThis version: 1.99.1

This message has been copied to your clipboard.
Click OK to continue the rest of the scan.

Allego i file di log di tutti gli scan di Antivir

C'è qualcuno che magari da' un'occhiata giusto per vedere se il problema è stato circoscritto e risolto o se devo ancora lavorarci su?

Grazie in anticipo.

Chill-Out

01-02-2008, 14:18

Chill-Out ho editato il mio post di prima mettendo il file in formato TXT...dici che non ho speranze?

Fai girare EliBagla ed allega il log

Silveraine

01-02-2008, 15:06

Salve a tutti, mi sono appena iscritta al Forum, e sto cercando di seguire la guida iniziale per sconfiggere il Bagle.
Sistema operativo XP Home.
AVG free disattivato e reso inutilizzabile.
Vari antitrojan non partono (applicazione W32 non valida....)
Allora, ho disattivato il ripristino di sistema.
Ho fatto partire elibagle, ne ha trovati cinque e ne ha rimossi 3.
Allego il log di una seconda scansione fatta dove ne risultano solo i due che resistono :

http://www.fileup.itadib.com/download.php?id=a2mfi73oqKcXuPmdLHzu
-------------------------------------------------------------

Da una verifica manuale, anche selezionando "mostra file di sistema nascosti"

Wintems.exe
neanche srosa.sys

non sono visibili

hdrrr.exe si vede

Nella finestra del programma elibagle pero' risultavano due files :
Hldrrr.exe > Bagle dldr
e
Mdelk.exe > Bagle

Quest'ultimo è visibile nel system 32.

Ho provato ad entrare in modalita' provvisoria anche se non sono una esperta, ma mi si apre una finestra che indica soltanto :
Select boot device
ed elenca floppy e sigle degli HD (ne ho tre e non so quale sia C:) e del Masterizzatore del lettore.
Penso quindi di non poter accedere al safeboot.....

Ho completamente disistallato avg - ormai inutile.
Come prossimo passo cosa faccio ?
Istallo Karpesky ?

Riusciro' ad installarlo, o il bagle me lo impedira' ?
Attendo fiduciosa una risposta.... e incrocio pure le dita, non vorrei dover formattare !

Grazie !

HO MODIFICATO IL LOG::::SORRY !
e grazie....
Silveraine

murack83pa

01-02-2008, 15:10

benvenuta

gentilmente, modifica il tuo post: il log nn va incollato in questo modo, rende la sua lettura difficile

modifica il tuo post precedente, clicca sul pulsante modifica, poi avanzate e cancelli il log incollato e posta il log di elibagle in uno dei seguenti modi:

1)la funzione allegati, rinominando i log in formato txt
2)caricare il log su FileUp (http://www.fileup.itadib.com/index.php), copiando qui i link x il download
è preferibile l'ultima opzione
bye bye