[GUIDA] Rimuovere trojan vundo/Virutumonde - leggere le Regole di Sezione!!

[Clooster]

Ciao a tutti
Riscontro di nuovo il problema che si aprono pagine internet nn volute.
Qualcuno potrebbe controllare questo log:
http://www.mediafire.com/file/edomzhmoiwt/hijackthis.log

Grazie siete sempre molto gentili e temepstivi :-)

[Chill-Out]

Ciao a tutti
Riscontro di nuovo il problema che si aprono pagine internet nn volute.
Qualcuno potrebbe controllare questo log:
http://www.mediafire.com/file/edomzhmoiwt/hijackthis.log

Grazie siete sempre molto gentili e temepstivi :-)

Non si tratta del Vundo il problema è un altro, comunque rimaniamo qui tra poco ti posto la procedura :)

1 Disattiva il Ripristino Configurazione Sistema:

Windows Vista

Start
Pannello di controllo
seleziona Sistema e manutenzione
seleziona l’icona Sistema
nel menu a sinistra clicca su Protezione sistema
togli la spunta alle voci che fanno riferimento ai dischi ai quali disattivare il Ripristino configurazione di sistema
Confermare come da richiesta

Riattivate il Ripristino Configurazione Sistema solo a disinfezione terminata

2 Pulizia dei file temporanei:

ATF Cleaner Download (http://www.atribune.org/ccount/click.php?id=1) - Guida all'utilizzo (http://www.hwupgrade.it/forum/showpost.php?p=24033021&postcount=2)
Compatibile: Windows XP - Vista
Caratteristiche: non necessita di installazione

3 Esegui HJT clicca su Do a system scan only e metti il segno di spunta nella casella bianca a sx delle sottoindicate voci e clicca su Fix cheked:

O4 - HKCU\..\Run: [edsqp] "c:\users\rocco\appdata\local\edsqp.exe" edsqp


4 Fai girare questo tool:

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza


Riepilogo log da allegare:
Combofix
Nuovo log HJT


NB: i log vanno allegati secondo le modalità che trovi nelle Regole di sezione in firma

Ciao

[Clooster]

Ok..Aspetto :)

[Chill-Out]

Ok..Aspetto :)

Fatto guarda il mio post precedente

[Clooster]

Grazie Chillout ma,
quando apro proprieta' del sistema mi appare la seguente schermata:
Errore imprevisto nella pagina delle proprietà
il sistema copia Shadow del volume utilizzato da ripristino configurazione di sistema non funziona. Per ulteriori informazioni visulaizzare il registro eventi. (0x81000202).
Chiudere la pagina delle proprietà e riprovare.
:help:

[Chill-Out]

Grazie Chillout ma,
quando apro proprieta' del sistema mi appare la seguente schermata:
Errore imprevisto nella pagina delle proprietà
il sistema copia Shadow del volume utilizzato da ripristino configurazione di sistema non funziona. Per ulteriori informazioni visulaizzare il registro eventi. (0x81000202).
Chiudere la pagina delle proprietà e riprovare.
:help:

Sei loggato come Amministratore?

[Clooster]

Sei loggato come Amministratore?
No..non credo , perke' il pc che uso non è il mio ce l'ho in prestito

[Clooster]

Sei loggato come Amministratore?

Allora ho controllato..si sono loggato come amministratore nn esistono ulteriori account.

[Chill-Out]

Allora ho controllato..si sono loggato come amministratore nn esistono ulteriori account.

Per il momento salta il Punto 1 e procedi con i successivi

[Clooster]

Per il momento salta il Punto 1 e procedi con i successivi

Ecco i 2 log..come detto ho saltato il punto 1 della procedura:
http://www.mediafire.com/file/zd1jmdddynz/logcombofix.txt
http://www.mediafire.com/file/in0gdvtjyjk/hijackthis3

a presto :)

[wjmat]

Ecco i 2 log..come detto ho saltato il punto 1 della procedura:
http://www.mediafire.com/file/zd1jmdddynz/logcombofix.txt
http://www.mediafire.com/file/in0gdvtjyjk/hijackthis3

a presto :)

combo l'hai lanciato 2 volte cerca anche il primo log

[Clooster]

combo l'hai lanciato 2 volte cerca anche il primo log

Si hai ragione..l'ho lanciato 2 volte..la prima scansione l'ho fatta senza disconnettermi e senza bloccare l'AV che uso:muro:
ecco il log della prima scansione
ComboFix2.txt (http://wikisend.com/download/227086/ComboFix2.txt)

[Chill-Out]

Si hai ragione..l'ho lanciato 2 volte..la prima scansione l'ho fatta senza disconnettermi e senza bloccare l'AV che uso:muro:
ecco il log della prima scansione
ComboFix2.txt (http://wikisend.com/download/227086/ComboFix2.txt)

Ok, oltre al problema che avevi evidenziato Combo ha eliminato una certa quantità di schifezze, aggiornami sullo stato di salute del PC

[Clooster]

Ok, oltre al problema che avevi evidenziato Combo ha eliminato una certa quantità di schifezze, aggiornami sullo stato di salute del PC

Cioè, se non ho più problemi?

Grazie della tempestività e disponibilità :)

[Chill-Out]

Cioè, se non ho più problemi?

Grazie della tempestività e disponibilità :)

Esatto, dimmi quali altri ed eventuali problemi riscontri

[indio68]

cio...ho fatto regolarmente scansione con spybot..e mi ha trovato i soliti doubleclik, vari che si beccano ogni votla si naviga (nonostante KAV7 sempre attivo e noscript)...mi ha rilevato 3 trojan (che KAV mancvo vedeva) ho corretto , ma delle 13 voci, una dice che non riesce a fixxarla...si tratta di Virtumonde.sci....sapete come fare epr debellarlo?? può essere quello che mi faceva faticare a chiudere il sistema visto che exploro.exe non si chiudeva mai da solo (appariva la finestra termina programma)e che mi frezzava spesso durante i giochi anche?
Grazie

[wjmat]

cio...ho fatto regolarmente scansione con spybot..e mi ha trovato i soliti doubleclik, vari che si beccano ogni votla si naviga (nonostante KAV7 sempre attivo e noscript)...mi ha rilevato 3 trojan (che KAV mancvo vedeva) ho corretto , ma delle 13 voci, una dice che non riesce a fixxarla...si tratta di Virtumonde.sci....sapete come fare epr debellarlo?? può essere quello che mi faceva faticare a chiudere il sistema visto che exploro.exe non si chiudeva mai da solo (appariva la finestra termina programma)e che mi frezzava spesso durante i giochi anche?
Grazie

ciao

segui la guida del primo post, in caso di problemi scansiona da modalità provvisoria

[indio68]

ciao

segui la guida del primo post, in caso di problemi scansiona da modalità provvisoria

ho risolto usando malvarebytes...al contrario di Spybot che segnalava , diceva che rimuoveva (tranne 1 )...appena ho scvansionato con malware me ne ha trovati 22 e rotti...debellati , alcuni dopo il riavvio...rifatta scansione e non trova + nulla...inutile dire che Spybot mi ha deluso e verrà soppiantato da malvarebytes....un'altra cosa..sono quasi sicuro che li ho rpesi molti quando ho voluto uogradare KAV7 all'8...però deluso dal calo di rpestazioni (forse dovuto ai nuovi Virtumonde) sono tornato alla 7.....mi rimangono 3 mesi di chiave...però non sono + molto contento di kaspersky....esiste qualcosa di fee valido?
grazie

[Chill-Out]

ho risolto usando malvarebytes...al contrario di Spybot che segnalava , diceva che rimuoveva (tranne 1 )...appena ho scvansionato con malware me ne ha trovati 22 e rotti...debellati , alcuni dopo il riavvio...rifatta scansione e non trova + nulla...inutile dire che Spybot mi ha deluso e verrà soppiantato da malvarebytes....un'altra cosa..sono quasi sicuro che li ho rpesi molti quando ho voluto uogradare KAV7 all'8...però deluso dal calo di rpestazioni (forse dovuto ai nuovi Virtumonde) sono tornato alla 7.....mi rimangono 3 mesi di chiave...però non sono + molto contento di kaspersky....esiste qualcosa di fee valido?
grazie

Sarebbe opportuno seguire tutta la Guida in prima pagina e pubblicare secondo le Regole i log per il controllo :)

[indio68]

Sarebbe opportuno seguire tutta la Guida in prima pagina e pubblicare secondo le Regole i log per il controllo :)

praticamente il log dice che ha deletato tutte le minaccie e epr quanto riguarda la scansione online, non basta che faccio quella del mio KAV7?

il log di malware è questo...lo posto qui perchè è breve...e HJT non rileva nulla amnco lui...

Malwarebytes' Anti-Malware 1.33
Versione del database: 1714
Windows 5.1.2600 Service Pack 2

07/02/2009 2.04.44
mbam-log-2009-02-07 (02-04-44).txt

Tipo di scansione: Scansione completa (A:\|C:\|D:\|E:\|F:\|G:\|)
Elementi scansionati: 241516
Tempo trascorso: 52 minute(s), 0 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 2
Chiavi di registro infette: 11
Valori di registro infetti: 1
Elementi dato del registro infetti: 2
Cartelle infette: 0
File infetti: 11

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
C:\WINDOWS\system32\nnnkIyYs.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\VTUMNHAB.DLL (Trojan.Vundo) -> Delete on reboot.

Chiavi di registro infette:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{28655824-4ae5-44b8-b5cd-c8013d2c4186} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_CLASSES_ROOT\CLSID\{28655824-4ae5-44b8-b5cd-c8013d2c4186} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\vtumnhab (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{28655824-4ae5-44b8-b5cd-c8013d2c4186} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\instkey (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

Valori di registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Delete on reboot.

Elementi dato del registro infetti:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\nnnkiyys -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\nnnkiyys -> Delete on reboot.

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\WINDOWS\system32\nnnkIyYs.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\sYyIknnn.ini (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\sYyIknnn.ini2 (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\VTUMNHAB.DLL (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\AWTQQNON.DLL (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\AWTQQPJB.DLL (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\VTUKKJAB.DLL (Trojan.Vundo) -> Quarantined and deleted successfully.
D:\Downloads\eMule0.49b-Installer1.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
D:\Programmi\eMule\Uninstall.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\mcrh.tmp (Malware.Trace) -> Quarantined and deleted successfully.

[indio68]

cmq il pc ora pare molto meglio....exploer.exe ora si chiude normalmente se spengo il PC ...qlc consilgio su un antivirus free valido?? visto che KAV7 diventa sempre + pesante e a quanto pare è pure insicuro?
tnx

P.s.
Avevo messo la patch per rimuovere l'assurda limitazione di connessioni che hanno introdotto in windows....dite che me la ha cancellata?

[Chill-Out]

cmq il pc ora pare molto meglio....exploer.exe ora si chiude normalmente se spengo il PC ...qlc consilgio su un antivirus free valido?? visto che KAV7 diventa sempre + pesante e a quanto pare è pure insicuro?
tnx

P.s.
Avevo messo la patch per rimuovere l'assurda limitazione di connessioni che hanno introdotto in windows....dite che me la ha cancellata?

Leggi qui http://www.hwupgrade.it/forum/showthread.php?t=1726383

[elgigi87]

Salve io ho un problema con le pubblicità e in particolare con ad.yieldmanager.

Con ad-aware sono riuscito a bloccare i pop-up ma non ad eliminare il problema, così ho provato tanti programmi di rimozione (Findykill, Malwarebytes', Spybot, spyware terminator, spyhunter...) ma l'unica cosa che fanno è quella di rimuovere i cookie senza eliminare il porblema alla base. Di conseguenza all'apertura di i.e. ad-aware mi segnala il blocco di altri pop-up.
A questo punto, non sapendo più cosa fare da solo, ho deciso di disturbarvi. Ho fatto una scansione con HijackThis e vi posto il log.

In attesa di una risposta, vi ringrazio anticipatamente

http://www.mediafire.com/?sharekey=4cfc2778eed2c22a8d78a0e555291609e04e75f6e8ebb871

[xcdegasp]

ho appena aperto il nuovo thread: Guida alla disinfezione da Vundo / Virtumonde / Virtumondo / MS Juan (http://www.hwupgrade.it/forum/showthread.php?p=26415650)

edit: non posso spostarti direttamente il messaggio nel nuovo thread pertanto ti chiedo la gentilezza di farne copia e incolla :)