View Full Version : Trojan-Downloader.Win32.AutoIt.au
Ciao a tutti, dopo i primi consigli di Gle89 e Riverside nella sezione di HijackThis,sono passato qui come di ha detto di fare quest'ultimo utente.
Passiamo al mio problema:
Pochi giorni fà ho installato sul mio pc un programma (rigenerator2)per filtrare i video del mio cellullare. Questi video ,una volta filtrati,si vedono con una qualità eccellente. Faccio notare subito che ci sono molti utenti che non hanno mai avuto problemi con questo programma ,e anche lo stesso autore, mi ha confermato che non contiene virus? Adesso si deve capire se questi trojan sono falsi positivi o se la causa è questo programma, visto che sono file .exe che appartengono al rigenerator2.(i file infetti sono stai segnalati inizialmente da A-Squared free3.0) La posto per ultimo-(log prima delle procedure effettuate)
Procedure eseguite:
pulizia completa con ccleaner
Scansione completa con VirIt aggiornato. Vi posto il log in fondo(non sono riuscito a salvarlo e ho fatto un copia-incolla)
Nuova scansione con A-Squared free3.0) Vi posto il log infondo
Scansione con HijackThis Vi posto il log
http://www.zshare.net/download/5592394e7aa10d
Questi file ancora li ho eliminati e neanche messi in quarantena, come mi ha consigliato l'utente Riverside.
Ci sono secondo voi delle infezioni o sono solo dei falsi positivi dovuti a questo programma? Grazie[LIST]
A... un'altra cosa.. KIS non mi segnala niente
Chill-Out
13-12-2007, 21:17
C:\Programmi\Rigenerator-program\rigenerator2\analisi.exe
C:\Programmi\Rigenerator-program\rigenerator2\ifoedit2.exe
C:\Programmi\Rigenerator-program\rigenerator2\RIGENERATOR.exe
C:\Programmi\Rigenerator-program\rigenerator2\schiaccia_muxman.exe
C:\Programmi\Rigenerator-program\rigenerator2\START.exe
controllali su www.virustotal.com ed allega i risultati per ogni files
C:\Programmi\Rigenerator-program\rigenerator2\analisi.exe
C:\Programmi\Rigenerator-program\rigenerator2\ifoedit2.exe
C:\Programmi\Rigenerator-program\rigenerator2\RIGENERATOR.exe
C:\Programmi\Rigenerator-program\rigenerator2\schiaccia_muxman.exe
C:\Programmi\Rigenerator-program\rigenerator2\START.exe
controllali su www.virustotal.com ed allega i risultati per ogni files
scusa già ho analizzato il primo file. Potete dirmi come devo fare ad allegare i risultati di ogni file? Sulla pagina non mi fà salvare niente
lancetta
13-12-2007, 21:45
scusa già ho analizzato il primo file. Potete dirmi come devo fare ad allegare i risultati di ogni file? Sulla pagina non mi fà salvare niente
posta direttamente il link della pagina a fine scansione......
Chill-Out
13-12-2007, 21:47
e io sono sempre più curioso :D
no no, i file sono di questo programma(rigenerator2) e ognuno ha delle funzioni diverse, necessarie per il funzionamento del programma. Solo ieri però mi sono accorto che A-Squared 3.0 mi ha segnalato addirittura 18 file infetti. Postando il risultato della scansione(sarebbe l'ultimo log postato) e anche il log di HijackThis, l'utente Riverside mi ha detto che non sembrerebbero falsi positivi. Poi ho eseguito tutte le operazioni che ho linkato e ho ripostato i nuovi log. Adesso ho fatto analizzare il 1°file su VirusTotal e ci sono 3-4 risultati positivi(trojan-worm). Quello che vorrei sapere se sono effettivamente dei virus causati da questo programma. Non riesco ad allegare il1° risultato di VirusTotal. Clicco su formattato e si apre una finestra con il log completo. Dopo come si fà? OK ora riprovo
ok riallego tutti i link completi
Chill-Out
13-12-2007, 21:51
come ti ha detto Lancetta posta direttamente il link
Per curiosità me lo sono scaricato e ho fatto la scansione con AVS e AVG Antispyware e nessun file viene visto come infetto. Per me sono falsi positivi. Attendo con curiosità questi link.
lancetta
13-12-2007, 22:06
per quanto riguarda rigenerator penso siano falsi positivi anche io poichè il pogramma in questione và a manipolare codec ed altro,e magari può essere visto come manovra inusuale da Asquared,tra l'altro il creatore oltre che in altri forum è iscritto pure qui http://www.hwupgrade.it/forum/showthread.php?t=1494262
adesso dò un occhiata agli altri log....
lancetta
13-12-2007, 22:09
no no, i file sono di questo programma(rigenerator2) e ognuno ha delle funzioni diverse, necessarie per il funzionamento del programma. Solo ieri però mi sono accorto che A-Squared 3.0 mi ha segnalato addirittura 18 file infetti. Postando il risultato della scansione(sarebbe l'ultimo log postato) e anche il log di HijackThis, l'utente Riverside mi ha detto che non sembrerebbero falsi positivi. Poi ho eseguito tutte le operazioni che ho linkato e ho ripostato i nuovi log. Adesso ho fatto analizzare il 1°file su VirusTotal e ci sono 3-4 risultati positivi(trojan-worm). Quello che vorrei sapere se sono effettivamente dei virus causati da questo programma. Non riesco ad allegare il1° risultato di VirusTotal. Clicco su formattato e si apre una finestra con il log completo. Dopo come si fà? OK ora riprovo
18 file....sono sempre gli stessi ma nel ripristino configurazione di sistema...aspettiamo i link....
Un attimino che ci siamo quasi. Sono al 3° file. Se intanto potete darmi un occhiata al log di HijackThis e dirmi se c'è qualcosa da eliminare. Io ho notato due file sospetti. Ma quei file sono stati installati da me per guardare i canali stranieri sul pc.Che dite?
per quanto riguarda rigenerator penso siano falsi positivi anche io poichè il pogramma in questione và a manipolare codec ed altro,e magari può essere visto come manovra inusuale da Asquared,tra l'altro il creatore oltre che in altri forum è iscritto pure qui http://www.hwupgrade.it/forum/showthread.php?t=1494262
adesso dò un occhiata agli altri log....
giusto, è Fico Fico. Cmq i link li posto
Cmq l'utente Riverside mi ha fatto capire,ieri, che ero incasinato, ed io gli ho anche accennato dei falsi positivi. Mi ha risposto di no e di postare in questa sezione
lancetta
13-12-2007, 22:16
modifica codec,script,apertura dos....penso sempre più che sia un falso...
il log di HijackThis come ti pare? Quei file sospetti che leggo sono sicuri?
lancetta
13-12-2007, 22:29
il log di HijackThis come ti pare? Quei file sospetti che leggo sono sicuri?
cacchio! non lo avevo visto scusami.....comunque gli active x li zomperei
lo 016 di http://dl.tvunetworks.com....per me sconosciuto
lo 016 di coolstreaming...... se non usi più
ok ecco tutti i risultati:
http://www.virustotal.com/it/resultado.html?9f00104ef8515483a9a1423b1ece5e0e
http://www.virustotal.com/it/resultado.html?f98b884bfaeff69e5c69dac2c78b4d8e
http://www.virustotal.com/it/resultado.html?4431105c47bcadda2d6d00c4626dac8c
http://www.virustotal.com/it/resultado.html?c9a0076f2702cc233fa84fdd059bf88d
http://www.virustotal.com/it/resultado.html?6736867717a4873f3d0b02a393cedeb1
Grazie per l'attesa
cacchio! non lo avevo visto scusami.....comunque gli active x li zomperei
lo 016 di http://dl.tvunetworks.com....per me sconosciuto
lo 016 di coolstreaming...... se non usi più
:mbe: cioè , cancello tutto? Non mi dire..:D
No seriamente non ho capito, devo disinstallare e fixare quei activex?
lancetta
13-12-2007, 22:34
:mbe: cioè , cancello tutto? Non mi dire..:D
no dai se sai che roba è tranquillo e lasciali lì (coolstreaming lo usavo anche io)
ok,quindi altri file inutili non ci sono, magari che danno solo fastidio in avvio. Aspetto conferme sui risultati di VirusTotal
lancetta
13-12-2007, 22:39
per me sono falsi positivi....il pc fà cose strane?come và?
Chill-Out
13-12-2007, 22:46
penso siano FP
Non mi dà particolari problemi. Qualche volta si blocca tutto, ma penso sia dovuto alla scarsa ram del portatile. Il fatto è che questo programma è una 2°versione installata 3gg fà, il Kis non mi ha mai segnalato niente, solo A-squared e anche e VirIt mi hanno segnalato infezioni,altrimenti non mi sarei accorto di niente. Ma poi,scusami, su VirusTotal tutti gli antivirus che segnalano questi trojan, sono affidabili? Mi spiego meglio, perchè gli altri antivirus più conosciuti e anche migilori (almeno penso) non segnalano niente?
Quindi concludendo... la sicurezza che siano FP c'è o non c'è?
Ma si che sono falsi Positivi.
Ok grazie a tutti, siete stati gentilissimi. Ringrazio anche l'utente Gle89 e Riverside
Riverside
13-12-2007, 23:25
Il numero di falsi positivi mi era sembrato eccessivo (a dire il vero, mi sembra ancora eccessivo): quindi, per, per scrupolo, più che per altro altro, spreca ancora un attimo del tuo tempo:
PREVX CSI: clicca qui per il download (http://info.prevx.com/download.asp?grab=prevxcsi)
● una volta installato, esegui una scansione
● al termine della scansione, clicca su:
● Options
● Save Log
allega log salvato
lo sapevo che non era finita qui :muro: :muro:
ok faccio questa prova e te la posto, grazie :)
lancetta
13-12-2007, 23:46
Il numero di falsi positivi mi era sembrato eccessivo (a dire il vero, mi sembra ancora eccessivo): quindi, per, per scrupolo, più che per altro altro, spreca ancora un attimo del tuo tempo:
PREVX CSI: clicca qui per il download (http://info.prevx.com/download.asp?grab=prevxcsi)
● una volta installato, esegui una scansione
● al termine della scansione, clicca su:
● Options
● Save Log
allega log salvato
ma te non dovevi essere a letto?..(cosa che faro io adesso)comunque socio il soft se leggi i post soprariportati,và ad operare in aree sensibili del S.O.....facilmente scambiabile per qualcosa di non usuale.....
problemino.. stava procedendo la scansione con Prevx(a parte non ho capito se si installa o è una specie di scansione online) e sorpresa... Il Kis comincia ad emettere suoni uno dopo l'altro. Ecco il log di kis, che faccio?
murack83pa
13-12-2007, 23:56
credo che il kis ti ha rilevato prevxcsi come trojan.....falso positivo: digli ignora e consenti a prevx di fare la scansione
lancetta
14-12-2007, 00:00
:D :D serata di falsi positivi:D :Prrr:
Riverside
14-12-2007, 00:02
ma te non dovevi essere a letto?..(cosa che faro io adesso)comunque socio il soft se leggi i post soprariportati,và ad operare in aree sensibili del S.O.....facilmente scambiabile per qualcosa di non usuale.....
Ho letto l’intero thread, Nà; la mia è solo una forma di scrupolo da una parte e di attenzione dall’altra.
Se PrevX CSI dovesse rilevare come infetti quei file, segnalo la cosa ad Eraser in maniera che sistemi la questione.
Comunque Socio, noi ci sentiamo domani ;)
credo che il kis ti ha rilevato prevxcsi come trojan.....falso positivo: digli ignora e consenti a prevx di fare la scansione
Niente di più facile.
Scusate ancora, potete tradurre? :D
Che devo fare? Stasera la vedo dura :muro:
allora? dai che manga poco,non ci fermiamo proprio adesso:)
lancetta
14-12-2007, 00:09
Ho letto l’intero thread, Nà; la mia è solo una forma di scrupolo da una parte e di attenzione dall’altra.
Se PrevX CSI dovesse rilevare come infetti quei file, segnalo la cosa ad Eraser in maniera che sistemi la questione.
Comunque Socio, noi ci sentiamo domani ;)
Niente di più facile.
estratto dal log :
"C:\Documents and Settings\XXXX\Impostazioni locali\Temp\Tmp___27093\prevxcsi.exe Il processo sta tentando di registrare la propria copia come oggetto di avvio ad esecuzione automatica. Questo comportamento è tipico dei Trojan."
esempio lampante di controllo euristico con F.P. incorporato:D :D :D
murack83pa
14-12-2007, 00:10
c'è poco da fare:devi permetti a prevxcsi di fare qualsiasi cosa....qualsiasi....;)
lancetta
14-12-2007, 00:13
c'è poco da fare:devi permetti a prevxcsi di fare qualsiasi cosa....qualsiasi....;)
l'importante è che non ti chieda di chinarti....:D :D :D (a tutto c'è un limite)
Riverside
14-12-2007, 00:25
l'importante è che non ti chieda di chinarti....:D :D :D (a tutto c'è un limite)
Beh, vi dirò, ho acquistato la licenza di PrevX 2.0: all'inizio è, effettivamente un pò palloso, ma una volta che memorizza le regole non rompe più di tanto.
Il fatto è che, stasera, mi sono infilato nel classico cul de sac con ASquared Anti Malware: questo si che è davvero uno spaccaballe non da poco .... ma una volta configurato come si deve ...... ;)
Vabbè controllate se ho fatto bene. Questo è il log. Dava troppi messaggi in iglense e io non sapevo che c...o fare. Non ho capito neanche se si doveva aggiornare. Mah.. speriamo che sia giusto quello che ho fatto
http://www.zshare.net/download/5601375bf397ff/
Riverside
14-12-2007, 00:30
Scusate ancora, potete tradurre? :D Che devo fare? Stasera la vedo dura :muro:
Gianni, ti chiede la licenza? se non ricordo male, ci deve essere, nella maschera principale, un tasto per utlizzare il tool come trial, guarda bene.
Ti dico subito che non rimuoverà nulla (se rileva qualcosa): quello che interessa è il Report che rilascia.
ma il log che ho postato è giusto? Cmq dal link che mi hai dato di prevx ho cliccato esegui, si e aperta la finestra,clicco su scan now, ed è incominciata la scansione. Il risultato è quello che ho postato o no?
lancetta
14-12-2007, 00:46
bene...zero risultati negativi..."emm' fatt' a' nuttata" ed io ho sonno
vado a letto....
Gianni ci devi na cena a tutt quant!:D :D :D
'notte:cool:
io stavo crollando,non c'e la facevo più. Quindi il log era giusto. Grazie lancetta, per la cena non ci sono problemi. :D Alla prossima
Riverside
14-12-2007, 00:56
ma il log che ho postato è giusto? Cmq dal link che mi hai dato di prevx ho cliccato esegui, si e aperta la finestra,clicco su scan now, ed è incominciata la scansione. Il risultato è quello che ho postato o no?
Perfetto: Gianni il tuo problema è risolto.
Ma, a proposito di serata da falsi positivi, vi faccio fare due risate:
C:\Programmi\a-squared Free\a2service.exe
Loaded into: C:\Programmi\a-squared Free\a2service.exe
Loaded from: \REGISTRY\Machine\System\CurrentControlSet\Services\a2free\ImagePath "C:\Programmi\a-squared Free\a2service.exe"
Loaded from: \REGISTRY\Machine\SYSTEM\ControlSet002\Services\a2free\ImagePath C:\Programmi\a-squared Free\a2service.exe
PX5: 261F85B07012BE24983C05D5921854007AC7A1F6
MD5: ba5e0d7b806c94ec73456754f96263af
Determination: SUSPICIOUS
ovvero, PrevX CSI riconosce come sospetto Asquared :sbonk:
Riverside ho notato anche il programma rigenerator lo segnala come sospetto. Quindi anche per Prevx è infetto,però alla fine è un falso. Grazie ancora è buonanotte
lancetta
14-12-2007, 01:01
la notte dei falsi positivi viventi:D :D :D
vBulletin® v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.