[win XP] Win32.worm e Backdoor.ciadoor

[chiccolino81]

Bitdefender mi segnala questi virus: Backdoor.Ciadoor.N e Win32.Worm.Rbot.73216.A

Faccio un richiamo alla discussione sul virus bangle, in quanto all'inizio si credeva fosse questo...

http://www.hwupgrade.it/forum/showthread.php?t=1562611&page=19

Notate nelle pagine 19 e 20 i miei post grazie...

I sintomi del virus al momento sono, disattivazione degli antivirus all'avvio di windows, tentativo di far partire la connessione adsl all'avvio di windows.
Pur rimettendo da capo gli antivirus, all'avvio successivo questi vengono di nuovo attaccati e messi fuori gioco, ho già tentato varie procedure come detto nel link.

:muro:

[xcdegasp]

l'info precisa è questa:
http://www.hwupgrade.it/forum/showpost.php?p=20410800&postcount=375 (presentazione problema)
http://www.hwupgrade.it/forum/showpost.php?p=20413265&postcount=377 (log di bit-defender, avenger, infosat)
http://www.hwupgrade.it/forum/showpost.php?p=20414663&postcount=379 (log HJT)
e risposta di riverside:
http://www.hwupgrade.it/forum/showpost.php?p=20430132&postcount=392

bene, ora che abbiamo fatto un po' di storia passiamo alla fase pratica:
esegui tutte le scansioni richieste dalla procedura descritta in Guida alla Disinfezione per Infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737), scansionando anche con "Dr.Web CureIT" e "VirIT Explore Lite".
So che alcune di queste le hai già fatte ma sarebbe meglio se le rifacessi, meglio abbondare di dati freschi che deficere... saremo sicuramente più precisi nella diagnosi e più veloci a dare la soluzione del caso :)

grazie mille epr la cooperazione

[chiccolino81]

dr.web nn ha trovato nulla,

ti riallego hijack, intanto vado con virit.

Al momento sono presenti kaspersky, spyware terminator, sygate firewall, e system safety monitor.

Sembrerebbe non provare più a connettersi al riavvio, e sygate per ora nn è più sottomesso...potrebbe essere merito di spyware e kaspersky o la forse dopo bitdefender l'infezione è stata debellata?:confused:

[murack83pa]

hai seguito la guida?
hai fatto la scansione in deep scan con asquared?
e con prevcsi?
la pulizia degli ads con eset?
allega i post gentilmente
ciao ciao

[chiccolino81]

I log erano già allegati, cmq dopo un estenuante attesa di + di 12ore kaspersky non ha trovato nulla, apparte un crack mai utilizzato ancora...

Insomma alle varie scansioni nn compare nulla...se volete vi rimetto hjack...sempre che qualcuno abbia la voglia di leggersi l'elenco...io ahimè nn capisco molto:rolleyes:

[murack83pa]

I log erano già allegati
quali log?
sicuramente nn quelli della guida...;)
mi dispiace dirtelo, lo so che è faticoso e un po rompiballe, ma devi seguire con ordine la guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737)
al fine di poterti aiutare ( ;) ), a noi ci interessa che utilizzi quei programmi, nei modi e nei tempi indicati dalla guida
cosa ancora piu importante, ci importa che posti tutti i log richiesti secondo le regole di sezione: li alleghi oppure li carichi sul sito www.zshare.net e copi qui il link x il download (rinomina i log in formato .txt)
aspettiamo i log
a presto, ciao

[Riverside]

a noi ci interessa che utilizzi quei programmi, nei modi e nei tempi indicati dalla guida .......
:confused: una semplice domanda: e se non interessasse a lui, che si fa?.

[xcdegasp]

se lui dicesse, come hanno fatto altri in precedenza, "sono pulito quindi non servono" allora per noi è pulito e il resto sarebbe lavoro inutile :)
il pc non è il nostro :)

[chiccolino81]

No no a me interessa...e vi ringrazio per l'aiuto.

Voglio solo capire se son pulito o meno...le procedure son tante e lunghe e e nel mentre, immagino come voi, si lavora si va in giro ecc...quindi aspettatemi...;)

[murack83pa]

aspettiamo i tuoi log ;)

[Riverside]

La dll indicata in rosso, da far analizzare su VirusTotal ed allegare il Report che verrà rilasciato:
O20 - Winlogon Notify: System Safety Monitor - F:\WINDOWS\SYSTEM32\SSMWinlogonEx.dll

[chiccolino81]

lo farò...intanto sta andando avanti a-squared, sto rifacendo le scansioni

cmq qlla voce potrebbe essere semplicemente il programma system safe monitor, una sorta di firewall

Intanto ecco adsr...io al momento ho lasciato aperto il programma...ci sono delle voci (tra le quali anche delle mie foto ecc) con la possibilità di spuntarle o meno per "clean"...ditemi voi che devo fare

[murack83pa]

il log lo puoi anche rimuovere (x la tua privacy), cosi come puoi eliminare le voci che ha trovato....

[chiccolino81]

si ma faccio clean elimino quelle voci, ci sono tra le voci anche delle foto ecc...cioè mi elimina i files??? In seguito viene fatto un altro report?

ecco finita la scansione con a-squared ed il log, solo cookies.

prevx non ha trovato nulla

dr.web idem, virit si blocca e mi spunta fuori la comunicazione di windows che c'è stato un errore...

fatto HJ, con in azione kaspersky, sygate e spyware terminator. (al momento ho chiuso system safety monitor, precedentemente attivo).

gmer purtroppo si comporta come virit...

Ora il quesito finale è, anche in base ai precedenti log e risultati (bit torrent ecc...), visto che anche kaspersky non ha trovato nulla, sono ancora infetto? Possono esserci tracce nel registro?:confused:

[murack83pa]

nn elimini i file, tranquillo

[murack83pa]

il file indicato sopra da river l'hai fatto analizzare?
attendiamo il log
ora do un occhiata a quello di hijackthis
al posto di gmer, utilizza panda antirootkit, ora ti dico dove scaricarlo
EDIT: dal log nn vedo niente di sospetto, a parte qualke voce inutile all'avvio....devi disinstallare virit,facendo dopo un bella passata con ccleaner
una cosa: ora l'antivirus funziona? che sintomi hai? la scansione online di bitdefender dovrebbe poter rimuovere i virus, nn ha rimosso niente quando l'hai fatta?
cmq, scarica da qui (http://research.pandasoftware.com/blogs/images/AntiRootkit.zip) Panda e fallo girare, al termine posta il log

[chiccolino81]

PANDA l'avevo già fatto andare e nn ha trovato nulla...

Bit defender, come da log, ha rimosso 4 file infetti dai due virus in questione...infatti è per quello che dico se sono ancora infetto...

ho fatto andare anche avg anti-rootkit, e niente di strano...

il file di river è solamente che era in esecuzione il programma system safety monitor, una specie di firewall, niente di assolutamente sospetto.

Virit l'ho già disinstallato anche perchè trial 30gg e dava problemi in scansione.

[murack83pa]

.

[chiccolino81]

No facciamo chiarezza...sennò non ci smuoviamo...

Asquared è già stato utilizzato 2 volte, il log è di ieri...ho seguito esattamente la procedura da fare. Non vedo come rifarla all'infinito visto che nel frattempo mi collego solo a voi e nn utilizzo questo pc possa aver modificato altro...

Prev non ha trovato nulla di nulla, ho la stampata della videata se vuoi, è di ieri e dice nessun bad file.

I log ci sono, attendo se si riesce a capire il fatto se sono infetto ancora o no, in quanto bit torrent aveva già in passato (vedi precedenti post) tolto i file infetti dai due virus.

Fatemi sapere;)

[murack83pa]

scusami, ma ho combinato casini, ho postato nel 3d sbagliato...ora lo rimuovo... e ricontrollo tutto
quindi prevx nn ha trovato nulla...
xo rimane il fatto che panda e gmer nn girano.....
ora ti linko dove poter scaricere un altro antirootkit e se questo è a posto, credo che sia tutto finito
edit: quindi l'antivirus funziona? hai qualke sintomo?

[chiccolino81]

Panda e avg anti root kit hanno funzionato fino al termine della scansione e non hanno rilevato problemi...

Idem per tutte le altre scansioni successive a Bit torrent di qualche gg fa...

Gmer e Virit invece si bloccano e chiudono da soli, spunta la finestra di windows che chiede di fare il bug, inviarlo per un controllo, o chiudere...

Ora da oramai 4 ore e mezza:muro: , sto facendo fare la scansione anche con spyware terminator.

Kaspersky l'altro gg non aveva trovato nulla.

Per concludere, finito spyware, potrei fare di nuovo con bit defender al massimo...il che vorrà dire altre ore di scansione:D

[murack83pa]

al termine della scansione con spyware terminator, utilizza questo:
trend micro booster (http://www.trendmicro.com/ftp/products/rootkitbuster/rootkitbusterv1.6.1060.zip)
è un antirootkit
se nn rilevano niente, se nn hai piu alcun sintomo, credo che abbiamo finito....

[chiccolino81]

spyware terminator...solo 3cookier normalissimi,

trend nn parte, mi dice di verificare che io sono l'amministratore o che nn ho abbastanza risorse...ho disattivato gli altri antivirus pure...ma niente...

Ora rifaccio bitdefender...ma mi sa che a sto punto nn dovrei aver +nulla...

[murack83pa]

si, credo anche io....
ciao ciao

[chiccolino81]

anche bit defender nada...

che dite...?

son salvo?:sofico:

Ora una domanda...il mio assetto originario era avg free e sygate...

purtroppo kaspersky è solo un trial, cosa mi consigliate?

avira è meglio di avg?

Inoltre credo di tenere anche spyware terminatore, che a differenza di ad-ware fa la scansione in tempo reale.

Grazie:)

[Riverside]

anche bit defender nada... che dite...?
son salvo?
Allega un nuovo log di Hthis.

[chiccolino81]

eccolo!vai di verdetto finale...

e se potete anche suggerirmi quanto chiesto pirma:p

[Riverside]

C'è ancora questa:

O20 - Winlogon Notify: System Safety Monitor - F:\WINDOWS\SYSTEM32\SSMWinlogonEx.dll

localizza quella dll e falla analizzare qui:
clicca qui per Virustotal (http://www.virustotal.com/it/)
allega il Report che verrà rilasciato

[chiccolino81]

Come già detto sarà un dll del programma SYSTEM SAFETY MONITOR,

in ogni caso l'ho fatta analizzare, niente di sospetto.

ecco il log.