robyc69
30-01-2008, 11:47
Ciao a tutti, con
spero di aver seguito nel modo corretto le procedure di invio dei log.
Avvisato da Telecom, fortunatamente in tempo per evitare troppi danni, della presenza di un dialer (Heuristic.Dialer.RAS) sul mio pc ho provveduto a rimuoverlo con Asquared Antidialer.
Il primo problema e' che mi trovo generati dei nuovi file .exe dialer.
Ho poi seguito la procedura indicata in GUIDA ALLA DISINFEZIONE ed e' stato rilevato da Asquared Free un Trojan.Win32.Agent.dxh nei file di Acrobat reader e dell'Antivirus Symantec (piu' o meno nei giorni di comparsa del dialer avevo notato che la trayicon dell'antivirus era scomparsa dalla taskbar, anche se la protezione in tempo reale era attiva).
Allego i log dei vari tool.
Dialer e virus sono subito stati individuati dalla scansione con Asquared free e li ho messi in quarantena. Purtroppo non ho i report della scansione online (ho usato Nanoscan e A-squared Web Malware), le due scansioni non hanno comunque rilevato nulla.
prevx CSI: http://www.fileup.itadib.com/download.php?id=JULWNg39j922d3gscObW
GMER: http://www.fileup.itadib.com/download.php?id=Xznw4hNzAPsslnSLGe3D
Spero sia tutto allegato nel giusto modo.
Grazie per l'aiuto.
Roberto
__________________________________________________
POST AGGIORNATO DOPO LA SOLUZIONE DEL PROBLEMA.
ECCO UN RIASSUNTO DEL TUTTO, I DETTAGLI SONO COMUNQUE SPIEGATI LEGGENDO
I VARI POST DEL THREAD.
Ecco un riassunto del problema che ho avuto:
Sintomi: prima di tutto ho notato la scomparsa dello scudettino dell'antivirus di symantec dalla tracking bar di windowsXP, anche se guardando all'interno
del programma la protezione in tempo reale era attiva, o almeno cosi' era in apparenza.
Poi, durante la connessione a internet col modem 56K, piu' volte il collegamento si sconnetteva e dovevo ripartire.
Sospettavo un dialer (e purtroppo da questo punto di vista non avevo protezione, mea culpa) e il giorno dopo la Telecom me l'ha confermato avvisandomi delle telefonate sospette.
Ho quindi notato una connessione che prima non esisteva, col numero indicato con 000, e l'ho subito eliminata.
Poi con Asquared antidialer e poi con Asquared Free ho rilevato diversi file .exe con il dialer Heuristic.Dialer.RAS.
Eliminati ho pero' notato che questi eseguibili venivano ricreati (senza conseguenze questa volta perche' avevo insallati gli antidialer).
Durante lo scan con Asquared free ho trovato anche un file di Acrobat reader e alcuni del symantec antivirus infettati da
Trojan.Win32.Agent.dxh.
Quindi ho cercato aiuto qui e di seguito le azioni intraprese:
Azioni:
Ho seguito prima di tutto le indicazioni contenute in GUIDA ALLA DISINFEZIONE e allegato tutti i log ottenuti:
GMER
Prevx CSI
Asquared Free 3.X
Hijackthis
Dopo la procedura ho fatto girare CCLEANER nel modo indicato in GUIDA PER GLI INFETTI.
Poi seguendo le gentili indicazioni di Chill-out, Lancetta e Murack83pa, ovviamente legate ai particolari files infetti
ho provveduto a:
1.Far girare FindAWF e a postare il log.
2.Cancellare direttamente dalla quarantena di Asquared free questi files:
C:\Documents and Settings\Roby\Cookies\roby@doubleclick[1].txt rilevati: Trace.TrackingCookie
C:\Documents and Settings\Roby\Cookies\roby@fastclick[1].txt rilevati: Trace.TrackingCookie
C:\Documents and Settings\Roby\Impostazioni locali\Temp\2498546294.exe rilevati: Heuristic.Dialer.RAS
3.ho scaricato Avenger, l'ho lanciato, selezionato script manually, cliccato sulla lente d'ingrandimento,
inserito questo script:
files to move:
C:\Programmi\Symantec AntiVirus\bak\VPTray.exe | C:\Programmi\Symantec AntiVirus\VPTray.exe
C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe |
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\File comuni\Symantec Shared\bak\ccEmlPxy.dll | C:\Programmi\File comuni\Symantec Shared\ccEmlPxy.dll
C:\WINDOWS\system32\bak\ctfmon.exe | C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Adobe\Reader 8.0\Reader\bak\Reader_sl.exe | C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe
4. Al riavvio del PC ho provveduto a far pulizia nella cartella PREFETCH ed ho usato anche CCleaner.
5. Ho rilanciato FindAWF e PrevxCSI postando il log.
6. Ho dovuto rilanciare Avenger con una riga di script, ma il tutto legato solo ad un problema di sintassi
7. Ultima scansione on line con Bitdefender.
8. PC PULITO!!
L'unica cosa e' che tuttora lo scudettino del symantec antivirus compare nella tracking bar, ma tutto pare funzionere regolarmente.
Spero il riassunto sia utile e sia quello che xcdegasp intendeva.
Tenete ovviamente conto che ogni passo e' legato ai miei files infettie alla situazione dei log
che ho man mano postato nel thread.
Grazie mille ancora a tutti Roberto
________________________________
spero di aver seguito nel modo corretto le procedure di invio dei log.
Avvisato da Telecom, fortunatamente in tempo per evitare troppi danni, della presenza di un dialer (Heuristic.Dialer.RAS) sul mio pc ho provveduto a rimuoverlo con Asquared Antidialer.
Il primo problema e' che mi trovo generati dei nuovi file .exe dialer.
Ho poi seguito la procedura indicata in GUIDA ALLA DISINFEZIONE ed e' stato rilevato da Asquared Free un Trojan.Win32.Agent.dxh nei file di Acrobat reader e dell'Antivirus Symantec (piu' o meno nei giorni di comparsa del dialer avevo notato che la trayicon dell'antivirus era scomparsa dalla taskbar, anche se la protezione in tempo reale era attiva).
Allego i log dei vari tool.
Dialer e virus sono subito stati individuati dalla scansione con Asquared free e li ho messi in quarantena. Purtroppo non ho i report della scansione online (ho usato Nanoscan e A-squared Web Malware), le due scansioni non hanno comunque rilevato nulla.
prevx CSI: http://www.fileup.itadib.com/download.php?id=JULWNg39j922d3gscObW
GMER: http://www.fileup.itadib.com/download.php?id=Xznw4hNzAPsslnSLGe3D
Spero sia tutto allegato nel giusto modo.
Grazie per l'aiuto.
Roberto
__________________________________________________
POST AGGIORNATO DOPO LA SOLUZIONE DEL PROBLEMA.
ECCO UN RIASSUNTO DEL TUTTO, I DETTAGLI SONO COMUNQUE SPIEGATI LEGGENDO
I VARI POST DEL THREAD.
Ecco un riassunto del problema che ho avuto:
Sintomi: prima di tutto ho notato la scomparsa dello scudettino dell'antivirus di symantec dalla tracking bar di windowsXP, anche se guardando all'interno
del programma la protezione in tempo reale era attiva, o almeno cosi' era in apparenza.
Poi, durante la connessione a internet col modem 56K, piu' volte il collegamento si sconnetteva e dovevo ripartire.
Sospettavo un dialer (e purtroppo da questo punto di vista non avevo protezione, mea culpa) e il giorno dopo la Telecom me l'ha confermato avvisandomi delle telefonate sospette.
Ho quindi notato una connessione che prima non esisteva, col numero indicato con 000, e l'ho subito eliminata.
Poi con Asquared antidialer e poi con Asquared Free ho rilevato diversi file .exe con il dialer Heuristic.Dialer.RAS.
Eliminati ho pero' notato che questi eseguibili venivano ricreati (senza conseguenze questa volta perche' avevo insallati gli antidialer).
Durante lo scan con Asquared free ho trovato anche un file di Acrobat reader e alcuni del symantec antivirus infettati da
Trojan.Win32.Agent.dxh.
Quindi ho cercato aiuto qui e di seguito le azioni intraprese:
Azioni:
Ho seguito prima di tutto le indicazioni contenute in GUIDA ALLA DISINFEZIONE e allegato tutti i log ottenuti:
GMER
Prevx CSI
Asquared Free 3.X
Hijackthis
Dopo la procedura ho fatto girare CCLEANER nel modo indicato in GUIDA PER GLI INFETTI.
Poi seguendo le gentili indicazioni di Chill-out, Lancetta e Murack83pa, ovviamente legate ai particolari files infetti
ho provveduto a:
1.Far girare FindAWF e a postare il log.
2.Cancellare direttamente dalla quarantena di Asquared free questi files:
C:\Documents and Settings\Roby\Cookies\roby@doubleclick[1].txt rilevati: Trace.TrackingCookie
C:\Documents and Settings\Roby\Cookies\roby@fastclick[1].txt rilevati: Trace.TrackingCookie
C:\Documents and Settings\Roby\Impostazioni locali\Temp\2498546294.exe rilevati: Heuristic.Dialer.RAS
3.ho scaricato Avenger, l'ho lanciato, selezionato script manually, cliccato sulla lente d'ingrandimento,
inserito questo script:
files to move:
C:\Programmi\Symantec AntiVirus\bak\VPTray.exe | C:\Programmi\Symantec AntiVirus\VPTray.exe
C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe |
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\File comuni\Symantec Shared\bak\ccEmlPxy.dll | C:\Programmi\File comuni\Symantec Shared\ccEmlPxy.dll
C:\WINDOWS\system32\bak\ctfmon.exe | C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Adobe\Reader 8.0\Reader\bak\Reader_sl.exe | C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe
4. Al riavvio del PC ho provveduto a far pulizia nella cartella PREFETCH ed ho usato anche CCleaner.
5. Ho rilanciato FindAWF e PrevxCSI postando il log.
6. Ho dovuto rilanciare Avenger con una riga di script, ma il tutto legato solo ad un problema di sintassi
7. Ultima scansione on line con Bitdefender.
8. PC PULITO!!
L'unica cosa e' che tuttora lo scudettino del symantec antivirus compare nella tracking bar, ma tutto pare funzionere regolarmente.
Spero il riassunto sia utile e sia quello che xcdegasp intendeva.
Tenete ovviamente conto che ogni passo e' legato ai miei files infettie alla situazione dei log
che ho man mano postato nel thread.
Grazie mille ancora a tutti Roberto
________________________________