[WinVista X64]post dei log per infezione pc

[ryosaeba86]

salve a tutti,giorni fa ho preso un virus..mi pare di ricordare un trojan del tipo WinAgent32 kasper me lo avevo bloccato e penso eliminato poi feci scansione con VitIt e trovo un virus che mi ha eliminato...
quindi ora per essere sicuro volevo postare i log della guida che ho trovato sul forum..lo so che nn sono infetto li posto solo per esserne certo al 100% spero di non aver sbagliato a postare qui...

come scansione on line ho eseguito norton e nano ...trovato nulla...
vi allego i post dei vari programmi:

mi fa allegare solo 2 file alla volta..se questi vanno bene posto poi gli altri 2

Grazie a tutti

[murack83pa]

oltre la funzione allegati, x pubblicare i log utilizza quest'altra opzione (come indicata nelle regole di sezione):
caricare il log su FileUp (http://www.fileup.itadib.com/index.php), copiando qui i link x il download

[Riverside]

C:\Users\RyoSaeba86\Favorites\Informatica\Quelli di Informatica - La Prima Community di Ingegneria Informatica della Federico II di Napoli -.url : favicon (3638 bytes)
Chissà perché, adoro, da sempre, quell'Università.

@ ryosaeba ..... allega gli altri log richiesti, per favore.

[ryosaeba86]

ecco i link:
http://www.fileup.itadib.com/download.php?id=WCMZzvDLdKQxAHb1RsM8

http://www.fileup.itadib.com/download.php?id=DUYCx1OnuVlxwbgm1Jsw

http://www.fileup.itadib.com/download.php?id=5pXPDUwTCRW5woqyMgvF

http://www.fileup.itadib.com/download.php?id=AbewbUbG95qOQhLvmcCw

Grazie
Ps:manca quello di gmer...

[ryosaeba86]

nessuno mi aiuta???:cry:

[deneb87]

e gmer?

[ryosaeba86]

cmq Gmer quando lo faccio paritre mi dA IL SEGUENTE ERRORE:

System\CurrentControlSet\Services\Gmer: Handle non valido

ma gli altri log sono apposta..a parte qualche cookie tracciante???

[murack83pa]

ciao
fixa queste voci in hijackthis:

O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: Ati External Event Utility - Unknown owner - C:\Windows\system32\Ati2evxx.exe (file missing)
O23 - Service: @dfsrres.dll,-101 (DFSR) - Unknown owner - C:\Windows\system32\DFSR.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\SLsvc.exe,-101 (slsvc) - Unknown owner - C:\Windows\system32\SLsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)


riavvia il pc e posta un nuovo log di hijackthis

fai la scansione online con bitdefender e posta qui il report:
http://www.bitdefender.com/scan8/ie.html

prova quest'altro antirootkit:
scarica TRENDMICRO ROOTKIT BOOSTER: DOWNLOAD (http://www.trendmicro.com/ftp/products/rootkitbuster/rootkitbusterv1.6.1060.zip)
● scompattalo in una cartella dedicata (è un tool standalone)
● lancia il tool e clicca su Scan
● al termine della scansione ti verrà richiesto di salvare il log
● se venissero rilevati Rootkit provvedi alla loro eliminazione
● il log verrà salvato in una cartella denominata TRMBLog che trovi all'interno della cartella dedicata che hai precedentemente creato
● allega il log salvato

[ryosaeba86]

Grazie per la risposta veloce...per ora ho cancellato le voci che mi hai detto da hijackthis..poi ho riavviato rifatto lo scan ma quelle voci sono ricomparse...
boh...

cmq Rootkitbuster non funziona sui sistemi a 64 bit..quindi nn posso usarlo e la scansione con BitDefender durava per tempi biblici stava a 48 ore e saliva ancora...e mi sembra eccessivo...e inoltre impossibile farla!!!

[lancetta]

Grazie per la risposta veloce...per ora ho cancellato le voci che mi hai detto da hijackthis..poi ho riavviato rifatto lo scan ma quelle voci sono ricomparse...
boh...

cmq Rootkitbuster non funziona sui sistemi a 64 bit..quindi nn posso usarlo e la scansione con BitDefender durava per tempi biblici stava a 48 ore e saliva ancora...e mi sembra eccessivo...e inoltre impossibile farla!!!

Fatto qualcosa di particolare ultimamente? che sò hai usato qualche pulitore di registro..o altro? perchè tutti quei file missing in hijackthis non sono normali..molto probabilmente parecchi di quei servizi non funzionano....

[ryosaeba86]

uso solo ccleaner come pulizia...ma alcuni di quei servizi da quello che posso conoscere solo essenziali per il sistema...e il mio sistema nn è instabile o mi peggio ancora mi dà degli errori...non cosa possono essere...

[ryosaeba86]

nessuno sa spiegarmi cosa sono sti file missing...se c'è un problema nel pc????

[lancetta]

nessuno sa spiegarmi cosa sono sti file missing...se c'è un problema nel pc????

facciamo così posta il log di QUESTO TOOL (http://noahdfear.geekstogo.com/FindAWF.exe) lo avvii si aprirà un finestra dos che chiederà di digitare un tasto qualunque,(anche invio)al termine, FindAWF ti proporrà un log aprendo una pagina del block notes,posta qui il risultato

e poi Scarica questo toolCombofix (http://download.bleepingcomputer.com/sUBs/ComboFix.exe)
doppio click. Si aprirà una finestra blu ...attendi....dovrebbe apparirti un avviso che declina l'autore da ogni responsabilità.
seleziona 1 e premi ENTER per lanciare lo scan.
finito lo scan visualizzerà il log con i dettagli.
N.B. Disattivare il proprio antivirus...Durante l'operazione di scansione è importante non usare il PC,disconnessi dalla rete e attendere pazientemente la fine delle operazioni.
alla fine rifai lo scan con prevxCSI e lo posti.....;)

[ryosaeba86]

Ciao scusa ma nessuno dei 2 programmi funziona con vista 64 bit...
non si può fare altro???

[xcdegasp]

io ti chiedo di fare queste scansioni:
scansione con kaspersky: http://www.kaspersky.com/virusscanner

scansione con nod32: http://www.eset.com/threat-center/cac.php

poi fai la scansione con il Prevx CSI v1.2 (http://in.solit.us/archives/download/126992) (mi raccomando non aggiornarlo perchè altrimenti formatta il log nel nuovo formato che è meno comprensibile)


poi fai las cansione con DrWeb CureIt -> ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe

con a-squared quando facevi la scansione dovevi poi mettere gli oggetti in quarantena :)

[ryosaeba86]

ok ,e farò...sperando che vanno con vista 64 cmq kaspersky lo tengo come antivirus devo farla cmq?? e per quanto riguarda a-squared mi pare di averli messi in quarantena i file...

[xcdegasp]

dr-web indica la compatibilità con Vista ma non specifica se 32bit o 64bit, gli altri sono compatibili :)

nel log non c'era l'azione della quarantena probabilmente lo avevi salvato prima di fare quella cosa :)

[ryosaeba86]

Allora la scansione con nod32 nn ha rilevato nulla....
questo è il log di prevxc:
http://www.fileup.itadib.com/download.php?id=FRzuURBQgLkhDx8m1may

questo quello di Dr.Web:
http://www.fileup.itadib.com/download.php?id=tpatJQzcivnqSafV94Ia




Grazie....attendo risposta...soprattutto su tutti quei file missing...

[ryosaeba86]

up

[ryosaeba86]

Salve riprendo questa mia vecchia discussione per quanto riguardava i file missing....io ho appena formattato il pc...ho installato solo i programmi base..e i file missing compaiono ancora...
quindi nn penso siano un problema...dico una stupidaggine nn so forse è dovuto al fatto che ho il sistema a 64 bit...?

vi posto il log cmq
spero che ne diate un'occhiata
Grazie

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13.57.23, on 01/03/2008
Platform: Windows Vista (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16609)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\ASUS\AASP\1.00.52\aaCenter.exe
C:\Windows\SysWOW64\CTHELPER.EXE
C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\Program Files (x86)\eMule\emule.exe
C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\HiJackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=userinit.exe
O1 - Hosts: ::1 localhost
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files (x86)\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [AsioThk32Reg] REGSVR32.EXE /S CTASIO.DLL
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [AVP] "C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVIZIO DI RETE')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files (x86)\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files (x86)\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~1\Office12\REFIEBAR.DLL
O13 - Gopher Prefix:
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://javadl-esd.sun.com/update/1.6.0/jinstall-6u3-windows-i586-jc.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F27369F2-9270-46A7-96CD-761D32C7583F}: NameServer = 192.168.0.1
O20 - AppInit_DLLs: C:\PROGRA~2\KASPER~1\KASPER~1.0\r3hook.dll,C:\PROGRA~2\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files (x86)\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: Ati External Event Utility - Unknown owner - C:\Windows\system32\Ati2evxx.exe (file missing)
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
O23 - Service: @dfsrres.dll,-101 (DFSR) - Unknown owner - C:\Windows\system32\DFSR.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: HDD Information Service (HDDSvc) - AltrixSoft (http://www.altrixsoft.com/) - C:\Windows\SysWOW64\HDDSvc.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: NMIndexingService - Nero AG - C:\Program Files (x86)\Common Files\Nero\Lib\NMIndexingService.exe
O23 - Service: PD91Agent - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk2008\PD91Agent.exe
O23 - Service: PD91Engine - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk2008\PD91Engine.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files (x86)\Spybot - Search & Destroy\SDWinSec.exe
O23 - Service: @%SystemRoot%\system32\SLsvc.exe,-101 (slsvc) - Unknown owner - C:\Windows\system32\SLsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 7192 bytes


Con fileup mi dà errore quindi ho potuto fare solo cosi

[deneb87]

modifica il tuo messaggio cancellando il log, ormai sai come si dovrebbero pubblicare quindi non ci sono scusanti :muro:

rifai la scansione con HiJackThis, ma questa volta facci click destro e seleziona Esegui come amministratore, posta il nuovo log

[ryosaeba86]

qualcuno mi dice cosa pensa dei file missing..avendo io formattato..e subito dopo fatto il log??cosa ne dite?

[murack83pa]

ciao

come già ti era stato detto da lancetta, è molto strano che tutti quei servizi sembrano nn funzionanti....

hai provato a reinstallare vista?

io purtroppo nn conosco vista, e nn so nel dettaglio come aiutarti....

[ryosaeba86]

come scritto ho appena formattato e installato il s.o....poi ho installato i pgr essenziali e lanciato il log...

[Nuz]

Anche in questi altri log hanno gli stessi file missing. Sarà normale per Vista 64 bit.

http://forums.techguy.org/malware-removal-hijackthis-logs/685297-hijack-log-please-help-fahsmpaffinitychanger.html

http://www.geekstogo.com/forum/Win32-TratBHO-Trojan-Vista-64-bit-t182439.html

[ryosaeba86]

io cosi ho pensato..infatti l'ho scritto prima..forse hijackthis non ha la piena compatibilità con vista 64 bit...anche perchè io cmq non riscontro nessun problema...

[xcdegasp]

ad ogni modo visto che per il momento il pc funziona regolarmente, creati subito ed abituati ad usare un utente limitato ;)