Trojan horse Downloader.FraudLoad.A

[sbera]

aiuto ragazzi
mi sono beccato sto trojan che continua a crearmi file .gif in una cartella in Temporary Internet Files
ho AVG 8 aggiornato all'ultimo aggiornamento e mi becca solo i file che crea ma non mi becca il trojan
leggendo su internet ho visto che crea questi malaware e per toglierlo consigliano di utilizzare spyware doctor o spyware terminator
provati entrambi e non mi hanno trovato un cazzo :mad:
sto facendo la scansione totale con AVG ma non mi ha ancora trovato niente, tranne i continui richiami ai file che continuano a crearsi
qualcuno può darmi una mano?

[wjmat]

Ciao benvenuto nel pronto soccorso di HU.
Leggi le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598) e poi segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui tutte le scansioni ed il caricamento dei relativi log nelle modalità e nell'ordine indicato.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner e cancellato gli asd con ADS Scanner, vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):

log di A-squared scansione deep aggiornato ad oggi
log di F-Secure OnLine oppure di Kaspersky Virus Removal Tool scaricato oggi
log di Dr.Web CureIT scaricato ed aggiornato ad oggi
log di ESET SysInspector
log di HiJackThis
log di Gmer
log di PrevxCSI


Con la pulizia files inutili, ads e le scansioni lunghe di antispyware (1) ed antivirus (2 e 3) avrai un pc già parzialmente ripulito, con le restanti scansioni veloci noi avremo le informazioni necessarie per i restanti interventi.


Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

Questa (http://www.hwupgrade.it/forum/showthread.php?t=1779308) è una brevissima guida alla pubblicazione dei log
Questo (http://www.hwupgrade.it/forum/showpost.php?p=22872366&postcount=1) è un esempio preciso ed ordinato di come vorremmo tu caricassi i log

link utili per il caricamento log ed immagini
caricamento log wikisend.com (http://wikisend.com/), mediafire.com (http://www.mediafire.com/index.php)
caricamento immagini fileqube (http://fileqube.com/)

[sbera]

ho fatto una scansione con hjackthis e analizzando il log ho trovato un certo c:\0xf9.exe in esecuzione
ho terminato quello e per ora sembra che i file non si ricreino più
per sicurezza, però, posterò tutti i log che chiedete :D

[xcdegasp]

considera che hijackthis non rimuve nulla, stoppa solo servizi ed esecuzioni ma non cancella fisicamente nulla :)

[sbera]

finite tutte le scansioni :D
unica cosa: se provo a convertire i log con ParserLog mi crea dei file .txt incomprensibili, vi posto i log cosi come li ho salvati

-A-squared a2scan_080721-175301.txt (http://wikisend.com/download/526716/a2scan_080721-175301.txt)
-F-Secure report Fsecure.txt (http://wikisend.com/download/152404/report Fsecure.txt)
-Dr.Web mi ha creato un log di 80mb ma non riesco a snellirlo con parserlog :(
-SysInspector SysInspector-STEFANO-080722-1252.xml (http://wikisend.com/download/571642/SysInspector-STEFANO-080722-1252.xml)
-HiJackThis hijackthis.log (http://wikisend.com/download/900434/hijackthis.log)
-Gmer gmerlog.log (http://wikisend.com/download/204064/gmerlog.log)
-PrevxCSI prevxcsilog.JPG (http://wikisend.com/download/616880/prevxcsilog.JPG)


ora sono nelle vostre mani :help:

[wjmat]

Lancia HiJackThis → clicca Do a scan only → metti la spunta a fianco delle righe che ti segnalo qui sotto → clicca su Fix Checked → Riavvia il pc
Lancia HiJackThis → Do a system scan and save a logfile → Carica il nuovo log
_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\FILECO~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Programmi\Alcohol Soft\Alcohol 120\axcmd.exe" /automoun
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programmi\DNA\btdna.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab


disinstalla spyware doctor che è solo un mattone

il log di cureit caricalo zippato

Fai controllare questo file su www.virustotal.com e su http://virusscan.jotti.org/
c:\docume~1\sbera\impost~1\temp\alsysio.sys

Per l'esito di virustotal a fine scansione copia l'indirizzo della pagina e incollalo nella discussione
Per l'esito di virusscan.jotti copia tutto il testo che c'è tra Scanner result e Powered by → incollalo in un file di testo e allegalo.

[sbera]

il nuovo log di HijackThis hijackthis2.txt (http://wikisend.com/download/930714/hijackthis2.txt)

spyware doctor l'avevo installato solo perchè si vantava di essere l'unico a poter togliere quel trojan, ma in realtà non ha fatto una mazza :rolleyes:

quel file li non lo trovo :stordita:

e qua CureIt zippato CureIt.rar (http://wikisend.com/download/211876/CureIt.rar)

grazie per l'aiuto :)

[wjmat]

il pc come sta?

[sbera]

il pc come sta?
avg non mi segnala più quei file dannosi e ho fatto un'altra scansione risultando tutto pulito
quindi sembra proprio tutto a posto :D
mille grazie :D

[wjmat]

dai un'occhiata al trattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide.

[sbera]

fatto :)
e mi sono anche installato Online Armor e PeerGuardian :)
ora spero di essere al sicuro :D
grazie di tutto ;)

[wjmat]

di nulla ;)