Problema trojan.win32......

[simo.mancio]

ciao a tutti... vi espongo il mio problema sperando di riuscire a risolverlo insieme a qualke vostro aiuto..
In pratica in ufficio e a casa ho preso questo fastidiosissimo trojan chiamato "trojan.win32.delf.aam" che una volta dentro crea tutti file con lo stesso nome delle cartelle o file ma sono come degli eseguibili tuti da 37kb... ho proceduto con una scansione con kaspersky virus removal tool e poi con la pulizia... il problema serio è che questi eseguibili prendono il posto i quelliu originali in quanto questi ultimi vengono nascosti e trasformati in finti file di sistema... cmq riesco con molta paziensa a cancellare uno ad uno i file infetti con l'aiuto di total commander... ora sono al punto che ho pochi trojan quasi pulito completamente ma il problema è che le cartelle e i file che mi si sono impostati su nascosto non posso piu rimetterli visibili... volevo sapere se sapevate come poter fare...!!! ho letto da qualke parte che dovrei da dos cambiare gli attributi con il comando attrib -h o na cosa del genere... ho rpovato ma nn fuinziona mi dice che il perocrso nn è valido.. aiutooo!!! ho parekki file e lavori impossibile da accervi

[morrizz]

ciao,

un malware che blocca l'opzione dei file nascosti e protetti e il worm bagle...

per vederci un po piu chiaro, a mio avviso dovresti buttare giu qualche log...

hijackthis -> guida e download (http://www.ilsoftware.it/articoli.asp?ID=2459)

io al tuo posto farei anche uno scan con MalwareBytes (http://dw.com.com/redir?edId=3&siteId=4&oId=3000-8022_4-10804572&ontId=8022_4&spi=df942d67a8c56651e024d4100d4501c3&lop=link&tag=tdw_dltext&ltype=dl_dlnow&pid=10878968&mfgId=6290020&merId=6290020&pguid=yjHGGwoPjF4AAHFRHQ8AAADa&destUrl=http%3A%2F%2Fwww.download.com%2F3001-8022_4-10878968.html%3Fspi%3Ddf942d67a8c56651e024d4100d4501c3)

[wjmat]

Ciao benvenuto nel pronto soccorso di HU.

Prima ripuliamo il pc poi vediamo per le cartelle con gli attributi modificati

segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui tutte le scansioni ed il caricamento dei relativi log nelle modalità (http://www.hwupgrade.it/forum/showthread.php?t=1779308) e nell'ordine indicato.

Leggi bene tutto questo post, e arriverai in fondo alla guida in perfetta autonomia
salvo in caso di problemi particolari...



Ricapitolando, dopo aver disabilitato il ripristino di sistema (http://www.hwupgrade.it/forum/showpost.php?p=24113221&postcount=23), fatto la pulizia dei file inutili con ATFCleaner (http://www.hwupgrade.it/forum/showpost.php?p=24033021&postcount=2), vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):

log di Malwarebytes Anti-Malware (http://www.hwupgrade.it/forum/showpost.php?p=24033097&postcount=9) aggiornato ad oggi
log di A-squared (http://www.hwupgrade.it/forum/showpost.php?p=24033085&postcount=8) scansione deep aggiornato ad oggi
log di Kaspersky Virus Removal Tool (http://www.hwupgrade.it/forum/showpost.php?p=24033078&postcount=7) scaricato oggi oppure di F-Secure OnLine (http://www.hwupgrade.it/forum/showpost.php?p=24033058&postcount=6)
log di Dr.Web CureIT (http://www.hwupgrade.it/forum/showpost.php?p=24033048&postcount=5) scaricato oggi
log di ESET SysInspector (http://www.hwupgrade.it/forum/showpost.php?p=24033155&postcount=12)
log di HiJackThis (http://www.hwupgrade.it/forum/showpost.php?p=24033212&postcount=13)
log di Gmer (http://www.hwupgrade.it/forum/showpost.php?p=24033143&postcount=11)
log di PrevxCSI (http://www.hwupgrade.it/forum/showpost.php?p=24033225&postcount=14)



Se il sistema è molto compromesso, e non dovessi riuscire a seguire la guida, prima prova con il rescue cd di avira (http://www.hwupgrade.it/forum/showthread.php?t=1689812), a fare una pulizia preliminare.

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le restanti scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.

Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione, in questo modo eviti di reinfettarti ancora dopo che hai ripulito il pc.

Nel caso il pc da disinfettare abbia problemi con internet o non ce l'abbia proprio, nelle info dei programmi guarda alla voce Portabilità, in modo da scaricare tutto il necessario da un pc pulito e portare tutto l'occorrente sul pc infetto

Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

Questa (http://www.hwupgrade.it/forum/showthread.php?t=1779308) è una brevissima guida alla pubblicazione dei log, qui (http://www.hwupgrade.it/forum/showpost.php?p=23619723&postcount=5) e qui (http://www.hwupgrade.it/forum/showpost.php?p=24073905&postcount=3) esempi precisi ed ordinati di come vorremmo tu caricassi i log

link utili per il caricamento log ed immagini
caricamento log fileqube.com, (http://fileqube.com/) wikisend.com (http://wikisend.com/), mediafire.com (http://www.mediafire.com/index.php)
caricamento immagini fileqube.com (http://fileqube.com/)

[simo.mancio]

ok grazie x l'immediata assistenza :D :D appena finisco di lavorare comincio subito a "lavorare" sui pc xke ho quelli dell'ufficio che contengono file veramente impoirtanti... grazie ancora e vi faccio sapere...

[simo.mancio]

inizio a postare i log delle scansioni...
ma ne posso caricare uno alla volta?

[wjmat]

inizio a postare i log delle scansioni...
ma ne posso caricare uno alla volta?

caricali sui server remoti indicati nelle modalità cosi ci stanno tutti in un post

[simo.mancio]

ok ci sono li ho zipèpati eli ho caricato su fileqube

http://www.fileqube.com/shared/iADZij122269

a voi... speriamo bene :)

poi da casa postero anche i risultati del pc home :)

[wjmat]

con mbam non si vede se hai eliminato la roba
con gmer hai cliccato su scan? il log mi sembra troppo corto

cureit l'ho parsato io
www.hwupgrade.helloweb.eu/ParserLog/log/output-715243310.txt

da kasp
detected: Trojan program Trojan.Win32.Delf.aam File: C:\DOCUME~1\Xp\IMPOST~1\Temp\services.exe
deleted: Trojan program Trojan.Win32.Delf.aam File: C:\Documents and Settings.exe
deleted: Trojan program Trojan.Win32.Delf.aam File: C:\totalcmd.exe
deleted: Trojan program Trojan.Win32.Delf.aam File: C:\Documents and Settings\Xp\Documenti.exe
deleted: Trojan program Trojan.Win32.Delf.aam File: C:\Documents and Settings\Xp\Risorse di rete.exe
deleted: Trojan program Trojan.Win32.Delf.aam File: C:\Documents and Settings\Xp\Desktop\Kaspersky Lab Tool\is-0VDGF.exe
deleted: Trojan program Trojan.Win32.Delf.aam File: C:\Documents and Settings\Xp\Desktop\Kaspersky Lab Tool\is-CR31F.exe
deleted: Trojan program Trojan.Win32.Delf.aam File: C:\Documents and Settings\Xp\Desktop\Kaspersky Lab Tool\is-MT63F.exe
deleted: Trojan program Trojan.Win32.Delf.aam File: C:\Documents and Settings\Xp\Desktop\Programmi x ripulire pc\gmer.exe

C:\Documents and Settings
C:\totalcmd
C:\Documents and Settings\Xp\Documenti
C:\Documents and Settings\Xp\Risorse di rete

queste cartelle sono sparite?

[simo.mancio]

nn sono cartelle ma le copie delle cartelle convertite in .exe... e me le ha eliminate kaspersky...

[wjmat]

in un altro caso i file punto exe erano uguaili alle cartelle con attributi modificati
a te che cartelle mancano?

[simo.mancio]

le cartelle nn mancano.. sono diventate file di sistema e nascosti... mentre i file che ho eliminato erano le copie infette... nn riesco a far diventare queste cartelle anscoste dinuovo visibili... ma cmq il sistema come è messo ?? è infetto ancora??

[wjmat]

lo so che non mancano ma se non mi dici quali sono...
nuovo log di hijackthis