Aiuto non so se ho eliminato l' infezione [Archivio]

matte91snake

02-02-2009, 18:02

Salve, ieri mi è successo un casino, ho preo uno spyware.
Ho fatto mille scansioni con diversi programmi, rimosso le cose da rimuovere,e adesso insomma non so se adesso ho risolto il problema definitivamente e vorrei sapere se qualcuno ora è in possesso di qualcosa che cè anche sul mio pc.
lo spy era questo:
Antivirus Versione Ultimo aggiornamento Risultato
a-squared 4.0.0.93 2009.02.01 Backdoor.Bifrose!IK
AhnLab-V3 5.0.0.2 2009.01.31 Win-Trojan/Buzus.1753600
AntiVir 7.9.0.60 2009.01.30 TR/Crypt.TPM.Gen
Authentium 5.1.0.4 2009.02.01 W32/Heuristic-THX!Eldorado
Avast 4.8.1281.0 2009.02.01 Win32:Trojan-gen {Other}
AVG 8.0.0.229 2009.01.31 Generic_c.ABCE
BitDefender 7.2 2009.02.01 Trojan.Generic.1221237
CAT-QuickHeal 10.00 2009.01.31 Trojan.Buzus.advy
ClamAV 0.94.1 2009.02.01 Trojan.Buzus-3653
Comodo 957 2009.02.01 TrojWare.Win32.Buzus.advy
DrWeb 4.44.0.09170 2009.02.01 -
eSafe 7.0.17.0 2009.02.01 -
eTrust-Vet 31.6.6335 2009.01.29 -
F-Prot 4.4.4.56 2009.02.01 W32/Heuristic-THX!Eldorado
F-Secure 8.0.14470.0 2009.02.01 Trojan:W32/Agent.GQJ
Fortinet 3.117.0.0 2009.02.01 -
GData 19 2009.02.01 Trojan.Generic.1221237
Ikarus T3.1.1.45.0 2009.02.01 Backdoor.Bifrose
K7AntiVirus 7.10.612 2009.01.31 Trojan.Win32.Buzus.advy
Kaspersky 7.0.0.125 2009.02.01 Trojan.Win32.Buzus.advy
McAfee 5512 2009.01.31 Generic.dx
McAfee+Artemis 5512 2009.01.31 Generic.dx
Microsoft 1.4306 2009.02.01 Backdoor:Win32/Poisonivy.E
NOD32 3816 2009.02.01 probably a variant of Win32/Packed.Themida
Norman 6.00.02 2009.01.31 W32/Malware.EMAB
nProtect 2009.1.8.0 2009.01.30 -
Panda 9.5.1.2 2009.02.01 Trj/Buzus.AH
PCTools 4.4.2.0 2009.02.01 -
Prevx1 V2 2009.02.01 Cloaked Malware
Rising 21.14.61.00 2009.02.01 -
SecureWeb-Gateway 6.7.6 2009.01.30 Trojan.Crypt.TPM.Gen
Sophos 4.38.0 2009.02.01 Mal/Generic-A
Sunbelt 3.2.1835.2 2009.01.16 Trojan.Crypt.TPM.Gen
Symantec 10 2009.02.01 Trojan Horse
TheHacker 6.3.1.5.243 2009.02.01 -
TrendMicro 8.700.0.1004 2009.01.30 -
VBA32 3.12.8.12 2009.02.01 Trojan.Win32.Buzus.advy
ViRobot 2009.1.31.1583 2009.01.31 Spyware.Buzus.1753600
VirusBuster 4.5.11.0 2009.02.01 -

e attualmente HijackThis v2.0.2 mi restituisce questo log:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17.51.03, on 02/02/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\Programmi\COMODO\Firewall\cmdagent.exe
C:\Programmi\Prevx\prevx.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programmi\Creative\Shared Files\Module Loader\DLLML.exe
C:\WINDOWS\CTHELPER.EXE
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programmi\Logitech\GamePanel Software\LCD Manager\LCDMon.exe
C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\Programmi\Logitech\GamePanel Software\G-series Software\LGDCore.exe
C:\Programmi\Microsoft IntelliPoint\ipoint.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe
C:\Programmi\UltraVNC\winvnc.exe
C:\Programmi\DU Meter\DUMeter.exe
C:\Programmi\Creative\SBAudigy4\Surround Mixer\CTSysVol.exe
C:\Programmi\VMware\VMware Workstation\vmware-authd.exe
c:\Programmi\Microsoft IntelliPoint\dpupdchk.exe
C:\Programmi\COMODO\Firewall\cfp.exe
C:\Programmi\Logitech\GamePanel Software\LCD Manager\Applets\LCDPop3.exe
C:\Programmi\Logitech\GamePanel Software\LCD Manager\Applets\LCDMedia.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Logitech\GamePanel Software\LCD Manager\Applets\LCDClock.exe
C:\Programmi\Prevx\prevx.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\Programmi\Schmads Inc\G15_TeamSpeak\G15_TeamSpeak.exe
C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe
C:\Programmi\File comuni\VMware\VMware Virtual Image Editing\vmount2.exe
C:\Programmi\DAEMON Tools Lite\daemon.exe
D:\File importanti\Hardware\Overclock-Test-Monitoring Hardware\CoreTemp\Core Temp.exe
C:\WINDOWS\system32\vmnat.exe
C:\WINDOWS\system32\vmnetdhcp.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\Programmi\Windows Live\Messenger\usnsvc.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Skype\Plugin Manager\skypePM.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://media.warrock.net/inGameAds/index.html
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 4.231.5.69:80
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [StartCCC] "C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [AudioDrvEmulator] "C:\Programmi\Creative\Shared Files\Module Loader\DLLML.exe" -1 AudioDrvEmulator "C:\Programmi\Creative\Shared Files\Module Loader\Audio Emulator\AudDrvEm.dll"
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Launch LCDMon] "C:\Programmi\Logitech\GamePanel Software\LCD Manager\LCDMon.exe"
O4 - HKLM\..\Run: [Launch LGDCore] "C:\Programmi\Logitech\GamePanel Software\G-series Software\LGDCore.exe" /SHOWHIDE
O4 - HKLM\..\Run: [IntelliPoint] "c:\Programmi\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [ultravnc] C:\Programmi\UltraVNC\winvnc.exe
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Programmi\COMODO\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [DU Meter] C:\Programmi\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [CTSysVol] C:\Programmi\Creative\SBAudigy4\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [COMODO Internet Security] "C:\Programmi\COMODO\Firewall\cfp.exe" -h
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programmi\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [Core Temp] "D:\File importanti\Hardware\Overclock-Test-Monitoring Hardware\CoreTemp\Core Temp.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - Unknown owner - C:\Programmi\COMODO\Firewall\cmdagent.exe
O23 - Service: CSIScanner - Prevx - C:\Programmi\Prevx\prevx.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: SiSoftware Deployment Agent Service (SandraAgentSrv) - SiSoftware - C:\Programmi\SiSoftware\SiSoftware Sandra Lite 2009\RpcAgentSrv.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Programmi\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe
O23 - Service: VMware Virtual Mount Manager Extended (vmount2) - VMware, Inc. - C:\Programmi\File comuni\VMware\VMware Virtual Image Editing\vmount2.exe
O23 - Service: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe

--
End of file - 10253 bytes

come detto sopra mi domando se questo spyware abbia trafugato le pass di firefox e se abbia anche fatto da keylogger,in entrambi i casi sarei rovinato... successivamente vorrei sapere se cè ancora qualche problema che va risolto... :(
grazie infinite in anticipo a chi mi da una mano... :mano:

Chill-Out

02-02-2009, 18:20

Il tuo AV che dovrebbe essere Avira non sembra funzionante, dal log di HJT non risulta in Run

matte91snake

02-02-2009, 18:24

si ne sono consapevole,avira l ho messo dopo essere stato infettato,non sono successe mille cose e nn capisco perchè non starta.. solitamnete non uso antivirus, mi bastavano firewall + hips...
solo che da bravo pollo l ' hips mi avvisava dello spyware e sopra pensiero gli ho dato l ' ok a eseguirlo :muro:
avira l ho usato in mod provvisoria sotto administrtor per fare una scansione.. non mi ricordo con esattezza cosa ha rimosso e cosa no..boh sono veramente in confusione... :confused:
non so cosa fare aiuto :mc:

wjmat

02-02-2009, 19:59

segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post (http://www.hwupgrade.it/forum/showpost.php?p=25836804&postcount=6), e secondo le modalità (http://www.hwupgrade.it/forum/showthread.php?t=1779308)

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.

per dubbi o problemi su qualche programma od operazione cerca informazioni aggiuntive qui (http://www.hwupgrade.it/forum/showthread.php?t=1816182)
se il pc è molto compromesso (es. riavvii frequenti, schermate blu, impossibilità di installare i software di sicurezza) oppure hai problemi con internet per aggiornare i programmi leggi qui (http://www.hwupgrade.it/forum/showpost.php?p=24315070&postcount=27)
se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione

Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

link caricamento log generici ► fileqube.com ■ (http://fileqube.com/) wikisend.com (http://wikisend.com/) ■ mediafire.com (http://www.mediafire.com/index.php)
link caricamento immagini ► fileqube.com ■ imageshack.us (http://fileqube.com/)

matte91snake

02-02-2009, 20:31

ok wjmat ora provvedo.
intanto, come posso fare per far partire il motore di evira all'accensione del pc?se lo provo ad avviare dal programma si blocca :S
cmq appena mi arrivano i componenti nuovi del pc faccio un bel formattone, e dato che comodo personal firewall mi piace molto, metterò la suite intera antivirus firewall e hips :D

wjmat

03-02-2009, 08:52

comincia a seguire la guida,avira lo vediamo dopo
l'antivirus integrato in comodo non vale una cippa, vedi invece di configurare meglio antivir se già non lo avevi fatto ;)

matte91snake

03-02-2009, 13:16

ho fatto scansioni con antivir e avg in locale, mentre ho fatto quella online di panda e trendmicro.
dovrebbe essere tt apposto...
ora quello che mi preme sapere è se quello spyware ha trafugato qualcosa dal mio pc, in caso posotivo devo correre ai ripari, e anche in fretta...
cmq in futuro mi consigli di disabilitare l' Av di comodo e mettere avg o antivir o che altro?

wjmat

03-02-2009, 13:41

noi vorremmo vedere i log delle scansioni indicate nella guida ;)

matte91snake

03-02-2009, 15:07

ecco qua
http://www.fileqube.com/file/upZlQRS170525