Problema virus su pc in rete [Archivio]

Stewie82

03-03-2009, 09:53

Salve a tutti.
Il mio problema è il seguente, e riguarda l'ufficio dove lavoro. Ci sono diversi pc appartenenti ad un dominio, e su tre di questi ho il seguente problema: ogni tanto Antivir mi rileva un virus su un file presente in system32, che puntualmente elimino ma poi ricompare, almeno 4 volte al giorno. La cosa strana è che il messaggio di antivir compare su questi 3 pc contemporaneamente e dando anche come infetto dei file con nome diverso.

La rete è strutturata nel seguente modo: Server che "crea" il dominio (scusate i termini ma di rete ci capisco poco nulla) PRIVO di antivirus. Questo serve a mettere in rete i pc far loro e principalmente viene usato come file server in quanto tutti i pc lavorano su file che si trovano su quel pc. Gli altri pc sono appunto appartenenti al dominio, e su tutti è presente Antivir PE (sono a conoscenza del fatto che è una licenza per utenti home, ma non è una mia scelta).
Tutti i pc (una 15ina) lavorano con windows XP, ad eccezione di un windows2000 e di un Vista64.

L'unica cosa che "lega" questi tre pc dagli altri è stato il creare su ogni pc una cartella condivisa, in modo da poter scambiare file senza dover per forza passare dal server..cartella che ho rimosso ma il probelma persiste.

Di strano è che il messaggio si presente anche se il pc non è utilizzato, semplicemente essendo acceso (non ho potuto provare a lasciarlo acceso senza rete in quanto vengono tutti utilizzati)

Ho provato ad effettuare scansioni sia con antivir che con Kaspersky removal tool ma non trova nulla.

Di seguito allego il messaggio di antivir.

Spero di essermi spiegato, in caso fate domande che vedrò di rispondervi

Grazie per l'aiuto

http://img16.imageshack.us/img16/4971/viruz.th.jpg (http://img16.imageshack.us/my.php?image=viruz.jpg)

wjmat

03-03-2009, 12:51

ciao

non sono state fatte scansioni antispyware?

bozzato

03-03-2009, 15:14

provato con MBAM? Altrimenti prova un toll di rimozione trojan....

Stewie82

03-03-2009, 16:44

ciao

non sono state fatte scansioni antispyware?
Si, senza risultati con spybot su 2 pc e spyware terminator sull'altro. A tal proposito qual'è il miglior antispy?

provato con MBAM? Altrimenti prova un toll di rimozione trojan....
e' diverso da spybot?
toll di rimozione trojan, del tipo? Kaspersky removal tool non a bene?

wjmat

03-03-2009, 16:53

se vuoi ripulire per bene i pc segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post (esempio) (http://www.hwupgrade.it/forum/showpost.php?p=25836804&postcount=6), e secondo le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)

carica in un post tutti i log del pc1 in un altro quelli del pc2 e così via

Chill-Out

03-03-2009, 16:56

Qual'è la piattaforma del Server ?

Stewie82

03-03-2009, 17:33

se vuoi ripulire per bene i pc segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post (esempio) (http://www.hwupgrade.it/forum/showpost.php?p=25836804&postcount=6), e secondo le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)

carica in un post tutti i log del pc1 in un altro quelli del pc2 e così via
Cavolo..a seguire quella guida per i tre pc mi ci vuole una settimana, e i pc è un casino averli a disposizione, ma vedrò che si può fare

Qual'è la piattaforma del Server ? Il server che fa il dominio è un Windows 2000 server

La cosa strana è proprio che quando compare la notifica di Antivir su un pc compare almeno su uno degli altri due, e quasi sempre su tutti e tre..e spesso la notifica è doppia se non tripla..

wjmat

03-03-2009, 18:10

se l'infezione è la stessa potresti cominciare a ripulirne uno completamente e vedere quali sono le scansioni risolutive da effettuare anche sugli altri

Stewie82

05-03-2009, 12:34

Ecco qua:
Malwarebytes Anti-Malware: 02_mbam-log-2009-03-04 (09-25-57).txt (http://wikisend.com/download/564464/02_mbam-log-2009-03-04 (09-25-57).txt)
A-Squared Free v3.x: 03_a2scan_090304-094621.txt (http://wikisend.com/download/208608/03_a2scan_090304-094621.txt)
Kaspersky Removal Tool: 04_kasp.zip (http://wikisend.com/download/515770/04_kasp.zip)
Dr.Web CureIT: 05_cureit.zip (http://wikisend.com/download/875706/05_cureit.zip)
ESET SysInspector: 06_SysInspector-S21-090305-1111.xml (http://wikisend.com/download/536100/06_SysInspector-S21-090305-1111.xml)
HiJackThis: 07_hijackthis.txt (http://wikisend.com/download/583860/07_hijackthis.txt)
PrevxCSI:
http://img4.imageshack.us/img4/7116/09screenprevcsi.th.jpg (http://img4.imageshack.us/my.php?image=09screenprevcsi.jpg)

Ho seguito la guida che mi hai linkato, in ordine. Gmer ha il log vuoto, la scansione mi ha detto che non ha trovato nulla. PrevCSI ho dovuto scaricare dal sito la versione per x64, ma l'opzione per salvare il log non l'ho trovata.
Ho provato a ridurre i log di CureIt e kaspersky, ma mi dava un file di testo vuoto, così ho zippato i file

Il tutto fatto su pc con Vista64

Attendo vostre notizie :D

xcdegasp

05-03-2009, 14:31

Ecco qua:
Malwarebytes Anti-Malware: 02_mbam-log-2009-03-04 (09-25-57).txt (http://wikisend.com/download/564464/02_mbam-log-2009-03-04 (09-25-57).txt)
A-Squared Free v3.x: 03_a2scan_090304-094621.txt (http://wikisend.com/download/208608/03_a2scan_090304-094621.txt)
Kaspersky Removal Tool: 04_kasp.zip (http://wikisend.com/download/515770/04_kasp.zip)
Dr.Web CureIT: 05_cureit.zip (http://wikisend.com/download/875706/05_cureit.zip)
ESET SysInspector: 06_SysInspector-S21-090305-1111.xml (http://wikisend.com/download/536100/06_SysInspector-S21-090305-1111.xml)
HiJackThis: 07_hijackthis.txt (http://wikisend.com/download/583860/07_hijackthis.txt)
PrevxCSI:
http://img4.imageshack.us/img4/7116/09screenprevcsi.th.jpg (http://img4.imageshack.us/my.php?image=09screenprevcsi.jpg)

Ho seguito la guida che mi hai linkato, in ordine. Gmer ha il log vuoto, la scansione mi ha detto che non ha trovato nulla. PrevCSI ho dovuto scaricare dal sito la versione per x64, ma l'opzione per salvare il log non l'ho trovata.
Ho provato a ridurre i log di CureIt e kaspersky, ma mi dava un file di testo vuoto, così ho zippato i file

Il tutto fatto su pc con Vista64

Attendo vostre notizie :D

rifai la scansione con a-squared ma scegliendo "scan deep" inquanto hai fatto quella veloce :)

nel log hijackthis non vedo nulla di insolito...

wjmat

05-03-2009, 14:43

i log di kasp e cureit andavano rinominati correttamente prima di filtrarli ;)

[Scan path] C:\
C:\ComboFix\c.bat probabile infezione da BATCH.Virus
C:\ComboFix\psexec.cfexe è un programma riskware Program.PsExec.171
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy\Backups\regLocal.reg probabile infezione da SCRIPT.Virus
C:\Documents and Settings\All Users\Dati applicazioni\Spybot - Search & Destroy\Backups\regLocal.reg probabile infezione da SCRIPT.Virus
C:\Documents and Settings\All Users\Spybot - Search & Destroy\Backups\regLocal.reg probabile infezione da SCRIPT.Virus
>>>>C:\Documents and Settings\s21.SIANI\Downloads\aesetup2.3.exe/data001\»FÝº¨6$³tÝ³Õ!J)æÜÁ¦_în]ÙÀ-ªÖ+%à§[-ÅYÿ¦[B¿Ò
»eTGL¦¤
C:\ProgramData\Spybot - Search & Destroy\Backups\regLocal.reg probabile infezione da SCRIPT.Virus
C:\Users\All Users\Application Data\Spybot - Search & Destroy\Backups\regLocal.reg probabile infezione da SCRIPT.Virus
C:\Users\All Users\Dati applicazioni\Spybot - Search & Destroy\Backups\regLocal.reg probabile infezione da SCRIPT.Virus
C:\Users\All Users\Spybot - Search & Destroy\Backups\regLocal.reg probabile infezione da SCRIPT.Virus
>>>>C:\Users\s21.SIANI\Downloads\aesetup2.3.exe/data001\»FÝº¨6$³tÝ³Õ!J)æÜÁ¦_în]ÙÀ-ªÖ+%à§[-ÅYÿ¦[B¿Ò
»eTGL¦¤

[Scan path] I:\

-----------------------------------------------------------------------------
Statistiche delle Scansioni
-----------------------------------------------------------------------------
Oggetti controllati: 507396
Trovati oggetti Infetti: 0
Trovato Oggetti modificati: 0
Trovato oggetti Sospetti: 8
Trovato Adware: 0
Trovato Dialer: 0
Trovato Riskware: 1
Trovato Hacktool: 0
Oggetti curati: 0
Oggetti cancellati: 0
Oggetti rinominati: 0
Oggetti spostati: 0
Oggetti ignorati: 0
Velocità di scansione: 317 Kb/s
Durata scansione: 02:04:13

Scan
----
Scanned: 369380
Detected: 1
Untreated: 0
Start time: 04/03/2009 10.56.12
Duration: 02.17.04
Finish time: 04/03/2009 13.13.16

Detected
--------
Status Object
------ ------
deleted: virus Net-Worm.Win32.Kido.ih File: c:\windows\system32\qgzama.eh//PE_Patch.UPX//UPX

lo screen di prevx è precedente a kasp?

Stewie82

05-03-2009, 15:28

rifai la scansione con a-squared ma scegliendo "scan deep" inquanto hai fatto quella veloce :)

nel log hijackthis non vedo nulla di insolito...
Ok..domani provo

i log di kasp e cureit andavano rinominati correttamente prima di filtrarli ;)

lo screen di prevx è precedente a kasp?

I log sono esattamente nell'ordine in cui li ho postati, lo screen è l'ultima scansione che ho fatto

Per kasp e cureit ho rinominato i file come diceva il prompt, e mi ha creato un file nuovo, ma era vuoto

wjmat

05-03-2009, 15:45

prevx l'avevi già fatto girare a inizio guida?
se si disinstallalo e reinstallalo e nuovo log

Stewie82

05-03-2009, 15:56

No, su quel pc no. Ho seguito alla lettera la guida con il relativo ordine: è stato l'ultimo programma che ha girato.

Ora è installato su un'altro pc, e mi da la stessa notifica di antivir (nel senso lo stesso file) ma per disinfettarlo mi chiede licenza a pagamento

Stewie82

05-03-2009, 16:11

stavo controllando il task manager e ho notato che ci sono un sacco di rundll32.exe in esecuzione che non mi sembrano normali..che mi dite?

vi posto log di process explorer

Process PID CPU Description Company Name
System Idle Process 0 100.00
Interrupts n/a Hardware Interrupts
DPCs n/a Deferred Procedure Calls
System 4
smss.exe 504 Windows NT Session Manager Microsoft Corporation
csrss.exe 768 Client Server Runtime Process Microsoft Corporation
winlogon.exe 792 Applicazione Accesso a Windows NT Microsoft Corporation
services.exe 836 Applicazione Servizi e Controller Microsoft Corporation
svchost.exe 1032 Generic Host Process for Win32 Services Microsoft Corporation
WSCommCntr1.exe 3388 Autodesk Communication Center Autodesk, Inc.
WISPTIS.EXE 3068 Microsoft Tablet PC Component Microsoft Corporation
svchost.exe 1100 Generic Host Process for Win32 Services Microsoft Corporation
svchost.exe 1188 Generic Host Process for Win32 Services Microsoft Corporation
rundll32.exe 3080 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 1156 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 556 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 3280 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 4276 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 4304 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 4312 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 4560 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 4908 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 4892 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 4996 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 5080 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 4852 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 1520 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 3804 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 3472 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 4900 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 3844 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 5972 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 5560 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 5716 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
rundll32.exe 5260 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
svchost.exe 1312 Generic Host Process for Win32 Services Microsoft Corporation
svchost.exe 1348 Generic Host Process for Win32 Services Microsoft Corporation
spoolsv.exe 1480 Spooler SubSystem App Microsoft Corporation
sched.exe 1560 Antivirus Scheduler Avira GmbH
avguard.exe 1696 Antivirus On-Access Service Avira GmbH
BTNtService.exe 1708
prevx.exe 1740 Prevx Computer Security Investigator Prevx
prevx.exe 3852 Prevx Computer Security Investigator Prevx
jqs.exe 1844 Java(TM) Quick Starter Service Sun Microsystems, Inc.
LSSrvc.exe 1868 LightScribe Service Hewlett-Packard Company
mdm.exe 2036 Machine Debug Manager Microsoft Corporation
Apache.exe 152 Apache HTTP Server Apache Software Foundation
Apache.exe 1328 Apache HTTP Server Apache Software Foundation
NBService.exe 240 Nero BackItUp Nero AG
nvsvc32.exe 268 NVIDIA Driver Helper Service, Version 178.13 NVIDIA Corporation
hpzipm12.exe 312 PML Driver HP
sp_rsser.exe 396 Spyware Terminator Realtime Shield Service Crawler.com
StartSkysolSvc.exe 696
svchost.exe 748 Generic Host Process for Win32 Services Microsoft Corporation
CALMAIN.exe 1256 Canon Camera Access Library 8 Canon Inc.
wmiapsrv.exe 2952 Servizio scheda WMI Performance Microsoft Corporation
alg.exe 3040 Application Layer Gateway Service Microsoft Corporation
usnsvc.exe 548 Messenger Sharing USN Journal Reader Service Microsoft Corporation
AdskScSrv.exe 3244 System Level Service Utility Autodesk
lsass.exe 848 LSA Shell (Export Version) Microsoft Corporation
explorer.exe 3756 Esplora risorse Microsoft Corporation
RTHDCPL.exe 2988 Realtek HD Audio Control Panel Realtek Semiconductor Corp.
rundll32.exe 1600 Modulo di esecuzione DLL come applicazioni Microsoft Corporation
jusched.exe 1604 Java(TM) Platform SE binary Sun Microsystems, Inc.
SpywareTerminatorShield.Exe 3252 Spyware Terminator Realtime Shield Crawler.com
ctfmon.exe 3260 CTF Loader Microsoft Corporation
OUTLOOK.EXE 1024 Microsoft Office Outlook Microsoft Corporation
procexp.exe 3780 Sysinternals Process Explorer Sysinternals - www.sysinternals.com
avgnt.exe 3352 Antivirus System Tray Tool Avira GmbH
acad.exe 708 AutoCAD Application Autodesk, Inc.
AdskCleanup.0001 656 Cleanup Macrovision Europe Ltd.

Premetto che non è il pc su cui ho fatto la scansione ma un'altro, cmq tutti e due i pc infetti che hanno XP hanno questa sfilza di rundll32.exe

wjmat

05-03-2009, 16:18

con process explorer
Nel menù View clicca Select Columns...
Sotto la scheda Process Image devono essere spuntate le voci "Description" "Company Name" "Image Path"
Sotto la sheda "Process memory" devono essere spuntate le voci "Working set size" e "Peak Working Set Size"
carica un nuovo log

carica secondo le modalità (http://www.hwupgrade.it/forum/showthread.php?t=1751598) anche il log di Prevx (http://www.hwupgrade.it/forum/showpost.php?p=24033225&postcount=14)

Chill-Out

05-03-2009, 21:17

Il problema è il seguente Conficker/Downadup/Kido

Stewie82

06-03-2009, 08:32

con process explorer
Nel menù View clicca Select Columns...
Sotto la scheda Process Image devono essere spuntate le voci "Description" "Company Name" "Image Path"
Sotto la sheda "Process memory" devono essere spuntate le voci "Working set size" e "Peak Working Set Size"
carica un nuovo log

carica secondo le modalità (http://www.hwupgrade.it/forum/showthread.php?t=1751598) anche il log di Prevx (http://www.hwupgrade.it/forum/showpost.php?p=24033225&postcount=14)

Ho rifatto il log di process explorer come mi hai detto, solo che l'ho rifatto questa mattina quando l'infezione non era ancora comparsa, ecco qua: Procexp2.TXT (http://wikisend.com/download/954688/Procexp2.TXT)

Questo invece è il log di prevcsi, ma non ha trovato nulla: 09_prevx.log (http://wikisend.com/download/568416/09_prevx.log)

Stewie82

06-03-2009, 08:32

Il problema è il seguente Conficker/Downadup/Kido

Dove l'hai trovato? E sai come rimuoverlo :D ?

Chill-Out

06-03-2009, 09:25

Innazitutto è opportuno applicare il seguente aggiornamento http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx

Stewie82

06-03-2009, 09:46

Scaricato, ma mi da la notifica:

"l'aggiornamento non è applicabile al sistema in uso"

Chill-Out

06-03-2009, 10:16

Dipende dal sistema in uso mi semra di ricordare che i PC fossero diversi con SO vari, e da cosa hai scaricato vedi Tabella Affected Software

Stewie82

06-03-2009, 10:36

Dici bene: il pc su cui ho seguito la guida è un Vista64, ed ho scaricato la patch per questo s.o.

Solo i log di process explorer li ho fatti su un pc con XP

Se volete posso fare un log di process explorer su Vista, ma stamattina il virus non si è ancora presentato

Stewie82

06-03-2009, 10:39

rifai la scansione con a-squared ma scegliendo "scan deep" inquanto hai fatto quella veloce :)

nel log hijackthis non vedo nulla di insolito...

Con a-squared ho fatto la scansione completa, cosa intendi con "scan deep" ?

Cosa strana: sui due pc dove non ho ancora fatto scansioni stamattina è comparso il virus, e controllando nel task manager ho visto la sfilza di rundll32.exe.
Ho aperto process explorer, selezionato le colonne che mi son state dette, e per sbaglio ho slezionato pure la colonna "command line": se controllate il log, dove ci sono i rundll32.exe, in fondo c'è il "command line" ed è proprio il file che mi ha segnalato antivir..
Di seguito il log
log-proces-ex.TXT (http://wikisend.com/download/524038/log-proces-ex.TXT)

Spero di non creare confusione, ma i pc vengono usati da 3 persone ed è un casino xchè servono per lavoro: il seguente log è riferito ad un windowsXP, ma NON lo stesso dell'altro log di process explorer

Pac

06-03-2009, 16:55

Ho lo stesso problema anche io. E ha iniziato a saltarmi fuori esattamente nel momento in cui mi hanno installato il router fastweb...ora non so se c'entri qualcosa magari è solo un caso ma magari è un'informazione utile alla causa.
Ora sto provando a fare una scansione on line con bitdefender

Stewie82

09-03-2009, 14:17

Progressi pochi, sembra che dopo aver seguito la guida il fenomeno sia meno frequente, ma non è sparito.

Per di piu' sembra che si sia diffuso anche su altri pc della rete :(

Stewie82

10-03-2009, 17:42

Ecco qua:
Malwarebytes Anti-Malware: 02_mbam-log-2009-03-10 (15-31-44).txt (http://wikisend.com/download/483110/02_mbam-log-2009-03-10 (15-31-44).txt)
A-Squared Free v3.x: 03_a2scan_090310-154321.txt (http://wikisend.com/download/511084/03_a2scan_090310-154321.txt)
F-Secure OnLine: 04_ols_report.htm (http://wikisend.com/download/482676/04_ols_report.htm)
Dr.Web CureIT: 05_cureit filtrato.txt (http://wikisend.com/download/230422/05_cureit filtrato.txt)
ESET SysInspector: 06_SysInspector-S22-090310-1723.xml (http://wikisend.com/download/900780/06_SysInspector-S22-090310-1723.xml)
Hijackthis: 07_hijackthis.txt (http://wikisend.com/download/562896/07_hijackthis.txt)
Gmer: 08_gmer.log (http://wikisend.com/download/505436/08_gmer.log)
PrevxCSI: 09_prevxCSI.log (http://wikisend.com/download/860242/09_prevxCSI.log)
http://img15.imageshack.us/img15/1492/09prevxcsi.th.jpg (http://img15.imageshack.us/my.php?image=09prevxcsi.jpg)

Ho riseguito la guida sul pc con windowsXP, questi sono i log.

Sul pc con vista ho provato a mettere Kaspersky AV, e problemi non me ne ha dati..

Stewie82

13-03-2009, 11:45

Trovato una cosa strana, che riguarda tutti i pc infetti: in "operazioni pianificate" ho trovato un sacco di comandi riferenti appunto a rundll32.exe e ai virus che mi segnava, vi riporto il log fatto dal pc con vista:
At13.xml (http://wikisend.com/download/565780/At13.xml)

Le ho eliminate tutte ad eccezione di una, se vi servono info chiedete che poi elimino pure quella

Stewie82

16-03-2009, 20:55

Mentre il virus sembra diffondersi, ho trovato un'ulterie cosa strana: ho eliminato le operazioni pianificate da tutti i pc, e il problema su 2 sembra si sia risolto, nel senso che Antivir e altri prg non hanno rilevato nulla.

Il problema mi è rimasto su 2 pc. Cercando di sistemare altre cose, sono finito in Impostazioni protezione locale, e su alcuni criteri era abilitato un utente molto strano, una cosa del tipo *S-1-xxxxxx dove al posto delle x c'era una fila di numeri che non finiva più, e la cosa mi ha colpito più che altro per via dell'*

Ho controllato sui pc non infetti e tale utente non appariva: ho provveduto ad eliminare l'utente dai criteri relativi, e domani vedremo se il problema si ripresenta

Stewie82

17-03-2009, 14:15

Nada..lo strano utente non c'è piu, ma continua a riformarsi quell'operazione pianificate che ogni tot fa partire l'eseguibile che crea il trojan..Antivir lo trova, lo elimina ma il problema rimane..

bozzato

17-03-2009, 14:55

prova a disabilitare il ripristino:)

Stewie82

17-03-2009, 15:11

Già fatto, faceva parte della guida. Inoltre uno dei due pc infetti è con windows2000 che se non erro non ha nemmeno il ripristino

Stewie82

20-03-2009, 08:20

Atro comportamento anomalo.

Il pc in caso è quello con Vista64. All'inizio era presente Antivir PE, e ho seguito la guida per la disinfezione senza esiti. In tutto questo prevxCSI era installato ed è sempre rimasto installato e ogni tanto compariva la sua finestra dicendo di aver trovato qualcosa. Ho provato per curiosità e rimuover Antivir e mettere KasperskyAV: lui di virus non ne ha trovati, ho rifatto girari i diversi prg di analisi ma nessuno trovava nulla. Ora ho rimesso antivir PE (scaricato ieri dal sito): lui per ora non mi ha trovato nulla, ma prevCSI mi ha già segnalato due volte un possibile file infetto: system32\bssdk.dll "High Risk Fraudolent Program"

In ogni caso il problema è ancora presente, in forma molto ridotta ma lo fa ancora sugli stessi pc di prima

xcdegasp

20-03-2009, 10:30

i link ai log non puntano ai log corretti pertanto non mi è possibile darti una mano :boh:

Stewie82

20-03-2009, 10:36

Oddio..hai ragione, alcuni portano a file a caso..ma quale può ossere la causa?

Altro sito dove poterli linkare?

Dici di rifarli?

Ieri ho provato malwarebytes e a squared e non hanno trovato nulla..

xcdegasp

20-03-2009, 10:42

wikisend di solito è preciso, puoi provare a inviarli anche su http://freefilehosting.net che è sempre gratuito :)

Stewie82

20-03-2009, 10:54

wikisend di solito è preciso, puoi provare a inviarli anche su http://freefilehosting.net che è sempre gratuito :)

Ok

Come già detto, ieri malwarebytes asquared non hanno trovato nulla, ma non ho fatto i log: devo rifarli e postare i nuovi log?

Ora sto facendo Eset Online..poi continuo a seguire l'ordine e posto i log..

xcdegasp

20-03-2009, 11:15

prosegui, fai anche f-secure online ;)

Stewie82

20-03-2009, 12:42

Ho utilizzato eset perchè fsecure non funziona con Vista64

Eset non ha trovato nulla, ma mentre faceva la scansione on-line Antivir mi ha trovato questo: Events_Antivir.txt (http://freefilehosting.net/download/46608)

xcdegasp

20-03-2009, 13:08

mmhh è nei temporanei quindi un giro di atf-cleaner e scansione completa con avira :)

Stewie82

24-03-2009, 09:24

Fatto ma nada..non ha trovato nulla.

Ora sul pc con Vista64 il problema sembra non essersi piu' presentato, anche se prevxCSI ogni mattina mi rileva questo:
http://img7.imageshack.us/img7/9585/prevxcsi.th.jpg (http://img7.imageshack.us/my.php?image=prevxcsi.jpg)
prevxCSI_1237886605935_4.log (http://freefilehosting.net/download/468ag)

Facendo scansioni con malwarebytes, a2squared e antivir non trova nulla..neppure dr.web.it (e anche questa volta non riesco a ridurre il log..mi crea un file vuoto)

wjmat

24-03-2009, 09:33

Fai controllare quel file su www.virustotal.com e su http://virscan.org/

Una volta sui siti clicca su sfoglia -> cerca il file -> conferma -> Clicca Invia o Upload e attendi l'esito.
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollali nella discussione

Se non dovessi trovare il file abilita la visualizzazione dei files nascosti / di sistema (http://www.hwupgrade.it/forum/showpost.php?p=25063497&postcount=39)
Alla fine della verifica rimetti le impostazioni originali

Stewie82

24-03-2009, 14:20

Fai controllare quel file su www.virustotal.com e su http://virscan.org/

Una volta sui siti clicca su sfoglia -> cerca il file -> conferma -> Clicca Invia o Upload e attendi l'esito.
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollali nella discussione

Se non dovessi trovare il file abilita la visualizzazione dei files nascosti / di sistema (http://www.hwupgrade.it/forum/showpost.php?p=25063497&postcount=39)
Alla fine della verifica rimetti le impostazioni originali

Ecco qua:
VirusTotal (http://www.virustotal.com/it/analisis/64e5c35a37d3f16d73c2263114554f48)
VirSCAN (http://virscan.org/report/3b5491cd48e01aba03ec6be55e204f7f.html)

Posto anche i seguenti log:
SysInspector-S21-090324-0929.xml (http://freefilehosting.net/download/468ge)
hijackthis_1237904346687_54.log (http://freefilehosting.net/download/468gf)

xcdegasp

27-03-2009, 11:21

Ecco qua:
VirusTotal (http://www.virustotal.com/it/analisis/64e5c35a37d3f16d73c2263114554f48)
VirSCAN (http://virscan.org/report/3b5491cd48e01aba03ec6be55e204f7f.html)

Posto anche i seguenti log:
SysInspector-S21-090324-0929.xml (http://freefilehosting.net/download/468ge)
hijackthis_1237904346687_54.log (http://freefilehosting.net/download/468gf)

non risulta nulla di anomalo da quei logs :)