Problemi con trojan (Win XP)

[karim1]

Ciao, mi stanno arrivando diversi avvisi di trojan ed altre minacce da diversi antivirus: AVG e Pc tools Spyware Doctor.
Io gli elimino quando posso ma mi da spesso altri avvisi come il file svchost.exe o altri file soprattutto del sistema.
Non so più che fare, ho provato ad usare il ripristino configurazione di sistema di 4 giorni fa ma non funziona, mi dice errore e questo non è un buon segno.
Ho provato anche a fare uno scan con Hijackthis ma non so leggere bene i risultati e temo di poter eliminare le cose sbagliate. Se lo volete vedere chiedetemi.
Potreste aiutarmi p.f.?

[wjmat]

Ciao

segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post (esempio) (http://www.hwupgrade.it/forum/showpost.php?p=25836804&postcount=6), e secondo le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.


Se il sistema dovesse essere molto compromesso, e non dovessi riuscire a seguire la guida, prova ad effettuare le prime 4 scansioni da modalità provvisoria (http://www.hwupgrade.it/forum/showpost.php?p=25116981&postcount=41), se non bastasse effettua prima una scansione con il rescue cd di Kaspersky (http://www.hwupgrade.it/forum/showthread.php?t=1878747) o di Avira (http://www.hwupgrade.it/forum/showthread.php?t=1689812) per fare una pulizia preliminare.
In caso di continui riavvi, schermate blu, ecc.. stacca eventuali hardware nuovi, magari incompatibili e per escludere problemi con quelli già in uso fai un controllo del disco (http://www.hwupgrade.it/forum/showpost.php?p=24113158&postcount=22) e della RAM (http://www.hwupgrade.it/forum/showpost.php?p=25062288&postcount=38)

Nel caso il pc da disinfettare abbia problemi con internet o non ce l'abbia proprio, nel bigino in firma guarda alla voce Portabilità di ogni programma, in modo da scaricare tutto il necessario da un pc pulito e portare tutto l'occorrente aggiornato sul pc infetto

Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione

Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...
link caricamento log generici ► fileqube.com ■ (http://fileqube.com/) wikisend.com (http://wikisend.com/) ■ mediafire.com (http://www.mediafire.com/index.php)
link caricamento immagini ► fileqube.com ■ picoodle.com (http://fileqube.com/) ■ imageshack.us (http://imageshack.us/)

[karim1]

Ecco la maggior parte dei log:

Malwarebytes:

Malwareb

ytes.txt (http://wikisend.com/download/536100/Malwarebytes.txt)
Questa era la prima scansione veloce.

mbam-log-2009-03-11 (22-40-35).txt (http://wikisend.com/download/875706/mbam-log-2009-03-11

(22-40-35).txt)
E questa quella completa.

quarantine.tx

t (http://wikisend.com/download/515770/quarantine.txt)

Poi quella di A-Squared:
quarantine.tx

t (http://wikisend.com/download/515770/quarantine.txt)

Quella di Dr.Web:
DrWeb.csv (http://wikisend.com/download/208608/DrWeb.csv)

Quella di SysInspector:
SysInspector Log.xml (http://wikisend.com/download/564464/SysInspector

Log.xml)

F Secure:
F-Secure

Log.txt (http://wikisend.com/download/515312/F-Secure Log.txt)

Hijackthis:
hijackthis

Log.txt (http://wikisend.com/download/512010/hijackthis Log.txt)

E PrevXCSI:

questa quella fatta all'inizio:
PrevxCSI.log (http://wikisend.com/download/618878/PrevxCSI.log)

E questa alla fine:
PrevX LOG

0.log (http://wikisend.com/download/877332/PrevX LOG 0.log)

[wjmat]

Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio (http://www.hwupgrade.it/forum/images_hwu/editor/attach.gif)

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)


O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase6662.cab
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - http://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab


manca il log di gmer ma per il resto mi sembra tutto ok, confermi?

[karim1]

Con Hijackthis ho eliminato le tre stringhe, grazie.
Mi potresti suggerire quali stringe 04 eliminare per un avvio più veloce?
Per gmer invece, come faccio ad ottenere il log?

[wjmat]

non ho visto nulla di particolare da farti fizare altrimenti l'avrei già fatto ;)

se non hai altri problemi ti consiglio il trattamento in firma per consigli vari
tra cui aggiornare ie alla versione 7

[Chill-Out]

Con Hijackthis ho eliminato le tre stringhe, grazie.
Mi potresti suggerire quali stringe 04 eliminare per un avvio più veloce?
Per gmer invece, come faccio ad ottenere il log?

E' importante vedere il log di Gmer quindi:

Dopo aver terminato la scansione cliccare su Copy, aprite il Blocco Note ed incollare il log

[karim1]

Ecco il Log di Gmer:

Gmer LOG.txt (http://wikisend.com/download/570958/Gmer LOG.txt)

[Chill-Out]

Ecco il Log di Gmer:

Gmer LOG.txt (http://wikisend.com/download/570958/Gmer LOG.txt)

Ok :)

[karim1]

Ho fatto un altro scan con MalwareBytes e mi ha trovato diverse cose.
MalwareBytes LOG.txt (http://wikisend.com/download/458282/MalwareBytes LOG.txt)

Cosa ne dite? Adesso è pulito o c'è ancora qualche rischio?

[Chill-Out]

Tuo log di MBAM del 11.03.09

Malwarebytes' Anti-Malware 1.34
Versione del database: 1836
Windows 5.1.2600 Service Pack 3

11.03.2009 22:40:35
mbam-log-2009-03-11 (22-40-35).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 155000
Tempo trascorso: 1 hour(s), 7 minute(s), 10 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 0

confrontandolo con il log adesso allegato si evince che ti sei reinfettato :rolleyes: