Entra

View Full Version : AIUTO NON RIESCO A RIMUOVERE VIRUS DA CHIAVETTA!!

viemme52
05-05-2009, 11:29
Il mio problema è il seguente:
ho preso un virus inserendo una chiavetta USB su un pc infetto, poi l'ho passata sul pc di un amico che con norton me l'ha "pulita"-->CREDEGHE!!:D
In realtà inserendola sul pc di casa scopro che essa contiene un file nascosto Autorun.inf e Recycler. Formatto la chiavetta ma subito dopo i 2 file ricompaiono!:eek:

Il mio antivirus, Antivir, non individua virus nella chiavetta ma i 2 file per me sono comunque sospetti.

Allora lancio una scansione del sistema e antivir trova sui boot sector HD1 e HD2 tracce del BOO\Sinowal.C ma non li elimina, dice di usare l'avira boot sector repair.
Creo un floppy di avvio e lancio la scansione avviando il sistema da floppy, però più di dirmi che ci sono tracce del virus non ripara niente!:confused:
Allora cercando su google trovo un'applicazione, la Norman Sinowal Cleaner, lancio una scansione, trova il virus e corregge il boot!
Faccio una scansione con Antivir e non trova niente di sospetto nel boot.

A questo punto inserisco la chiavetta e la formatto subito..ma subito dopo si rigenerano il Recycler e l'Autorun.inf!!:muro:
Faccio una scansione del pc e risulta pulito!:mbe:

Qualcuno sa dirmi come risolvere definitivamente il problema?

Grazie!!!;)
wjmat
05-05-2009, 12:04
Ciao
segui qui (http://www.hwupgrade.it/forum/showthread.php?t=1715546) la guida per la rimozione di MBR rootkit e posta in quella discussione tutti i log richiesti nella prima fase per verificare che tu sia pulito

segui qui (http://www.hwupgrade.it/forum/showthread.php?t=1599603) la guida per la rimozione di virus su chiavetta/errore apertura dischi e posta in quella discussione tutti i log richiesti, in un unico post, secondo le modalità (http://www.hwupgrade.it/forum/showthread.php?t=1751598).
viemme52
05-05-2009, 12:18
Grazie!;)
Chill-Out
05-05-2009, 14:43
Grazie!;)

Ciao segui questa procedura:


1 Disabilita il ripristino configurazione sistema -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

2 Fai pulizia con ATF Cleaner -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

3 Scarica questo Tool f-downadup (ftp://ftp.f-secure.com/anti-virus/tools/beta/f-downadup.zip) sul DeskTop scompattalo direttamente nella Directory C:\
Da Start - Esegui - digita f-downadup.exe --disinfect e clicca su OK
Attendi pazientemente ed al termine riavvia il PC, il log per il controllo lo trovi in C:\Windows\temp

4 Fai girare questo tool -> Download e Info (http://www.bdtools.net/how-to-remove-downadup.php)

5 Fai girare questo tool http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

6 Scansione completa con A-Squared come indicato qui -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737 al Punto 3


NB: è assolutamente consigliato scaricare i tool sopra indicati e seguire la procedura offline

*** REGOLE di SEZIONE - obbligatoria la lettura!! *** (http://www.hwupgrade.it/forum/showthread.php?t=1751598) --> dove troverai le modalità per allegare i log
viemme52
05-05-2009, 18:32
Ho fatto la procedura sopra indicata senza problemi per 2 volte!
Ecco i log:
http://www.fileqube.com/file/DLEPKd194177
Asquared durante la scansione non ha trovato niente.

Alla fine di tutto però Prevx mi ha trovato ancora un malware che prima non c'era..come toglierlo?
http://www.fileqube.com/file/EYQczVRhW194178
wjmat
05-05-2009, 19:29
carica se lo trovi il primo log di combofix



Disattiva eventuali protezioni in realtime di antivirus, antispyware, firewall se interferiscono
Apri il Blocco Note e incolla tutto il codice qui sotto


Driver::
ejpbjufs

netsvc::
ejpbjufs




Salva il file sul Desktop come CFScript.txt
Trascina il file di testo appena creato (CFScript.txt) sull'icona di ComboFix che riconoscerà il comando di cancellazione
al termine il PC si dovrebbe riavviare (eventualmente fallo tu manualmente) → al riavvio allega il log che trovi in C:\ComboFix.txt
viemme52
05-05-2009, 21:27
Ho trovato il primo log di Combofix;)
viemme52
05-05-2009, 21:28
al termine il PC si dovrebbe riavviare (eventualmente fallo tu manualmente) → al riavvio allega il log che trovi in C:\ComboFix.txt
[/LIST]

Ed ecco il log dell'operazione che mi hai fatto fare:
viemme52
05-05-2009, 21:34
E alla fine di tutto Prevx mi trova sempre questo malware:mad:
Ecco il log http://www.fileqube.com/file/cVbCnp194236

EDIT non è che per caso si tratta di un falso positivo? Perchè ho inserito la chiavetta contente il file Autorun.inf, l'ho formattata e NON si è rigenerato!!
Chill-Out
06-05-2009, 08:52
E alla fine di tutto Prevx mi trova sempre questo malware:mad:
Ecco il log http://www.fileqube.com/file/cVbCnp194236

EDIT non è che per caso si tratta di un falso positivo? Perchè ho inserito la chiavetta contente il file Autorun.inf, l'ho formattata e NON si è rigenerato!!

Il log di Prevx è OK, per cortesia allega un log di Gmer -->> Punto 8 http://www.hwupgrade.it/forum/showthread.php?t=1599737
viemme52
07-05-2009, 09:37
Il log di Prevx è OK, per cortesia allega un log di Gmer -->> Punto 8 http://www.hwupgrade.it/forum/showthread.php?t=1599737

Scusa per il ritardo..ecco il log!
Chill-Out
07-05-2009, 09:47
Scusa per il ritardo..ecco il log!

Dovremmo essere Ok, produci un log di HJT -->> Punto 7 http://www.hwupgrade.it/forum/showthread.php?t=1599737
viemme52
07-05-2009, 10:19
Dovremmo essere Ok, produci un log di HJT -->> Punto 7 http://www.hwupgrade.it/forum/showthread.php?t=1599737

Ecco qui!;) L'ho passato sul sito ufficiale di HJT e lì non mi da nessuna chiave sospetta..
wjmat
07-05-2009, 10:56
puoi fixare queste, poi vedi tu se lasciare le o4 dei programmi p2p

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Adobe Acrobat Speed Launcher] "C:\Programmi\Adobe\Acrobat 9.0\Acrobat\Acrobat_sl.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Programmi\Adobe\Acrobat 9.0\Acrobat\Acrotray.exe"
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O20 - Winlogon Notify: dimsntfy - %SystemRoot%\System32\dimsntfy.dll (file missing)
Chill-Out
07-05-2009, 11:04
Dopo il fix allega nuovo log, grazie.
viemme52
07-05-2009, 13:15
Ho fixato e questo è il log
wjmat
07-05-2009, 13:28
Ho fixato e questo è il log

rifallo anche con l'ultima versione di hjt, grazie
http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
viemme52
07-05-2009, 14:20
rifallo anche con l'ultima versione di hjt, grazie
http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe

Eccolo
Chill-Out
09-05-2009, 08:12
Eccolo

A posto ti suggerisco di leggere questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1726383

Ciao
viemme52
09-05-2009, 09:38
Grazie a tutti per l'aiuto!!;)
Chill-Out
09-05-2009, 10:25
Grazie a tutti per l'aiuto!!;)

Prego, come ultima cosa edita la Signatire in quanto irregolare

1.5 - Avatar, signature e sito personale
a) Avatar: le dimensioni massime consentite per l'avatar personale sono di 80x80 pixel per un massimo di 5KB.
b) Signature: 3 righe a 1024 solo testo con un massimo di 3 smiles dell'Hardware Upgrade Forum oppure un'immagine 100 X 50 X 5KB e una riga di testo (non deve andare a capo).