View Full Version : AIUTO URGENTE! virus wmssvc.exe
salve, facendo una scansione con a2squared free è stato rilevato questo virus nella directory C:\WINDOWS\wmssvc.exe ma purtroppo essendo il file di sola lettura non è possibile cancellarlo, ho provato ad eseguire la scansione all'avvio ma non lo cancella lo stesso, nemmeno se prima lo metto in quarantena e poi provo ad eliminarlo.
ho fatto vari tentativi con vundofix ma non ha rilevato nessun virus, così come spy-bot s&d non ha rilevato nulla, hijackthis non lo rileva nemmeno, cosa posso fare per eliminarlo?
è un casino questo virus, non mi fà formattare c: non mi fà partire il boot da cd, non mi fà installare alcuni programmi, rallenta e a volte rende impossibile la connessione, aiutatemi grazie!
Ciao
quel file potrebbe non essere l'unico ospite indesiderato quindi segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post (esempio) (http://www.hwupgrade.it/forum/showpost.php?p=25836804&postcount=6), e secondo le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)
Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.
Se il sistema dovesse essere molto compromesso, e non dovessi riuscire a seguire la guida, prova ad effettuare le prime 4 scansioni da modalità provvisoria (http://www.hwupgrade.it/forum/showpost.php?p=25116981&postcount=41), se non bastasse effettua prima una scansione con il rescue cd di Kaspersky (http://www.hwupgrade.it/forum/showthread.php?t=1878747) o di Avira (http://www.hwupgrade.it/forum/showthread.php?t=1689812) per fare una pulizia preliminare.
In caso di continui riavvi, schermate blu, ecc.. stacca eventuali hardware nuovi, magari incompatibili e per escludere problemi con quelli già in uso fai un controllo del disco (http://www.hwupgrade.it/forum/showpost.php?p=24113158&postcount=22) e della RAM (http://www.hwupgrade.it/forum/showpost.php?p=25062288&postcount=38)
Nel caso il pc da disinfettare abbia problemi con internet o non ce l'abbia proprio, nel bigino in firma guarda alla voce Portabilità di ogni programma, in modo da scaricare tutto il necessario da un pc pulito e portare tutto l'occorrente aggiornato sul pc infetto
Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione
Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...
link caricamento log generici ► fileqube.com ■ (http://fileqube.com/) wikisend.com (http://wikisend.com/) ■ freefilehosting.net (http://freefilehosting.net/)
link caricamento immagini ► fileqube.com ■ picoodle.com (http://fileqube.com/) ■ imageshack.us (http://imageshack.us/) ■ freefilehosting.net (http://freefilehosting.net/)
allora per ordine indico tutti i passaggi che ho fatto con i relativi log
1) disattivato ripristino di sistema
2) scaricato ATF-Cleaner avviata pulizia, ma "firefox" nel menu non poteva essere cliccato
3)Malwarebytes Anti-Malware aggiornato, eseguita scansione completa eliminati i file come detto nella guida, ecco il log http://www.fileqube.com/file/pOCLgAH199884
4) A-Squared Free aggiornato eseguita scansione completa trovato solo il già citato file come nella scansione che avevo già fatto C:\WINDOWS\wmssvc.exe
5)F-Secure OnLine indirizzo non trovato , nemmeno se provo ad aprire il sito ufficiale dopo averlo cercato da google
6)Dr.Web CureIT come sopra
7)ESET SysInspector come punto 5)
8)HiJackThis ecco il link del log http://www.fileqube.com/file/rNvYIa199885
9) Gmer non ho cancellato nessun file tra quelli trovati ecco il link del log con i file in rosso segnati http://www.fileqube.com/file/gDLMdaw199886
10) Prevx 3.0 anche lui trova solo il solito file C:\WINDOWS\wmssvc.exe ma c'è bisogno della licenza per cancellaro
fatto, adesso ditemi cos'altro devo fare e cosa devo cancellare da gmer
p.s. non ditemi di usare trend micro sys clean dato che non mi parte la modalita provvisoria...
fai girare e carica il log di Combofix (http://www.hwupgrade.it/forum/showpost.php?p=24113140&postcount=19) (leggi bene le info)
ecco il log di combofix http://wikisend.com/download/439718/ComboFix.txt
cosa faccio con quello che ha trovato gmer? cancello tutto senza problemi?
sistemiamo tutto con combofix
Disattiva eventuali protezioni in realtime di antivirus, antispyware, firewall se interferiscono
Apri il Blocco Note e incolla tutto il codice qui sotto
Driver::
xekkmhpd
Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"wmssvc.exe"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3024:TCP"=-
[-HKEY_LOCAL_MACHINE\System\ControlSet003\Services\xekkmhpd]
[-HKLM\SYSTEM\ControlSet001\Services\xekkmhpd]
[-HKLM\SYSTEM\CurrentControlSet\Services\xekkmhpd]
File::
c:\windows\system32\kjjhdwls.dll
c:\windows\wmssvc.exe
Netsvc::
xekkmhpd
Salva il file sul Desktop come CFScript.txt
Trascina il file di testo appena creato (CFScript.txt) sull'icona di ComboFix che riconoscerà il comando di cancellazione
al termine il PC si dovrebbe riavviare (eventualmente fallo tu manualmente) → al riavvio allega il log che trovi in C:\ComboFix.txt
Chill-Out
10-06-2009, 09:53
Dove sono i log?
Edit: visto l'unico log disponibile la Guida da seguire è questa http://www.hwupgrade.it/forum/showthread.php?t=1984665
ecco il nuovo link del log di combofix, spero di avere finito http://wikisend.com/download/445970/ComboFix.txt
effettivamente molti siti di antivirus non li apre, ma non solo
mi dice che ci sono problemi col proxy..bho..
cosi per curiosità ho fatto un nuovo scan con gmer che ha trovato un nuovo processo nascosto in rosso ecco il log http://wikisend.com/download/488108/gmer.log
Chill-Out
10-06-2009, 18:05
cosi per curiosità ho fatto un nuovo scan con gmer che ha trovato un nuovo processo nascosto in rosso ecco il log http://wikisend.com/download/488108/gmer.log
Devi seguire passo passo questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1984665 scollegando il PC dalla LAN esattamente come indicato, altrimenti è tutto vano
Attendiamo i log nel 3D appena indicato
allora, dopo avere seguito la guida per filo e per segno, pubblico i log
1) BDTOOLS REMOVE http://wikisend.com/download/500472/Win32.Worm.Downladup.Gen.log
2)ComboFix http://wikisend.com/download/583426/ComboFix.txt
3) Gmer http://wikisend.com/download/211876/gmer.log
fatemi sapere...
solita procedure con combo
Registry::
[-HKEY_LOCAL_MACHINE\System\ControlSet003\Services\mougfxhh]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3024:TCP"=-
File::
c:\windows\system32\kjjhdwls.dll
Netsvc::
mougfxhh
procedi con il caricamento log e successimi controlli nel 3d che ti ha indicato chill, in quanto dedicato a conficker
scusate forse non ho capito bene, ma chill mi ha indicato il link con la guida, non mi ha indicato un thread, cmq oramai il log di combofix lo allego qui, ho rifatto i due test indicati nella guida per sapere se si è infettati da conficker ed entrambi sono puliti...
http://wikisend.com/download/552102/ComboFix.txt
xcdegasp
11-06-2009, 17:18
scusate forse non ho capito bene, ma chill mi ha indicato il link con la guida, non mi ha indicato un thread, cmq oramai il log di combofix lo allego qui, ho rifatto i due test indicati nella guida per sapere se si è infettati da conficker ed entrambi sono puliti...
http://wikisend.com/download/552102/ComboFix.txt
la guida indicata è un thread che è appunto dedicato a quell'argomento ti chiedo pertanto la gentilezza di trasferirti in quello.
questo lo possiamo chiudere :)
vBulletin® v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.