PDA

View Full Version : [winxp] Pc infetto, waw32.exe...

Bich
19-08-2009, 15:29
Ciao a tutti sono un nuovo iscritto al forum!
Innanzitutto complimenti per le varie guide sparse nel forum, molto esaustive e chiare!

Da ieri sono infetto da un virus che non riesco a rimuovere da solo.
La prima cosa che mi è saltata all'occhio è uno strano processo di nome waw32.exe, da quanto riporta questo link (http://www.prevx.com/filenames/X3349608311065816566-X1/HMICB.EXE.html) sembra essere un virus nuovo di zecca! infatti Avira Antivir non lo trova! Ho provato anche a fargli analizzare il file c:\windows\waw32.exe senza che trovasse nulla!

Ora ho iniziato tutta la procedura per la disinfezione.
Vi allego il log di PrevX intanto.

http://img208.imageshack.us/img208/329/14707846.th.png (http://img208.imageshack.us/i/14707846.png/)

La cosa bella è che stavo per acchiapparlo anche su quest'altro pc su cui però il firewall mi ha permeso di bloccare il file waw32.exe prima che scaricasse un mare di zozzerie.....

Mi date una mano?
Appena possibile vi allego gli altri log....
grazie!
Chill-Out
19-08-2009, 15:57
Ciao e benvenuto, segui esattamente nell'ordine indicato la Guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737) allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione.

Modalità di pubblicazione dei log:


Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598).
Bich
20-08-2009, 21:56
Ecco i logs:

mbam-log-2009-08-19 (18-38-30).txt (http://wikisend.com/download/868710/mbam-log-2009-08-19 (18-38-30).txt)

a2scan_090819-200206.txt (http://wikisend.com/download/555662/a2scan_090819-200206.txt)

f-secure online scanner.txt (http://wikisend.com/download/438938/f-secure online scanner.txt)

cureit filtrato.txt (http://wikisend.com/download/569628/cureit filtrato.txt)

SysInspector-BICIENZ-PC-090820-1431.xml (http://wikisend.com/download/610934/SysInspector-BICIENZ-PC-090820-1431.xml)

hijackthis.log (http://wikisend.com/download/538346/hijackthis.log)

gmer.log (http://wikisend.com/download/597484/gmer.log)

prevx.log (http://wikisend.com/download/442220/prevx.log)

Dall'ultima scansione di prevx risulta essere tutt'apposto.....

Per la cronaca, mi si era infettato anche il portatile, tramite rete a quanto pare dato che non ho fatto scambio dati su pennette usb negli ultimi giorni, però grazie al firewall non si è scatenato come qui sul fisso, è bastato far fare un giro ad alcuni dei programmi della guida per risanare la situazione.

Uno dei sintomi è il seguente: appena il pc viene connesso ad internet, vengono scaricati due eseguibili che avira vede come trojan e si apre automaticamente la mia cartella utente....

Poi ultimamente avevo un altro problema sul pc, mi si disattivava il servizio "audio di windows", può dipendere da questo virus?

Grazie a chi mi aiuterà.
Ps: se non vi rispondo subito è perchè domattina parto per la calabria e torno lunedì...
ovviamente il pc rimarra SPENTO!

ciao :cool:
Chill-Out
20-08-2009, 22:18
Ciao, procedi così:

1 - ripeti pulizia con ATF Cleaner

2 - ripeti scansione online con F-Secure e rimuovi i malware rilevati

Nome computer: BICIENZ-PC
Tipo di scansione Analizza sistema per la ricerca di malware, spyware e rootkit
Destinazione: C:\ M:\ S:\
9 malware rilevati
Trojan.Loader.BX (spyware)

* Sistema (Disinfettati)

Win32.Worm.Kolab (spyware)

* Sistema (Disinfettati)

TrackingCookie.Webtrends (spyware)

* Sistema (Disinfettati)

Win32.Worm.Kolab.AE (virus)

* C:\WINDOWS\WAW32.EXE (Non rimossi)

Trojan.Loader.BX (virus)

* C:\WINDOWS\SYSTEM32\25.SCR (Non rimossi)

Trojan.Loader.BX (virus)

* C:\WINDOWS\SYSTEM32\56.SCR (Non rimossi)

Trojan.Loader.BX (virus)

* C:\RECYCLER\S-1-5-21-4185341929-6697700116-832366246-4691\MWAU.EXE (Non rimossi)

Win32.Worm.Kolab.AE (virus)

* C:\DOCUMENTS AND SETTINGS\BICH\IMPOSTAZIONI LOCALI\TEMPORARY INTERNET FILES\CONTENT.IE5\WLAB01QR\C4[1].EXE (Rinominati & Inviati)

Win32.Worm.Kolab.AE (virus)

* C:\DOCUMENTS AND SETTINGS\BICH\IMPOSTAZIONI LOCALI\TEMP\191.EXE (Non rimossi)

Statistiche
Analizzati:

* File: 29196
* Sistema: 3908
* Non analizzati: 5

Azioni:

* Disinfettati: 3
* Rinominati: 1
* Eliminati: 0
* Non rimossi: 5
* Inviati: 1

3 - ripeti scansione con Prevx 3.0 (devi essere connesso a Internet)

Riepilogo log da allegare:
F-Secure
Prevx 3.0
Nuovo log HJT
Bich
25-08-2009, 11:08
f-secure e prevx dicono che è tutto in ordine!

ho allegato solo il log di HJT che pure sembra buono!
Chill-Out
25-08-2009, 11:10
f-secure e prevx dicono che è tutto in ordine!

ho allegato solo il log di HJT....

Potresti allegare entrambi i log, grazie.
Bich
25-08-2009, 11:28
eccoli

prevx (http://www.mediafire.com/?sharekey=8fee39f5e9be2ead0dec85adfe0a530ae04e75f6e8ebb871)
Chill-Out
25-08-2009, 11:36
eccoli

prevx (http://www.mediafire.com/?sharekey=8fee39f5e9be2ead0dec85adfe0a530ae04e75f6e8ebb871)

Ok, ti suggerisco di seguire passo passo questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1726383 dove troverai le indicazioni per aggiornare, proteggere il PC....etc..

Ciao
Bich
25-08-2009, 11:42
ok grazie!
Chill-Out
25-08-2009, 12:21
Prego
Bich
28-08-2009, 09:48
sono punto e da capo.... un paio di giorni di tregua poi il pc è tornato nelle condizioni di prima....
riseguo di nuovo la prassi della guida?
Chill-Out
28-08-2009, 09:50
sono punto e da capo.... un paio di giorni di tregua poi il pc è tornato nelle condizioni di prima....
riseguo di nuovo la prassi della guida?

Si, evidentemente il parco software di sicurezza del PC fa acqua.
Bich
31-08-2009, 14:17
nonostante il firewall, appena connetto ad internet vengono scaricati worms....
però non ci sono processi sospetti e il firewall mi notifica ogni respiro cher fa il pc!

mi date un occhiata a questi nuovi logs?
grazie!

logs.rar (http://wikisend.com/download/582314/logs.rar)
Bich
31-08-2009, 14:30
ah, dimenticavo quello di prevx

prevx.log (http://wikisend.com/download/551806/prevx.log)
Chill-Out
31-08-2009, 15:32
Modalità di pubblicazione dei log:


Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598).
Bich
31-08-2009, 18:50
mbam-log-2009-08-28 (13-34-39).txt (http://wikisend.com/download/549258/mbam-log-2009-08-28 (13-34-39).txt)
a2scan_090828-140104.txt (http://wikisend.com/download/945314/a2scan_090828-140104.txt)
f-secure.txt (http://wikisend.com/download/913502/f-secure.txt)
cureit filtrato.txt (http://wikisend.com/download/499564/cureit filtrato.txt)
SysInspector-BICIENZ-PC-090830-1715.xml (http://wikisend.com/download/463186/SysInspector-BICIENZ-PC-090830-1715.xml)
hijackthis.log (http://wikisend.com/download/674492/hijackthis.log)
gmer.log (http://wikisend.com/download/527424/gmer.log)
prevx.log (http://wikisend.com/download/551806/prevx.log)
Chill-Out
31-08-2009, 19:00
Dovremmo essere ok, certo che se continui a scaricare ciò che non dovresti e questo lo si evince dal log di A2 allora è tutto inutile, ti rinnovo l'invito a leggere questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1726383 in particolare il Punto 13 deve esserti sfuggito.
Bich
31-08-2009, 19:19
eh lo so....
mannaggia a me!!!!
:doh:

grazie comunque