PDA

View Full Version : Trojan nel portatile: TR/Crypt.ULPM.Gen

nobady
09-10-2009, 11:46
Salve, come da titolo ieri ho preso questo trojan piu molti altri che penso siano delle sue altre autogenerazioni:
-TR/Spy.ZBot.abtr
-ADWARE/Adware.Gen
-WORM/Autorun.drr
-DR/385319.A
-TR/PWS.3920896
-TR/C4DLMedia.C.3
-HTML/Crypted.Gen
-TR/Spy.ZBot.abtr

Li ho messi tutti in quarantena su antivir. ma adesso come devo procedere??
intanto vi posto il log di hijackthis: http://www.mediafire.com/?sharekey=54fbc36522eb7612bda4076e811714c8e04e75f6e8ebb871

help!!:help: :help:
wjmat
09-10-2009, 11:55
Ciao

per il controllo del log di hjt c'è un 3d apposito, visto che sei infetto segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post (esempio) (http://www.hwupgrade.it/forum/showpost.php?p=25836804&postcount=6), e secondo le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.


Se il sistema dovesse essere molto compromesso, e non dovessi riuscire a seguire la guida, prova ad effettuare le prime 4 scansioni da modalità provvisoria (http://www.hwupgrade.it/forum/showpost.php?p=25116981&postcount=41), se non bastasse effettua prima una scansione con il rescue cd di Kaspersky (http://www.hwupgrade.it/forum/showthread.php?t=1878747) o di Avira (http://www.hwupgrade.it/forum/showthread.php?t=1689812) per fare una pulizia preliminare.
In caso di continui riavvi, schermate blu, ecc.. stacca eventuali hardware nuovi, magari incompatibili e per escludere problemi con quelli già in uso fai un controllo del disco (http://www.hwupgrade.it/forum/showpost.php?p=24113158&postcount=22) e della RAM (http://www.hwupgrade.it/forum/showpost.php?p=25062288&postcount=38)

Nel caso il pc da disinfettare abbia problemi con internet o non ce l'abbia proprio, nel bigino in firma guarda alla voce Portabilità di ogni programma, in modo da scaricare tutto il necessario da un pc pulito e portare tutto l'occorrente aggiornato sul pc infetto

Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione

Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...
link caricamento log generici ► fileqube.com (http://fileqube.com/) ■ wikisend.com (http://wikisend.com/)
link caricamento immagini ► fileqube.com (http://fileqube.com/) ■ picoodle.com (http://www.picoodle.com/) ■ imageshack.us (http://imageshack.us/)
nobady
11-10-2009, 17:44
Una Domanda, ma con il Kaspersky Virus Removal Tool devo selezionare anche disco locali e documenti??
intanto lo faccio senza.
:help: :help:
wjmat
11-10-2009, 23:47
con la spunta su Risorse del Computer sarà scansionato comunque tutto
nobady
12-10-2009, 18:45
Ok, ce l'ho fatta::D


Malwarebytes Anti-Malware: http://wikisend.com/download/449380/mbam-log-2009-10-09(19-45-38).txt

A-Squared Free v3.x: http://wikisend.com/download/594604/a2scan_091010-124447.txt

Kaspersky Virus Removal Tool: http://wikisend.com/download/520770/ScanKasperskyvirusremovaltool.txt

Dr.Web CureIT: http://wikisend.com/download/444846/cureitfiltrato.txt

ESET SysInspector: http://wikisend.com/download/470678/SysInspector-PC373229259472-091012-1542.xml

HiJackThis: http://wikisend.com/download/498098/hijackthis.log

Gmer: http://wikisend.com/download/931566/GMer.log

PrevxCSI:
log: http://wikisend.com/download/454644/prevx3.0.log
foto: http://wikisend.com/download/440108/prevx3.0.bmp

Adesso attendo le, spero, ultime informazioni...Grazie.:) :)
wjmat
12-10-2009, 19:33
Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio (http://www.hwupgrade.it/forum/images_hwu/editor/attach.gif)

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
ŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻ
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)


O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - Startup: is-J21M1.lnk = C:\Documents and Settings\FEDERICO\Desktop\Virus Removal Tool\is-J21M1\startup.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {076169AA-8C3D-4CFC-AC23-3ACA88FC21B5} (F-Secure Online Scanner Launcher) - http://download.sp.f-secure.com/ols/f-secure-rtm/resources/fslauncher.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab




devi aggiornare
Windows al service pack 3
Explorer alla versione 8
nobady
13-10-2009, 11:32
Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio (http://www.hwupgrade.it/forum/images_hwu/editor/attach.gif)

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
ŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻŻ
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)


O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - Startup: is-J21M1.lnk = C:\Documents and Settings\FEDERICO\Desktop\Virus Removal Tool\is-J21M1\startup.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {076169AA-8C3D-4CFC-AC23-3ACA88FC21B5} (F-Secure Online Scanner Launcher) - http://download.sp.f-secure.com/ols/f-secure-rtm/resources/fslauncher.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab




devi aggiornare
Windows al service pack 3
Explorer alla versione 8



ho messo nell'allegato i,l log di hijack perchè c'è ancora la stringa seguente:
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
wjmat
13-10-2009, 12:36
quella voce è relativa a msn puoi anche rimuoverlo dall'avvio nelle suo opzioni

dimenticavo che dal log di asquared non si capisce se hai eliminato le voci trovate
nobady
13-10-2009, 12:47
quella voce è relativa a msn puoi anche rimuoverlo dall'avvio nelle suo opzioni

dimenticavo che dal log di asquared non si capisce se hai eliminato le voci trovate

ho ancora 6 elementi in quarantena, di cui il livello di rischio tutti alti tranne uno medio...li elimino definitivamente?
wjmat
13-10-2009, 13:38
ho ancora 6 elementi in quarantena, di cui il livello di rischio tutti alti tranne uno medio...li elimino definitivamente?

lasciali pure li

ti manca di aggiornare il sistema poi dovresti essere ok
nobady
13-10-2009, 18:08
lasciali pure li

ti manca di aggiornare il sistema poi dovresti essere ok

ok, il fatto è che pero' questo portatile è di mio padre, non potrei eliminare tutti i file che ho in quarantena, anche per esempio nel malwarebytes anti-malware e negli altri, così da poi disinstallare questi antivirus e tenere solo Avira Antivir ?!?!?!?
o facendo così si rischierebbe una nuova infezione?!?!:help: :help: :help:
wjmat
13-10-2009, 18:31
se proprio insisti elimina pure :)
e procedi con il trattamento post disinfezione