Infetto da csrcs.exe

[Iurte]

Ciao a tutti. Scrivo perchè inserendo la chiavetta di un mio amico nel pc, deve essermi entrato un virus. Siccome dovevo trasferire un file, stupidamente ho lasciato "allow" all'avviso di online armor che mi avvisava dell'eseguimento della chiavetta. Poi ha creato il file csrcs.exe in system32 e siccome mi ero un pò insospettito del nuovo avviso di oa ho messo "block" quando mi ha chiesto di eseguire questo file. Ora di problemi concreti al pc non ne vedo, solo che a ogni avvio prevcs mi segnala la presenza del file, e soprattutto, sulla cronologia di oa vedo che questo csrcs.exe continua a tentare di eseguirsi(non si esegue mai perchè ho creato la regola). Siccome questo file non è visibile in system32 sapete se c'è un modo semplice di eliminarlo visto che non ho moltissimo tempo per eseguire tutte le scansioni del topic "sono infetto". Ho visto su google che c'era un modo di eliminarlo con un programma ma non mi è molto chiaro il programma e il procedimento... Avete qualche indicazione? Grazie mille in anticipo.

[Chill-Out]

Ciao, segui esattamente nell'ordine indicato la Guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737) allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione.

Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598).

[Iurte]

Ciao, segui esattamente nell'ordine indicato la Guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737) allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione.

Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598).
Ok, tutte le scansioni sono necessarie quindi... Una cosa nel frattempo: siccome ora ho un problema anche nell'immissione di mie chiavette(se clicco 2 volte sull'unità mi esce la finestra "apri con"), adesso ad ogni hard disk/chiavetta che inserisco mi entra il virus per poi diffondersi?

[Chill-Out]

Ok, tutte le scansioni sono necessarie quindi... Una cosa nel frattempo: siccome ora ho un problema anche nell'immissione di mie chiavette(se clicco 2 volte sull'unità mi esce la finestra "apri con"), adesso ad ogni hard disk/chiavetta che inserisco mi entra il virus per poi diffondersi?

Se inserisci chiavette pulite è assai probabile che il Virus vi si trasferisca per infettarle, quindi prima di intraprendere la Guida inserisci gli eventuali supporti removibili infetti.

[Iurte]

Se inserisci chiavette pulite è assai probabile che il Virus vi si trasferisca per infettarle, quindi prima di intraprendere la Guida inserisci gli eventuali supporti removibili infetti.

Mmmh ok quindi faccio tutte le scansioni con la chiavetta inserita?

[Chill-Out]

Mmmh ok quindi faccio tutte le scansioni con la chiavetta inserita?

Si

[Iurte]

Sto procedendo con le scansioni, però volevo segnalare alcune cose. Il file csrcs.exe è stato eliminato da mbam, quindi sperò che il più grosso sia fatto. Con a-squared però, dopo aver trovato qualche cookie o altre cose che mi sembravano di poco conto, il programma non riusciva a metterle in quarantena alcun file dicendo di contattare il forum. F-secure poi mi ha trovato 2 elementi, e un terzo che si chiama autorun.inf in system 32, quest'ultimo non è riuscito a eliminarlo. Procedo con le altre scansioni o c'è qualcosa che non va?

[Chill-Out]

Sto procedendo con le scansioni, però volevo segnalare alcune cose. Il file csrcs.exe è stato eliminato da mbam, quindi sperò che il più grosso sia fatto. Con a-squared però, dopo aver trovato qualche cookie o altre cose che mi sembravano di poco conto, il programma non riusciva a metterle in quarantena alcun file dicendo di contattare il forum. F-secure poi mi ha trovato 2 elementi, e un terzo che si chiama autorun.inf in system 32, quest'ultimo non è riuscito a eliminarlo. Procedo con le altre scansioni o c'è qualcosa che non va?

Procedi ed allega tutti i log come precedentemente indicato, successivamente vediamo il da farsi.

[Iurte]

Dopo un pò di tribolazioni con vari impegni ecco i log:

http://wikisend.com/download/527322/mbam-log-2010-05-19 (15-49-31).txt

http://wikisend.com/download/551660/a2scan_100519-163422.txt

http://wikisend.com/download/780652/F-secure.txt

il log di dr.web pesa una quindicina di mb, in ogni caso non mi ha trovato niente

http://wikisend.com/download/175494/SysInspector-OEM-100602-2235.xml

http://wikisend.com/download/491648/hijackthis.log

con gmer ho grossi problemi, nel senso che un paio di minuti dopo che l'ho avviato mi si riavvia il pc...

prevx non mi ha trovato niente.

[Chill-Out]

Dopo un pò di tribolazioni con vari impegni ecco i log:

http://wikisend.com/download/527322/mbam-log-2010-05-19 (15-49-31).txt

http://wikisend.com/download/551660/a2scan_100519-163422.txt

http://wikisend.com/download/780652/F-secure.txt

il log di dr.web pesa una quindicina di mb, in ogni caso non mi ha trovato niente

http://wikisend.com/download/175494/SysInspector-OEM-100602-2235.xml

http://wikisend.com/download/491648/hijackthis.log

con gmer ho grossi problemi, nel senso che un paio di minuti dopo che l'ho avviato mi si riavvia il pc...

prevx non mi ha trovato niente.

Dal log di F-Secure si evince che non hai rimosso

* C:\WINDOWS\SYSTEM32\AUTORUN.INF (Non rimossi)

Per completezza allega anche il log mancanti ovvero CureIt e Prevx, in Guida trovi le indicazione per snellire il log di DrWeb.

[Iurte]

Eccoli

http://wikisend.com/download/752080/cureit filtrato.txt

http://wikisend.com/download/908396/Immagine.JPG


Autorun.inf come avevo detto nel precedente post non è riuscito a rimuoverlo, pur essendo selezionato. Credo si tratti del virus per cui avevo scritto, oltre a csrcs.exe che mbam mi ha rimosso, perchè mi pare di aver letto che centri con le periferiche usb. Cosa posso fare?

[Chill-Out]

Eccoli

http://wikisend.com/download/752080/cureit filtrato.txt

http://wikisend.com/download/908396/Immagine.JPG


Autorun.inf come avevo detto nel precedente post non è riuscito a rimuoverlo, pur essendo selezionato. Credo si tratti del virus per cui avevo scritto, oltre a csrcs.exe che mbam mi ha rimosso, perchè mi pare di aver letto che centri con le periferiche usb. Cosa posso fare?

Aggiorna MBAM e ripeti scansione.

[Iurte]

Ecco il log

http://wikisend.com/download/518064/mbam-log-2010-06-08 (00-56-01).txt

questa volta non me l'ha nemmeno trovato :confused:

[Iurte]

Ecco il log

http://wikisend.com/download/518064/mbam-log-2010-06-08 (00-56-01).txt

questa volta non me l'ha nemmeno trovato :confused:

Ops distrazione mia! Era F-Secure che non me l'aveva rimosso. Domani ripeto la scansione e posto il log.

[Chill-Out]

Ops distrazione mia! Era F-Secure che non me l'aveva rimosso. Domani ripeto la scansione e posto il log.

http://www.hwupgrade.it/forum/showpost.php?p=32229832&postcount=10

si parlava di F-Secure.

[Iurte]

Ecco il log

http://wikisend.com/download/204064/F-Secure.txt

non me l'ha trovato questa volta

[Iurte]

Up... Dovrei essere a posto così per il virus, sel senso che non infetta più periferiche esterne se inserite nel pc? autorun.inf è sparito da solo?
poi avrei un altro problema: da quando ho preso quel virus, all'inserimento di periferica esterna tipo chiavetta, se clicco da risorse del computer mi esce la finestra con "apri con", quindi per aprirla devo sempre fare tastodestro+autoplay. Come posso risolvere?

[Chill-Out]

Up... Dovrei essere a posto così per il virus, sel senso che non infetta più periferiche esterne se inserite nel pc? autorun.inf è sparito da solo?
poi avrei un altro problema: da quando ho preso quel virus, all'inserimento di periferica esterna tipo chiavetta, se clicco da risorse del computer mi esce la finestra con "apri con", quindi per aprirla devo sempre fare tastodestro+autoplay. Come posso risolvere?

Per scrupolo aggiorna MBAM e ripeti scansione, per quanto concerne le periferiche esterne lo fa con tutte o solo con una in particolare.

[Iurte]

Ho ripetuto la scansione e non mi ha trovato niente. Mi sono accorto che lo fa solo con una chiavetta, perchè ne ho inserita un'altra e si apriva normalmente. Provo a formattare la chiavetta?

[Chill-Out]

Provo a formattare la chiavetta?

Salva ciò che devi salvare e formatta la chiavetta ;)

[Iurte]

Fatto, problema risolto.
Non so come ringraziarti, soprattutto per la pazienza :)

[Chill-Out]

Fatto, problema risolto.
Non so come ringraziarti, soprattutto per la pazienza :)

Di nulla, felice che tu abbia risolto :)