VBS/TrojanDropper.Inor.Y trojan (AIUTO!!!)

[Squall Strife]

Ciao ragazzi,
NOD32 (aggiornato) mi rileva questo trojan ma non riesce ad eliminarlo. Ho provato a fare una scansione online su trendmicro-europe, ho fatto girare hijackthis, ad-aware, ma nisba, rimane li. Qualche consiglio?

[canapa]

Potrstio postare il log di hijackthis?

[Squall Strife]

Eccolo:


(visto che ci siamo ho messo in neretto dei valori che ogni volta anche se li cancello ricompaiono al riavvio)






Logfile of HijackThis v1.98.2
Scan saved at 23.56.05, on 02/11/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\BCMSMMSG.exe
C:\Programmi\Intel\NCS\PROSet\PRONoMgr.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Dell\QuickSet\quickset.exe
C:\Programmi\Java\j2re1.4.2_01\bin\jusched.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\Messenger Plus! 3\MsgPlus.exe
C:\WINDOWS\System32\GSICON.EXE
C:\WINDOWS\System32\dslagent.exe
C:\Programmi\Eset\nod32kui.exe
C:\WINDOWS\System32\ctfmon.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\ABC\ABC.exe
C:\Programmi\FlashGet\flashget.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\taskmgr.exe
D:\Setup vari\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.wuidpzbamwrsber.com/uavTTvXUZIjRWOo51nwEi3wuLSX0oCDabIHKuhFEmapepSL4jv/XSkQh3AHkEPg5.html
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: BCMSMMSG.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] C:\Programmi\Intel\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Dell QuickSet] C:\Programmi\Dell\QuickSet\quickset.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmi\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Scarica con FlashGet - C:\Programmi\FlashGet\jc_link.htm
O8 - Extra context menu item: Scarica tutto con FlashGet - C:\Programmi\FlashGet\jc_all.htm
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O17 - [b]HKLM\System\CCS\Services\Tcpip\..\{0D376D46-F9D9-4701-A656-EC0A9472194A}: NameServer = 81.74.225.227 151.99.125.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0D376D46-F9D9-4701-A656-EC0A9472194A}: NameServer = 81.74.225.227 151.99.125.1

[canapa]

Gli ultimi due occorrono per la navigazione.

Mi confermi tutti questi qui sotto?

C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\System32\1XConfig.exe
Questi dovrebbero appartanere ad Intel e quindi dovrebbero andare bene.

C:\Programmi\Messenger Plus! 3\MsgPlus.exe
E' per messenger plus anche se qualcuno lo cataloga anche fra gli spyware.

C:\WINDOWS\System32\GSICON.EXE
C:\WINDOWS\BCMSMMSG.exe
Appartiengono ad un modem.

c:\progra~1\intern~1\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
Hai due sessioni di IE aperte?

C:\Programmi\ABC\ABC.exe
Appartiene a bit torrent?

[Squall Strife]

Originariamente inviato da canapa
Gli ultimi due occorrono per la navigazione.

Mi confermi tutti questi qui sotto?

C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\System32\1XConfig.exe
Questi dovrebbero appartanere ad Intel e quindi dovrebbero andare bene.

C:\Programmi\Messenger Plus! 3\MsgPlus.exe
E' per messenger plus anche se qualcuno lo cataloga anche fra gli spyware.

C:\WINDOWS\System32\GSICON.EXE
C:\WINDOWS\BCMSMMSG.exe
Appartiengono ad un modem.

c:\progra~1\intern~1\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
Hai due sessioni di IE aperte?

C:\Programmi\ABC\ABC.exe
Appartiene a bit torrent?


1) Si le prime appartengono a Intel

2) Si sono di messenger plus

3) Sono del modem DSL

4) Questa mi insospettisce visto e considerato che explorer non lo uso proprio...uso solo firefox.

5) Si trattasi di un client torrent



Grazie mille per l' aiuto
:)

[Squall Strife]

Ragazzi aiuto....ho il portatile completamente impallato...la cpu oscilla fissa tra valori di 80 e 90% con la ventola sempre accesa e il tutto e relativamente lento.

[xblackmorex]

e quali sono i processi che succhiano così tanto? ctrl+alt+canc e vedi

[ercolino]

Originariamente inviato da Squall Strife
Ciao ragazzi,
NOD32 (aggiornato) mi rileva questo trojan ma non riesce ad eliminarlo. Ho provato a fare una scansione online su trendmicro-europe, ho fatto girare hijackthis, ad-aware, ma nisba, rimane li. Qualche consiglio?


Disattiva il ripristino di configurazione ,riavvia il PC in modalità provvisoria (tasto F8 all'accensione)è rifai la scansione;)