Virus TR/Rootkit.Gen TR/Alureon.bf

[Darko78]

Ciao a tutti...
Il mio problema sono questi due simpatici virus.
Cosa già ho fatto: Disabilitato "Ripristino configurazione di sistema"
Aggiornato Avira Antivir ed effettuata la scansione completa sia in Mod.Normale che in Mod.Provvisoria e Amministratore...Lo stesso con Ad-Aware... I virus vengono rilevati ma non eliminati all riavvio.
Pulizia effettuata con CCleaner e Atf-Cleaner...Niente anche cosi...
Scansione completa con F-Secure online scanner...
Poi ho scaricato sia ComboFix sia MalwareBytes che però non riesco a fare partire entrambi...(il virus non lo permette)
Tutto questo più volte...

Che si puo fare? Esiste un metodo per eliminarli?

Start of the scan: sabato 25 aprile 2009 19:03
Starting search for hidden objects.
The repair notes were written to the file 'C:\Documents and Settings\All Users\Dati applicazioni\Avira\AntiVir Desktop\PROFILES\AVSCAN-20090425-190455-B9BB4858.avp'.

c:\windows\system32\drivers\uacrudompfq.sys
[INFO] The file is not visible.
[DETECTION] Is the TR/Rootkit.Gen Trojan
[NOTE] The file was moved to '4a564318.qua'!

c:\windows\system32\uacdbwtkqty.dll
[INFO] The file is not visible.
[DETECTION] Is the TR/PCK.Tdss.F.2062 Trojan
[INFO] No SpecVir entry was found!

c:\windows\system32\uaciquocioy.dll
[INFO] The file is not visible.
[DETECTION] Is the TR/PCK.Tdss.F.2061 Trojan
[INFO] No SpecVir entry was found!

c:\windows\system32\uacjnsenqsn.dll
[INFO] The file is not visible.
[DETECTION] Is the TR/Alureon.BF Trojan
[INFO] No SpecVir entry was found!

c:\windows\system32\uacjnsenqsn.dll.uss_dis
[INFO] The file is not visible.
[DETECTION] Is the TR/Alureon.BF Trojan
[INFO] No SpecVir entry was found!

c:\windows\system32\uacrdltenkt.dll
[INFO] The file is not visible.
[DETECTION] Is the TR/PCK.Tdss.F.2164 Trojan
[INFO] No SpecVir entry was found!

c:\windows\system32\uacxjixrlto.dll
[INFO] The file is not visible.
[DETECTION] Is the TR/PCK.Tdss.F.2060 Trojan
[INFO] No SpecVir entry was found!



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19.02.08, on 25/04/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\svchost.exe
C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
C:\windows\system32\Ati2evxx.exe
C:\windows\Explorer.EXE
C:\windows\system32\CTHELPER.EXE
C:\Programmi\Java\jre6\bin\jusched.exe
C:\Programmi\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
C:\windows\system32\rundll32.exe
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\windows\system32\ctfmon.exe
C:\Programmi\Creative\MediaSource\RemoteControl\RCMan.EXE
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Nokia\Nokia PC Suite 7\PCSuite.exe
C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programmi\Siemens\Gigaset USB Stick 54\Gigaset USB Stick 54.exe
C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\windows\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\CBTWlanSrv.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programmi\Siano Mobile Silicon\SMS1000\DVBHRoutingManager.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\Telecom Italia\WanMiniport1st\srvany.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Programmi\Telecom Italia\WanMiniport1st\WanMiniport1st_srv.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\windows\System32\svchost.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
C:\Programmi\PC Connectivity Solution\Transports\NclUSBSrv.exe
C:\Programmi\PC Connectivity Solution\Transports\NclRSSrv.exe
C:\Programmi\PC Connectivity Solution\Transports\NclMSBTSrv.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/...ch/search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll (file missing)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [TQ566808] "E:\Setup.exe"
O4 - HKLM\..\Run: [CTSysVol] C:\Programmi\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] C:\Programmi\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
O4 - HKLM\..\Run: [SBDrvDet] C:\Programmi\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe
O4 - HKCU\..\Run: [RemoteCenter] C:\Programmi\Creative\MediaSource\RemoteControl\RCMan.EXE
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [AliceMessenger] "C:\Programmi\Alice Messenger\alicemessenger.exe"
O4 - HKCU\..\Run: [PC Suite Tray] "C:\Programmi\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Monitor Gigaset WLAN adapter.lnk = C:\Programmi\Siemens\Gigaset USB Stick 54\Gigaset USB Stick 54.exe
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: PacificPoker4 - {94EDF7B4-4272-4af3-8F8B-4E2F68E225B7} - C:\PROGRA~1\PACIFI~1\pacificpoker.exe (file missing)
O9 - Extra button: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Poker\CDPoker\casino.exe
O9 - Extra 'Tools' menuitem: CDPoker - {A68FC757-51CF-4f3c-B13A-BFB8CA69BB99} - C:\Poker\CDPoker\casino.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Programmi\PartyGaming.Net\PartyPokerNet\RunPF.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Programmi\PartyGaming.Net\PartyPokerNet\RunPF.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab56986.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{879A01B8-0791-42C7-A6F8-EE94773A2D8A}: NameServer = 85.37.17.41 85.38.28.83
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O21 - SSODL: Javas - {8F94081F-8523-443F-8458-87FE8004FFBB} - java.dll (file missing)
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\windows\system32\Ati2evxx.exe
O23 - Service: CBT Wlan Service (CBTWlanSrv) - Unknown owner - C:\WINDOWS\CBTWlanSrv.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: DVB-H Routing Manager (DVBHRoutingManager) - Unknown owner - C:\Programmi\Siano Mobile Silicon\SMS1000\DVBHRoutingManager.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Network WanMiniport First Position - Unknown owner - C:\Programmi\Telecom Italia\WanMiniport1st\srvany.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Unknown owner - C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe (file missing)

--
End of file - 8877 bytes

[Chill-Out]

Ciao! Fai girare anche questo tool

Scaricare SDFix sul Desktop
Doppio click su SDFix.exe il tool andrà ad estrarsi in C:\SDFix
Riavvia il sistema in modalità provvisoria F8
Aprire la cartella SDFix in C:\ e fare doppio click su RunThis.bat per lanciare lo script
seleziona Y per avviare la pulizia
Quando richiesto premere un tasto per riavviare
(il sistema impiegherà più tempo in fase di avvio perchè lo script eseguirà l'eliminazione dei file trovati)
Finito il caricamento dovreste visualizzare il messaggio "Finished"
Premere un tasto per terminare lo script e ricaricare le icone del desktop
Il log da allegare per il controllo sarà visualizzato automaticamente, altrimenti potrete trovarlo in C:\SDFix\Report.txt

dopodichè segui passo passo la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

Ogni singolo log, esclusivamente in formato txt a parte SynInspector e nell'ordine indicato in Guida, deve essere hostato su Wikisend, clicca qui per raggiungere Wikisend, pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download

*** REGOLE di SEZIONE - obbligatoria la lettura!! ***

[Darko78]

Ho scaricato ciò che mi hai consigliato ma come con altri non parte l eseguibile e quindi non riesco ad installarlo...Per quanto riguanda gli allegati precedenti scusami ma mi sono appena iscritto al forum e ho sbagliato...

[Chill-Out]

Mi indichi l'errore che ti viene restituito quando esegui SDFix

Come procedura di emergenza segui questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1878747 per creare e disinfettare il PC col Kaspersky Rescue Disk

[Darko78]

Non mi dà nessuna risposta...Semplicemente non parte e dopo alcuni minuti termino il processo dal task manager...
E prima di provare l ultimo tuo consiglio devo dirti che ho già scaricato F-secure-rescue-cd-release...Potresti spiegarmi come scompattarlo e cosa devo copiare su cd?

[Darko78]

Ho comunque scaricato Kav-rescue-2 e ho letto la guida...Ma mi resta da sapere quali sono i file da masterizzare...Ciao ciao grazie...

[wjmat]

Originariamente inviato da Darko78

Ho comunque scaricato Kav-rescue-2 e ho letto la guida...Ma mi resta da sapere quali sono i file da masterizzare...Ciao ciao grazie...

se hai letto la guida c'è scritto tutto
devi solo masterizzare l'immagine iso scaricata come indicato

[Darko78]

m

[Darko78]

Masterizzare un'immagine iso

Premessa
Le iso di cd live bootabili o simili non vanno estratte o aperte sono già pronte per essere masterizzate

Finqui ci siamo...Ma al momento di scegliere l immagine iso da masterizzare, nella finersta che nero apre non compare nessun file WinR...

[Darko78]

Avevi ragione ho trovato cosa sbagliavo...Farò sapere come è andata...

[Darko78]

Allora...sono riuscito a masterizzare il disco e quindi ho proceduto dal bios a far partire il sistema dal disco Kav-rescue... Perfetto..ho effettuato la scansione che ha rilevato esattamente gli stessi virus che aveva rilevato Avira-Antivir... A quante pare questa volta sono stati eliminati i file corrotti o infetti...Ho riavviato tutto ed ora sto rifacendo una scansione sempre con Avira... Se non li rileva dovremmo esserci riusciti credo...

[Chill-Out]

Originariamente inviato da Darko78

Allora...sono riuscito a masterizzare il disco e quindi ho proceduto dal bios a far partire il sistema dal disco Kav-rescue... Perfetto..ho effettuato la scansione che ha rilevato esattamente gli stessi virus che aveva rilevato Avira-Antivir... A quante pare questa volta sono stati eliminati i file corrotti o infetti...Ho riavviato tutto ed ora sto rifacendo una scansione sempre con Avira... Se non li rileva dovremmo esserci riusciti credo...

Ciao finita la scansione allega il log di Avira

[Darko78]

la scansione è ok....sembra che ci siamo
http://wikisend.com/download/559774/AVSCAN-.LOG

[Chill-Out]

Originariamente inviato da Darko78

la scansione è ok....sembra che ci siamo
http://wikisend.com/download/559774/AVSCAN-.LOG

Il log è pulito, ti suggerisco però di configurare Antivir come da Guida http://www.hwupgrade.it/forum/showthread.php?t=1514684 e se desideri seguire la Guida alla disinfezione http://www.hwupgrade.it/forum/showthread.php?t=1599737 un controllo approfondito in questo caso si impone

[Darko78]

Grazie molte...Seguirò le tue istruzioni...Ultima cosa ... Ora, riattivo il ripristino di sistema?

[Chill-Out]

Originariamente inviato da Darko78

Grazie molte...Seguirò le tue istruzioni...Ultima cosa ... Ora, riattivo il ripristino di sistema?

Se pensi di seguire la Guida alla disinfezione, solo dopo averla portata a termine.