Help virus...

Amd2+++ · 27-08-2002, 19:13

Mi sa ke mi hanno mandato un virus via e-mail (ke tra l'altro, nn funziona bene)
Dovo aver clikkato sull'e-mail, mi è comparsa (molto velocemente) una finestra di download...dopo un po' mi arrivano due errori di invio di messaggi:

Return-Path: <stani2k@inwind.it>
Received: from Pihqoyqhd (62.98.72.119) by smtp3.libero.it (6.5.028)
id 3D5121BE0057E316 for anomalos77@oclabs.it; Tue, 27 Aug 2002 19:49:37 +0200
From: mikepa <mikepa@inwind.it>
To: anomalos77@oclabs.it
Subject: To class
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=P6563lT1Too30U0sq4084CU03e9P0631

- These recipients of your message have been processed by the mail server:
fluctuslab@virgilio.it; Failed; 5.7.0 (other or undefined security status)
--------------------------------------------------------------------------------

Return-Path: <stani2k@inwind.it>
Received: from smtp1.libero.it (193.70.192.51) by smtp7.cp.tin.it (6.5.019)
id 3D3EE9BA01BB8439 for fluctuslab@virgilio.it; Tue, 27 Aug 2002 19:50:29 +0200
Date: Tue, 27 Aug 2002 19:50:29 +0200 (added by postmaster@virgilio.it)
Message-ID: <3D3EE9BA01BB8439@smtp7.cp.tin.it> (added by postmaster@virgilio.it)
Received: from Wbbpq (62.98.72.119) by smtp1.libero.it (6.5.028)
id 3D6B8BC400016476 for fluctuslab@virgilio.it; Tue, 27 Aug 2002 19:50:29 +0200
From: lunasio <lunasio@libero.it>
To: fluctuslab@virgilio.it
Subject: Guida per
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=Kx8BN89cc3998z6DWlIny0m5Jx91m67Z0z

Nn ho norton installato e nn riesco ad installarlo! Cosa faccio?
C: posso anke formattare, ma nn è ke il virus si propaga anke in D:?
Boh...è la prima volta ke mi succede...

A quanto pare, sto virus, nn permette di installare altri programmi...

Ciao e HELP

Bilancino · 27-08-2002, 19:36

Forse è il klez ma bisogna vedere come era l'oggetto dell'email e il contenuto comunque prima di formattare scaricati dal mio sito questo tools di rimozione per i virus più recenti:

http://digilander.libero.it/andreain...Remover%20.htm

se non trova niente prova a farti fare una scansione antivrus on-line, oppure formatta che è la soluzione migliore.

Ciao

Amd2+++ · 27-08-2002, 19:38

Inviato da mada73@libero.it intitolata "Language"

Adesso, mi è arrivata una e-mail uguale intitolata "Telephone number", ma il mittente è un caro amico di mio papà...nn sa inviare virus, lui...

Adesso vado sul link...

Grazie

Amd2+++ · 27-08-2002, 19:39

Quale devo scaricare?

Amd2+++ · 27-08-2002, 19:42

Telemar Antivirus System ha rilevato in data <08/27/2002 20:34:59> la presenza del virus <WORM_KLEZ.H> nell'allegato <setup.exe> inviato da <stani2k@inwind.it> per <redazione@infomotori.com>. Azione intrapresa: <deleted>. La preghiamo di controllare il suo sistema. Telemar srl ISP Vicenza (Italy) - tel.+39.0444291302

Mi è arrivata questa e-mail dalla redazione di infomotori...è KLEZ, hai ragione!
Ma, io nn ho + l'indirizzo e-mail di infomotori!!!!!!

Bilancino · 27-08-2002, 19:44

Non importa, scarica l'utility della panda quickremover e lanciala.

Se non funziona, intervieni manualmente e vedi:

Virus : W32/Klez

Modifica nel registro:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WinSvc

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WQK

File(s) inseriti o modificati:

C:\WINDOWS\SYSTEM\Winsvc.exe

C:\WINDOWS\SYSTEM\Wqk.exe

Vedi se ci sono questi files e rimuovili e rimuovi anche nel registro queste due chiavi WinSvc, WQK

Come ultima cosa devi disabilitare l'anteprima e-mail nel client di posta e se usi outlook express installa l'ultima patch del 22 agosto:

http://www.microsoft.com/windows/ie/...al/default.asp

Fammi sapere.

Ciao

Amd2+++ · 27-08-2002, 19:49

Grazie, adesso sto scaricando...

Cavolo, meno male ke ho formattato da poko il pc e, quindi, ho poki indirizzi e-mail in rubrica...se no, infettavo una cinquantina di persone...

Amd2+++ · 27-08-2002, 19:54

Niente, nn lo ha individuato...

Bilancino · 27-08-2002, 19:56

Allora è un altra versione modificata guarda se ci sono quei files che ho detto sopra se si rimuovili altrimenti fatti fare una scansione antivirus on-line, i links li trovi nel mio sito o nel post in rilievo links utili.

Ciao

Amd2+++ · 27-08-2002, 20:05

"Modifica nel registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WinSvc
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WQK"

Come accedo al registro?

I 2file nn ci sono in C:windows.

Cosa fa questo virus?

Ciao

Bilancino · 27-08-2002, 20:10

Dipende dalla versione, inpedisce di installare antivirus e il 6 e il 13 del mese può rovinare i files del hardisk. Logicamente si auto replica. Devi fare una scansione antivirus on-line altrimenti devi formattare così non puoi andare avanti.
Come ultima cosa quarda nel registro (start---------->Esegui------->Regedit)

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\

ci sono anche altre sotto cartelle runservice ecc guardale e vedi se riconosci programmi strani........

quali chiavi ci sono, attenzione che ci sono anche chiavi utili, postami i nomi di tutte le chiavi presenti (se ci sono)
Se non c'è niente, o formatti o come ultima spiaggia scansione antivirus on-line.

Ciao

Amd2+++ · 27-08-2002, 20:14

Sto facendo la scansione con Panda: sono al 20%

Mi può rovinare anke D:?

Bilancino · 27-08-2002, 20:16

No, fino a questo livello non arriva...............

speriamo

Al limite prova pure questo tools:

http://www.bitdefender.com/download/...e=AntiKlez.exe

Ciao

Amd2+++ · 27-08-2002, 20:18

No, dico D:\

Bilancino · 27-08-2002, 20:19

Al limite se è cattivo ti brucia il bios della scheda madre..........

sempre se cattivo........

Ciao

Amd2+++ · 27-08-2002, 20:21

Stava iniziando la scansione, ma si sno kiuse ttt le finestre di explorer!!!!!

COme faccio?

Adesso provo regedit e ti dico le kiavi

Amd2+++ · 27-08-2002, 20:28

Predefinito
anvshell.exe
CtStartup (creative ok)
Initialize8x8 (Skeda tv, ok)
Jet detection (crative, ok)
LoadPowerProfile
Mirabilis ICQ (ICQ)
NvCplDaemon
Nwiz
SM56acl (dovrebbe essere il modem)
System Tray
Task monitor
Winkyk

Dimmi cosa devo eliminare, x favore.

Bilancino · 27-08-2002, 20:33

Quote:

Originariamente inviato da Amd2+++
[b]Predefinito
anvshell.exe
CtStartup (creative ok)
Initialize8x8 (Skeda tv, ok)
Jet detection (crative, ok)
LoadPowerProfile
Mirabilis ICQ (ICQ)
NvCplDaemon
Nwiz
SM56acl (dovrebbe essere il modem)
System Tray
Task monitor
Winkyk

Dimmi cosa devo eliminare, x favore.

Nwiz è Nvidia come NvcplDaemon ecc
winkyk penso questo..........vedi dove si trova cambiaci nome in winkyk_ e riavvia poi vedi se hai problemi, poi rilancia la scansione on-line.

ciao

Amd2+++ · 27-08-2002, 20:37

ok, ci sentiamo fra 5 minuti

E' in c/win

Amd2+++ · 27-08-2002, 20:41

Aspetta!
l'ho modificato come hai detto, ma adessome ne ha creato un altro con il nome "originale" nella stessa directory!

27-08-2002, 19:13	#1
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Help virus... Mi sa ke mi hanno mandato un virus via e-mail (ke tra l'altro, nn funziona bene) Dovo aver clikkato sull'e-mail, mi è comparsa (molto velocemente) una finestra di download...dopo un po' mi arrivano due errori di invio di messaggi: Return-Path: <stani2k@inwind.it> Received: from Pihqoyqhd (62.98.72.119) by smtp3.libero.it (6.5.028) id 3D5121BE0057E316 for anomalos77@oclabs.it; Tue, 27 Aug 2002 19:49:37 +0200 From: mikepa <mikepa@inwind.it> To: anomalos77@oclabs.it Subject: To class MIME-Version: 1.0 Content-Type: multipart/alternative; boundary=P6563lT1Too30U0sq4084CU03e9P0631 - These recipients of your message have been processed by the mail server: fluctuslab@virgilio.it; Failed; 5.7.0 (other or undefined security status) -------------------------------------------------------------------------------- Return-Path: <stani2k@inwind.it> Received: from smtp1.libero.it (193.70.192.51) by smtp7.cp.tin.it (6.5.019) id 3D3EE9BA01BB8439 for fluctuslab@virgilio.it; Tue, 27 Aug 2002 19:50:29 +0200 Date: Tue, 27 Aug 2002 19:50:29 +0200 (added by postmaster@virgilio.it) Message-ID: <3D3EE9BA01BB8439@smtp7.cp.tin.it> (added by postmaster@virgilio.it) Received: from Wbbpq (62.98.72.119) by smtp1.libero.it (6.5.028) id 3D6B8BC400016476 for fluctuslab@virgilio.it; Tue, 27 Aug 2002 19:50:29 +0200 From: lunasio <lunasio@libero.it> To: fluctuslab@virgilio.it Subject: Guida per MIME-Version: 1.0 Content-Type: multipart/alternative; boundary=Kx8BN89cc3998z6DWlIny0m5Jx91m67Z0z Nn ho norton installato e nn riesco ad installarlo! Cosa faccio? C: posso anke formattare, ma nn è ke il virus si propaga anke in D:? Boh...è la prima volta ke mi succede... A quanto pare, sto virus, nn permette di installare altri programmi... Ciao e HELP __________________ [Work in Progress...]

27-08-2002, 19:36	#2
Bilancino Senior Member Iscritto dal: Jun 2001 Città: Lazio Messaggi: 5935	Forse è il klez ma bisogna vedere come era l'oggetto dell'email e il contenuto comunque prima di formattare scaricati dal mio sito questo tools di rimozione per i virus più recenti: http://digilander.libero.it/andreain...Remover%20.htm se non trova niente prova a farti fare una scansione antivrus on-line, oppure formatta che è la soluzione migliore. Ciao __________________ HP Gaming 16 I7 10750H, nVidia GTX1650TI 4Gbyte DDR6, 16Gbyte di Ram, SSD INTEL 500Gbyte, Amplificatore Denon PMA-510AE, Diffusori Q Acoustics 3020i

27-08-2002, 19:38	#3
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Inviato da mada73@libero.it intitolata "Language" Adesso, mi è arrivata una e-mail uguale intitolata "Telephone number", ma il mittente è un caro amico di mio papà...nn sa inviare virus, lui... Adesso vado sul link... Grazie __________________ [Work in Progress...]

27-08-2002, 19:39	#4
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Quale devo scaricare? __________________ [Work in Progress...]

27-08-2002, 19:42	#5
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Telemar Antivirus System ha rilevato in data <08/27/2002 20:34:59> la presenza del virus <WORM_KLEZ.H> nell'allegato <setup.exe> inviato da <stani2k@inwind.it> per <redazione@infomotori.com>. Azione intrapresa: <deleted>. La preghiamo di controllare il suo sistema. Telemar srl ISP Vicenza (Italy) - tel.+39.0444291302 Mi è arrivata questa e-mail dalla redazione di infomotori...è KLEZ, hai ragione! Ma, io nn ho + l'indirizzo e-mail di infomotori!!!!!! __________________ [Work in Progress...]

27-08-2002, 19:44	#6
Bilancino Senior Member Iscritto dal: Jun 2001 Città: Lazio Messaggi: 5935	Non importa, scarica l'utility della panda quickremover e lanciala. Se non funziona, intervieni manualmente e vedi: Virus : W32/Klez Modifica nel registro: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WinSvc HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WQK File(s) inseriti o modificati: C:\WINDOWS\SYSTEM\Winsvc.exe C:\WINDOWS\SYSTEM\Wqk.exe Vedi se ci sono questi files e rimuovili e rimuovi anche nel registro queste due chiavi WinSvc, WQK Come ultima cosa devi disabilitare l'anteprima e-mail nel client di posta e se usi outlook express installa l'ultima patch del 22 agosto: http://www.microsoft.com/windows/ie/...al/default.asp Fammi sapere. Ciao __________________ HP Gaming 16 I7 10750H, nVidia GTX1650TI 4Gbyte DDR6, 16Gbyte di Ram, SSD INTEL 500Gbyte, Amplificatore Denon PMA-510AE, Diffusori Q Acoustics 3020i

27-08-2002, 19:49	#7
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Grazie, adesso sto scaricando... Cavolo, meno male ke ho formattato da poko il pc e, quindi, ho poki indirizzi e-mail in rubrica...se no, infettavo una cinquantina di persone... __________________ [Work in Progress...]

27-08-2002, 19:54	#8
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Niente, nn lo ha individuato... __________________ [Work in Progress...]

27-08-2002, 19:56	#9
Bilancino Senior Member Iscritto dal: Jun 2001 Città: Lazio Messaggi: 5935	Allora è un altra versione modificata guarda se ci sono quei files che ho detto sopra se si rimuovili altrimenti fatti fare una scansione antivirus on-line, i links li trovi nel mio sito o nel post in rilievo links utili. Ciao __________________ HP Gaming 16 I7 10750H, nVidia GTX1650TI 4Gbyte DDR6, 16Gbyte di Ram, SSD INTEL 500Gbyte, Amplificatore Denon PMA-510AE, Diffusori Q Acoustics 3020i

27-08-2002, 20:05	#10
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	"Modifica nel registro: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WinSvc HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WQK" Come accedo al registro? I 2file nn ci sono in C:windows. Cosa fa questo virus? Ciao __________________ [Work in Progress...]

27-08-2002, 20:10	#11
Bilancino Senior Member Iscritto dal: Jun 2001 Città: Lazio Messaggi: 5935	Dipende dalla versione, inpedisce di installare antivirus e il 6 e il 13 del mese può rovinare i files del hardisk. Logicamente si auto replica. Devi fare una scansione antivirus on-line altrimenti devi formattare così non puoi andare avanti. Come ultima cosa quarda nel registro (start---------->Esegui------->Regedit) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\ ci sono anche altre sotto cartelle runservice ecc guardale e vedi se riconosci programmi strani........ quali chiavi ci sono, attenzione che ci sono anche chiavi utili, postami i nomi di tutte le chiavi presenti (se ci sono) Se non c'è niente, o formatti o come ultima spiaggia scansione antivirus on-line. Ciao __________________ HP Gaming 16 I7 10750H, nVidia GTX1650TI 4Gbyte DDR6, 16Gbyte di Ram, SSD INTEL 500Gbyte, Amplificatore Denon PMA-510AE, Diffusori Q Acoustics 3020i

27-08-2002, 20:14	#12
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Sto facendo la scansione con Panda: sono al 20% Mi può rovinare anke D:? __________________ [Work in Progress...]

27-08-2002, 20:16	#13
Bilancino Senior Member Iscritto dal: Jun 2001 Città: Lazio Messaggi: 5935	No, fino a questo livello non arriva............... speriamo Al limite prova pure questo tools: http://www.bitdefender.com/download/...e=AntiKlez.exe Ciao __________________ HP Gaming 16 I7 10750H, nVidia GTX1650TI 4Gbyte DDR6, 16Gbyte di Ram, SSD INTEL 500Gbyte, Amplificatore Denon PMA-510AE, Diffusori Q Acoustics 3020i

27-08-2002, 20:18	#14
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	No, dico D:\ __________________ [Work in Progress...]

27-08-2002, 20:19	#15
Bilancino Senior Member Iscritto dal: Jun 2001 Città: Lazio Messaggi: 5935	Al limite se è cattivo ti brucia il bios della scheda madre.......... sempre se cattivo........ Ciao __________________ HP Gaming 16 I7 10750H, nVidia GTX1650TI 4Gbyte DDR6, 16Gbyte di Ram, SSD INTEL 500Gbyte, Amplificatore Denon PMA-510AE, Diffusori Q Acoustics 3020i

27-08-2002, 20:21	#16
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Stava iniziando la scansione, ma si sno kiuse ttt le finestre di explorer!!!!! COme faccio? Adesso provo regedit e ti dico le kiavi __________________ [Work in Progress...]

27-08-2002, 20:28	#17
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Predefinito anvshell.exe CtStartup (creative ok) Initialize8x8 (Skeda tv, ok) Jet detection (crative, ok) LoadPowerProfile Mirabilis ICQ (ICQ) NvCplDaemon Nwiz SM56acl (dovrebbe essere il modem) System Tray Task monitor Winkyk Dimmi cosa devo eliminare, x favore. __________________ [Work in Progress...]

27-08-2002, 20:37	#19
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	ok, ci sentiamo fra 5 minuti E' in c/win __________________ [Work in Progress...]

27-08-2002, 20:41	#20
Amd2+++ Senior Member Iscritto dal: Oct 2001 Città: La Spezia Messaggi: 566	Aspetta! l'ho modificato come hai detto, ma adessome ne ha creato un altro con il nome "originale" nella stessa directory! __________________ [Work in Progress...]

Strumenti
Mostra una versione stampabile Invia questa pagina per email