[GUIDA] Rimuovere trojan vundo/Virutumonde - leggere le Regole di Sezione!!

[wjmat]

hai rifatto prevx oggi alle 11:35 e ti ha dato clean, mi pare di aver visto....
panda hai intenzione di tenerlo? cosa segnala di preciso?

[Zenadiz]

si mi ha dato clean... si pensavo di tenerlo fino a 2 giorni fa si era comportato egregiamente e il mio pc nn aveva mai avuto problemi simili... adesso mi segnala continuamente cookie tra le cartelle di firefox...

[Chill-Out]

Originariamente inviato da Zenadiz

si mi ha dato clean... si pensavo di tenerlo fino a 2 giorni fa si era comportato egregiamente e il mio pc nn aveva mai avuto problemi simili... adesso mi segnala continuamente cookie tra le cartelle di firefox...

Allega un log del Panda, così ci facciamo un'idea

[Zenadiz]

eccolo è un po grandicello perchè ci sono piu giorni insieme voi guardate solo le notifiche del 22
http://wikisend.com/download/548552/panda.txt

[Chill-Out]

Originariamente inviato da Zenadiz

eccolo è un po grandicello perchè ci sono piu giorni insieme voi guardate solo le notifiche del 22
http://wikisend.com/download/548552/panda.txt

Evitiamo di scaricare da Emule queste robe qua:

C:\Programmi\eMule\Temp\001.part[[PATCH XP SP2-VLK] WGA full crack.exe]

il resto sono solo cookie

[alkaid]

credo che avg free 8.0 riesca a rimuoverlo

[Zenadiz]

era per l'id di win... era necessario purtroppo nn avevo altre soluzioni... panda cmq l'ha preso al volo giusto? cioè nn c'è piu... giusto?

[Chill-Out]

Originariamente inviato da Zenadiz

era per l'id di win... era necessario purtroppo nn avevo altre soluzioni... panda cmq l'ha preso al volo giusto? cioè nn c'è piu... giusto?

Teoricamente no.

[wjmat]

panda martedì e mercoledì aveva eliminato/bloccato più di una volta c:\windows\psexesvc.exe
ora si ripresenta o è sparito del tutto?

[Chill-Out]

Firefox - Strumenti - Opzioni - Privacy:

Cookie: seleziona conservali fino alla chiusura di Firefox

[Zenadiz]

nn si ripresenta piu per fortuna... l'ho eliminato manualmente e non è piu tornato...

[Ringo90]

Salve a tutti, prima di riformattare speravo che qualcuno mi aiutasse a risolvere il problema che credo sia il Vundo (o qualche stupido malware). Ho un XP con SP3. Ho già installato (e uso regolarmente) CCleaner, mentre il mio antivirus è il NOD32. Seguendo la vostra guida, ho fatto già degli scan tra cui quello con Prevx CSI (che mi ha trovata infettata ma non ho visto alcuna opzione per poter salvare un log), a-squared Free (che mi ha trovato delle cose che ho messo in quarantina - allego il log), ComboFix (anche qui allego il log), e HijackThis (sempre log allegato). Ho inoltre disabilitato il ripristino configurazione sistema.

Visto che il numero massimo di allegati è 3 metto qui il log di HijackThis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20.49.23, on 25/05/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
E:\WINDOWS\System32\smss.exe
E:\WINDOWS\system32\winlogon.exe
E:\WINDOWS\system32\services.exe
E:\WINDOWS\system32\lsass.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\System32\svchost.exe
E:\WINDOWS\system32\svchost.exe
D:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
E:\PROGRA~1\FILECO~1\Stardock\SDMCP.exe
E:\WINDOWS\system32\ctfmon.exe
E:\WINDOWS\system32\spoolsv.exe
E:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
D:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
D:\Programmi\Nero\Nero8\InCD\InCDsrv.exe
D:\Programmi\Java\jre6\bin\jqs.exe
E:\WINDOWS\system32\RUNDLL32.EXE
E:\WINDOWS\System32\nvsvc32.exe
E:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I2S1.EXE
E:\WINDOWS\system32\atwtusb.exe
D:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe
E:\WINDOWS\system32\PSIService.exe
E:\Programmi\File comuni\Real\Update_OB\realsched.exe
E:\WINDOWS\System32\svchost.exe
D:\Programmi\Java\jre6\bin\jusched.exe
E:\WINDOWS\system32\TBLMOUSE.EXE
E:\WINDOWS\system32\rundll32.exe
D:\Programmi\Windows Live\Messenger\MsnMsgr.Exe
D:\Programmi\DAEMON Tools\daemon.exe
D:\Programmi\Rainlendar2\Rainlendar2.exe
D:\Programmi\NoteZilla\NoteZilla.exe
D:\Programmi\eMule\emule.exe
D:\Programmi\AllChars\AllChars.exe
D:\Programmi\Microsoft Office\Office12\ONENOTEM.EXE
D:\Programmi\uTorrent\uTorrent.exe
D:\PROGRA~1\Magentic\bin\MgApp.exe
E:\WINDOWS\system32\wscntfy.exe
E:\WINDOWS\explorer.exe
D:\Programmi\Opera\Opera.exe
D:\Programmi\Windows Live\Messenger\usnsvc.exe
D:\Programmi\a-squared Free\a2service.exe
E:\WINDOWS\system32\usmt\migwiz.exe
D:\Programmi\PrevxCSI\prevxcsi.exe
D:\Programmi\PrevxCSI\prevxcsi.exe
D:\Programmi\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://dbsarticles.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O3 - Toolbar: (no name) - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - (no file)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE E:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [ADSL_A2] A2Installed
O4 - HKLM\..\Run: [IMJPMIG8.1] "E:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] E:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] E:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] E:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE E:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [EPSON Stylus C66 Series] E:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I2S1.EXE /P23 "EPSON Stylus C66 Series" /O6 "USB001" /M "Stylus C66"
O4 - HKLM\..\Run: [atwtusb] atwtusb.exe beta
O4 - HKLM\..\Run: [egui] "D:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [TkBellExe] "E:\Programmi\File comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [LogonStudio] "D:\Programmi\LogonStudio\logonstudio.exe" /RANDOM
O4 - HKLM\..\Run: [NeroFilterCheck] E:\Programmi\File comuni\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SecurDisc] D:\Programmi\Nero\Nero8\InCD\NBHGui.exe
O4 - HKLM\..\Run: [NBKeyScan] "D:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] E:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "D:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Magentic] D:\PROGRA~1\Magentic\bin\Magentic.exe /c
O4 - HKCU\..\Run: [DAEMON Tools Lite] "D:\Programmi\DAEMON Tools\daemon.exe" -autorun
O4 - HKCU\..\Run: [Rainlendar2] D:\Programmi\Rainlendar2\Rainlendar2.exe
O4 - HKCU\..\Run: [NoteZilla] D:\Programmi\NoteZilla\NoteZilla.exe
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "E:\Programmi\File comuni\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
O4 - HKCU\..\Run: [eMuleAutoStart] D:\Programmi\eMule\emule.exe -AutoStart
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] E:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] E:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] E:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] E:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = E:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: Picture Framer.lnk = D:\Programmi\DesktopX\Widgets\PictureFramer.exe
O4 - Startup: Ritaglio schermata e avvio di OneNote 2007.lnk = D:\Programmi\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Startup: Silica Weather.lnk = D:\Programmi\DesktopX\Widgets\Silica Weather.exe
O4 - Startup: uTorrent (2).lnk = D:\Programmi\uTorrent\uTorrent.exe
O4 - Global Startup: AllChars.lnk = D:\Programmi\AllChars\AllChars.exe
O8 - Extra context menu item: &Scarica con FlashGet - D:\Programmi\FlashGet\jc_link.htm
O8 - Extra context menu item: &Scarica tutto con FlashGet - D:\Programmi\FlashGet\jc_all.htm
O8 - Extra context menu item: &Winamp Toolbar Search - E:\Documents and Settings\All Users\Dati applicazioni\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://D:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programmi\Java\jre6\bin\jp2iexp.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programmi\Java\jre6\bin\jp2iexp.dll
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - D:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Programmi\FlashGet\FlashGet.exe
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\Programmi\FlashGet\FlashGet.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - E:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - E:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programmi\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programmi\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/softwareupdate/su/ocx/15031/CTSUEng.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1205077878936
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1205084044460
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/softwareupdate/su/ocx/15034/CTPID.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3B58B124-1878-4F42-9901-106C1761A8CB}: NameServer = 193.70.152.15 193.70.152.25
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - D:\Programmi\a-squared Free\a2service.exe
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - D:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - E:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - E:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: CSIScanner - Prevx - D:\Programmi\PrevxCSI\prevxcsi.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - D:\Programmi\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - D:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - Unknown owner - D:\Programmi\MAGIX\Common\Database\bin\fbserver.exe (file missing)
O23 - Service: InCD Helper (InCDsrv) - Nero AG - D:\Programmi\Nero\Nero8\InCD\InCDsrv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - D:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: Nero Registry InCD Service (NeroRegInCDSrv) - Nero AG - D:\Programmi\Nero\Nero8\InCD\NBHRegInCDSrv.exe
O23 - Service: NMIndexingService - Nero AG - E:\Programmi\File comuni\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - E:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - E:\WINDOWS\system32\IoctlSvc.exe
O23 - Service: ProtexisLicensing - Unknown owner - E:\WINDOWS\system32\PSIService.exe
O23 - Service: ServiceLayer - Nokia. - D:\Programmi\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 10589 bytes

[wjmat]

x Ringo90
Per favore ricarica i log senza zipparli
Dei file trovati da prevx dovremmo sapere la posizione, o li cerchi manualmente e ce la comunichi o rifai la scansione e alla fine, alla schermata con l'esito, allarga bene le colonne in modo che si veda la posizione e fai lo foto allo schermo con il tasto stamp, apri paint incolli l'immagine, salvi in jpg e carichi su http://fileqube.com
Ciao

[Ringo90]

Originariamente inviato da wjmat

x Ringo90
Per favore ricarica i log senza zipparli
Dei file trovati da prevx dovremmo sapere la posizione, o li cerchi manualmente e ce la comunichi o rifai la scansione e alla fine, alla schermata con l'esito, allarga bene le colonne in modo che si veda la posizione e fai lo foto allo schermo con il tasto stamp, apri paint incolli l'immagine, salvi in jpg e carichi su http://fileqube.com
Ciao

Quello di Combofix l'avevo zippato perchè superava i limiti di grandezza di poco, mentre quello di a-squared era in un formato non riconosciuto dal forum. Ora li uppo su mediafire.
Combofix
a-squared
Prevx

[Chill-Out]

Originariamente inviato da Ringo90

Quello di Combofix l'avevo zippato perchè superava i limiti di grandezza di poco, mentre quello di a-squared era in un formato non riconosciuto dal forum. Ora li uppo su mediafire.
Combofix
a-squared
Prevx

Partendo dal presupposto che sul Pc hai un gran macello, il log di A-Squared non è in formato .txt, a fine scansione premere "sposta in Quarantena" e poi "Salva Rapporto" quindi pubblicare questo rapporto (= log)

Apri il Blocco Note copia e incolla queste righe:

File::
E:\WINDOWS\BMc3c1c110.xml
E:\WINDOWS\system32\mdm.exe
E:\WINDOWS\system32\awtrrQHX.dll
E:\WINDOWS\system32\flprvvns.dll
E:\WINDOWS\system32\uciixfjp.dll
E:\WINDOWS\system32\byXNgeDV.dll
E:\WINDOWS\system32\khfDwtRl.dll
E:\WINDOWS\system32\urqOfdaw.dll
E:\WINDOWS\system32\nnnliICt.dll

Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{540901BE-EBEE-4874-AB67-81FC380837EA}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{99972D1B-964E-49EC-92F4-1EB39F4810A5}]

Salva il file sul Desktop come CFScript.txt

Trascina il file appena creato ovvero CFScript.txt sull'icona di ComboFix

al termine il PC si dovrebbe ravviare, eventualmente riavvia tu manualmente, allega il log che trovi in C:\ComboFix.txt

Poi segui la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

Ogni singolo log, esclusivamente in formato txt a parte SynInspector e nell'ordine indicato in Guida, deve essere hostato su Wikisend, clicca qui per raggiungere Wikisend, pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download

[Ringo90]

Ho cercato di fare quello che hai detto... ti ringrazio dell'aiuto però con questo virus sono messa davvero male, la connessione a tratti non va più, quindi non posso fare tutte le scansioni... mi sa che si deve risolvere al più presto altrimenti mi arrendo e riformatto...

ComboFix.txt <-- il log che mi è uscito dopo aver fatto quello che hai detto
a2scan_080525-190249.txt <-- a-squared scan del giorno 25
a2scan_080526-172200.txt <-- a-squared scan del giorno 26
SysInspector.xml
gmer.log

Gli altri già te li ho dati, dimmi se devo rifare con Hijackthis o altri...

[Chill-Out]

Originariamente inviato da Ringo90

Ho cercato di fare quello che hai detto... ti ringrazio dell'aiuto però con questo virus sono messa davvero male, la connessione a tratti non va più, quindi non posso fare tutte le scansioni... mi sa che si deve risolvere al più presto altrimenti mi arrendo e riformatto...

ComboFix.txt <-- il log che mi è uscito dopo aver fatto quello che hai detto
a2scan_080525-190249.txt <-- a-squared scan del giorno 25
a2scan_080526-172200.txt <-- a-squared scan del giorno 26
SysInspector.xml
gmer.log

Gli altri già te li ho dati, dimmi se devo rifare con Hijackthis o altri...

Te l'avevo anticipato che hai un gran macello, per poter proseguire serve almeno la scansione al Punto 4 della Guida col Kaspersky Removal Tool

Al temine oltre al log del Kaspersky nuovo log di HijackThis e Prevx CSI

Se decidi di formattare che non sarebbe una cattiva idea, comunicamelo.

[Ringo90]

Scusa non l'ho fatto perchè era indicato come metodo alternativo... ora lo faccio poi aggiorno il post.

EDIT: mentre sta facendo lo scan, si spegne improvvisamente (e si sente un leggero rumore provenire dal computer) cosa che mi era già successa nei giorni scorsi. A questo punto mi sa che non ho scelta... che ne pensi?

[Chill-Out]

Originariamente inviato da Ringo90

Scusa non l'ho fatto perchè era indicato come metodo alternativo... ora lo faccio poi aggiorno il post.

EDIT: mentre sta facendo lo scan, si spegne improvvisamente (e si sente un leggero rumore provenire dal computer) cosa che mi era già successa nei giorni scorsi. A questo punto mi sa che non ho scelta... che ne pensi?

Che genere di rumore?

[wjmat]

chill un fix a qualche decina di 04 per alleggerirgli il sistema, dato che ne ha qualche centinaia... può servire?