[GUIDA] Rimuovere trojan vundo/Virutumonde - leggere le Regole di Sezione!!

[wjmat]

Originariamente inviato da lofonako

ecco qua, rilinko il link dei log

1.virtumondobegone(da mod. provv)
2.combofix(da mod. provv)
3.HJT(da mod. normale, prima della scansione con fsecure)
4.fsecure (da mod. normale)
5. HJT (dopo scansione con fsecure)
http://www.mediafire.com/?sharekey=5...db6fb9a8902bda

e poi qui c'è il risultato di superantispyware
http://img291.imageshack.us/img291/8...spywarels1.jpg

e di nuovo hjt dopo superantispyware...
http://www.fileqube.com/shared/sFcayzup104032

il log di super non te l'ho chiesto così.... le info mi sembrano più che chiare...

[lofonako]

excuse me

ecco qui superantisp..: http://www.fileqube.com/shared/ozdDH104034

[wjmat]

Originariamente inviato da lofonako

excuse me

ecco qui superantisp..: http://www.fileqube.com/shared/ozdDH104034

ho paura che non sia configurato come da guida...

[lofonako]

...e da hjt cosa mi puoi dire, posso fixare qualcosa?

[wjmat]

Originariamente inviato da lofonako

...e da hjt cosa mi puoi dire, posso fixare qualcosa?

• Lancia HiJackThis
• Clicca Do a scan only
• Metti la spunta a fianco delle righe che ti segnalo qui sotto
• Clicca su Fix Checked
• Riavvia il pc
• Lancia HiJackThis
• Do a system scan and save a logfile
• Carica il nuovo log con la funzione gestisci allegati

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ecc.) disinstallale pure se non le usi.
Le voci O16 non le segnalo, ma vanno fixate tutte, con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {0DC314F3-9E8F-44C1-8B0B-A3D3A2CB6FDF} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {A47239E3-79E2-41C0-BCEA-CCEACF1DAE00} - (no file)
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\pchealth\helpctr\Binaries\MSCONFIG.EXE /auto
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O20 - Winlogon Notify: winzwr32 - C:\WINDOWS\

[lofonako]

ecco qui.

[wjmat]

Originariamente inviato da lofonako

ecco qui.

Da modalità normale
Apri il Blocco Note e incolla tutto il codice qui sotto

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9cdc8ffd-28b5-11dd-a757-001d602c703a}]

Salva il file sul Desktop come CFScript.txt → Trascina il file di testo appena creato (CFScript.txt) sull'icona di ComboFix che riconoscerà il comando di cancellazione → al termine il PC si dovrebbe riavviare (eventualmente fallo tu manualmente) → al riavvio allega il log che trovi in C:\ComboFix.txt

[xcdegasp]

Originariamente inviato da lofonako

ecco qui.

log pulito

[lofonako]

Originariamente inviato da wjmat

Da modalità normale
Apri il Blocco Note e incolla tutto il codice qui sotto

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9cdc8ffd-28b5-11dd-a757-001d602c703a}]

Salva il file sul Desktop come CFScript.txt → Trascina il file di testo appena creato (CFScript.txt) sull'icona di ComboFix che riconoscerà il comando di cancellazione → al termine il PC si dovrebbe riavviare (eventualmente fallo tu manualmente) → al riavvio allega il log che trovi in C:\ComboFix.txt

fatto, ma quando trascino su combofix e si apre, mi appare una finestra che mi dice:

CFScript errore nome
Tentavate di far funzioare CFscript?
Il nome, CFScript appare ortograficamente non corretto

e si chiude combofix

ps: è normale che quando apro combofix parta in automatico la scansione di spybot?

ps2: mi sà che f-secure, prima, scansionando online, mi abbia cancellato un bel pò di file...non li ritrovo più...

[wjmat]

fsecure ha eliminato questi

Result: 12 malware found
Backdoor.Win32.Rbot (virus) 
System 
Client-IRC.Win32.mIRC (spyware) 
System 
PSWTool.Win32.RAS (spyware) 
System 
RemoteAdmin.Win32.WinVNC (spyware) 
System 
RemoteAdmin.Win32.WinVNC-based (spyware) 
System 
TrackingCookie.Adbrite (spyware) 
System 
TrackingCookie.Adtech (spyware) 
System 
TrackingCookie.Atdmt (spyware) 
System 
TrackingCookie.Zanox (spyware) 
System 
W32/Packed/FSG_1.C (virus) 
D:\PROGRAMMI\NATIVE INSTRUMENTS\TRAKTOR DJ STUDIO 2\TRAKTOR261_KEYGEN.EXE (Submitted) 
W32/Packed/FSG_2.A (virus) 
K:\PROGRAMMI\MIRC\AUTHPATCH.EXE (Submitted) 
W32/Suspicious_U.gen (virus) 
D:\DIVX PRO 6.5 (FINAL-SUITE) INC.KEYGEN+ BY CONTROLLER PROGRAMMI ITA\KEYGENS+ISTRUZIONI\KEYGEN_PRO+PLUG-INS.EXE (Submitted)

combofix va usato con i programmi di protezione disattivati, disabilita spybot
se si sono corrotti i suoi file riscaricalo e reinstallalo

[foxtre]

Penso di essere infetto ancora dal Maledetto Vundo. Continuano ad uscirmi finestre fake che sono infetto, tipo "Micro Antivirus 2009".

Questo è il Log fatto con Hjackthis.

http://wikisend.com/download/605738/log1.txt

Se qualcuno mi può aiutare. Grazie...

[Chill-Out]

Originariamente inviato da foxtre

Penso di essere infetto ancora dal Maledetto Vundo. Continuano ad uscirmi finestre fake che sono infetto, tipo "Micro Antivirus 2009".

Questo è il Log fatto con Hjackthis.

http://wikisend.com/download/605738/log1.txt

Se qualcuno mi può aiutare. Grazie...

Ciao segui questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1789446

[foxtre]

Originariamente inviato da Chill-Out

Ciao segui questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1789446

Ho seguito la guida, apparentemente sembrerebbe tutto ok ora.

Posto i relativi log:

http://www.fileqube.com/shared/awGfCbNm109252

http://www.fileqube.com/shared/LgXaE109253

http://www.fileqube.com/shared/ereqRLs109255

http://www.fileqube.com/shared/hvnIU109256

Spero vada tutto bene...

[Chill-Out]

Originariamente inviato da foxtre

Ho seguito la guida, apparentemente sembrerebbe tutto ok ora.

Posto i relativi log:

http://www.fileqube.com/shared/awGfCbNm109252

http://www.fileqube.com/shared/LgXaE109253

http://www.fileqube.com/shared/ereqRLs109255

http://www.fileqube.com/shared/hvnIU109256

Spero vada tutto bene...

Avresti dovuto allegare i log nel 3D che ti avevo indicato, comunque riallega il log di DrWeb in formato .txt le istruzioni le trovi sempre qui http://www.hwupgrade.it/forum/showthread.php?t=1789446

Esegui HJT clicca su Do a system scan only e metti il segno di spunta nella casella a sx delle sottoindicate voci

O21 - SSODL: mgxfebsq - {713DD47B-A277-4BC0-8559-EBD42B6E695F} - C:\WINDOWS\mgxfebsq.dll (file missing)
O21 - SSODL: dtseqrxk - {90DF3FF3-3CB4-440D-85B1-24A66933C653} - C:\WINDOWS\dtseqrxk.dll (file missing)

clicca su Fix checked

[Chill-Out]

Originariamente inviato da aemme65

Mi hanno consigliato di venire in questo thread.

Mi date un'occhiata a questi file di log:


Ci sono due log di virtumondebegone perchè mi ha fatto il boot della macchina.

Virtumondebegone 1: http://wikisend.com/download/532934/VBG.TXT

Virtumondebegone 2: http://wikisend.com/download/544016/VBG2.TXT

Combofix :http://wikisend.com/download/855902/log.txt

Kespersky : http://www.hwupgrade.helloweb.eu/Par...3279091252.txt

SuperAntySpyware : http://www.fileqube.com/shared/YKrXS109242


Allego anche il file di hijackthis: http://www.fileqube.com/shared/ebzubrdtO109245

Grazie

Ripeti la scansione con SAS ed allega il log non lo screenshot, thx.

[foxtre]

Originariamente inviato da Chill-Out

Avresti dovuto allegare i log nel 3D che ti avevo indicato, comunque riallega il log di DrWeb in formato .txt le istruzioni le trovi sempre qui http://www.hwupgrade.it/forum/showthread.php?t=1789446

Esegui HJT clicca su Do a system scan only e metti il segno di spunta nella casella a sx delle sottoindicate voci



clicca su Fix checked

Ti ho risposto nell'altro 3D come da te suggerito.

[Chill-Out]

Originariamente inviato da foxtre

Ti ho risposto nell'altro 3D come da te suggerito.

hai deciso di farmi impazzire

[Kala]

ciao a tutti,
allora... ho eseguito passo passo gli step suggeriti da bugs.
ecco il link con tutti i logs:
http://www.mediafire.com/?sharekey=5...db6fb9a8902bda

vista la mia sostanziale ignoranza, ho ancora dei dubbi:
1- devo tornare sul "ripristino configurazione di sistema" o (come sembra) tutto è tornato come in principio (cioe senza disattivazione spuntata)?
2- debbo eliminare in toto o in parte i vari .exe installati (VirtumundoBeGone, ComboFix, Kaspersky Virus Removal Tool - per altro pesantino - e SuperAntiSpyware)?
3- da quando ho fatto tutta l'operazione windows mi segnala che non ho firewall e il pc potrebbe essere esposto a rischi. siccome ho una copia crackata non vorrei fare ulteriori danni...
4- il mio antivirus (avira) mi segnala continuamente la pericolosa presenza dei succitati .exe, in particolare di combofix. che debbo fare? ignoro o smantello?

grazie anticipatamente,
K

[Chill-Out]

Originariamente inviato da Kala

ciao a tutti,
allora... ho eseguito passo passo gli step suggeriti da bugs.
ecco il link con tutti i logs:
http://www.mediafire.com/?sharekey=5...db6fb9a8902bda

vista la mia sostanziale ignoranza, ho ancora dei dubbi:
1- devo tornare sul "ripristino configurazione di sistema" o (come sembra) tutto è tornato come in principio (cioe senza disattivazione spuntata)?
2- debbo eliminare in toto o in parte i vari .exe installati (VirtumundoBeGone, ComboFix, Kaspersky Virus Removal Tool - per altro pesantino - e SuperAntiSpyware)?
3- da quando ho fatto tutta l'operazione windows mi segnala che non ho firewall e il pc potrebbe essere esposto a rischi. siccome ho una copia crackata non vorrei fare ulteriori danni...
4- il mio antivirus (avira) mi segnala continuamente la pericolosa presenza dei succitati .exe, in particolare di combofix. che debbo fare? ignoro o smantello?

grazie anticipatamente,
K

Apri il Blocco Note copia e incolla questa riga:

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{53bc054e-3795-11dd-a7b0-001e8c07a32f}]

Salva il file sul Desktop come CFScript.txt

Trascina il file appena creato ovvero CFScript.txt sull'icona di ComboFix

al termine il PC si dovrebbe ravviare, eventualmente riavvia tu manualmente, allega il log che trovi in C:\ComboFix.txt

ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

NB: è assai probabile che tu abbia un supporto removibile USB infetto

Oltre al log di Combofix mi alleghi anche un log di HijackThis vedi qui http://www.hwupgrade.it/forum/showthread.php?t=1599737 Punto 7

[Kala]

Originariamente inviato da Chill-Out

Apri il Blocco Note copia e incolla questa riga:
1-allega il log che trovi in C:\ComboFix.txt

2-ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

3-Oltre al log di Combofix mi alleghi anche un log di HijackThis vedi qui http://www.hwupgrade.it/forum/showthread.php?t=1599737 Punto 7

dunque, intanto grazie mille.
1-non capisco bene con quale tempistica debbo fare quest'operazione, cioè se dopo la trascrizione dello script, a prescindere da esso o cosa
2-combofix l'ho già eseguito, come da indicazioni di bugs bunny, in modalità provvisoria
3-vedo che suggerite di leggere bene il manuale italiano e che l'operazione non è una cosa da due secondi; visto che sto andando fuori per il weekend, forse è il caso che mi applico con calma e pazienza da lunedì?
4-non mi hai risposto sulle 4 questioni che ponevo nel post precendente; in particolare sono spaventato dal punto3, il fatto che il mio windows crackato mi allerti sull'improvvisa NON presenza di un firewall.
grazie ancora