[GUIDA] Rimuovere trojan vundo/Virutumonde - leggere le Regole di Sezione!!

[Chill-Out]

Originariamente inviato da themow95

Nn riesco a risolvere iol problema eco il mio log hijackthis scan.txt

se volete maggiori informazioni sul mio problema http://www.hwupgrade.it/forum/showth...1#post25477621

Secondo me non si tratta del Vundo, ci ritrasferiamo nella discussione precedentemente aperta

[bylucky]

Salve a tutti
Virtumonde ha preso la residenza nel mio pc
Ho seguito la [GUIDA] Rimuovere trojan vundo/Virutumonde
ma sia spybot sia F-secure Online rilevano ancora il virus
Ho fatto l'upload di hijackthis qui

http://www.mediafire.com/?sharekey=0...db6fb9a8902bda

Potreste aiutarmi?

[wjmat]

Originariamente inviato da bylucky

Salve a tutti
Virtumonde ha preso la residenza nel mio pc
Ho seguito la [GUIDA] Rimuovere trojan vundo/Virutumonde
ma sia spybot sia F-secure Online rilevano ancora il virus
Ho fatto l'upload di hijackthis qui

http://www.mediafire.com/?sharekey=0...db6fb9a8902bda

Potreste aiutarmi?

ciao

se hai seguito la guida dovresti caricare il log di mbam + quello di fsecure
+ un log di Combofix (leggi bene le info)

[bylucky]

Originariamente inviato da wjmat

ciao

se hai seguito la guida dovresti caricare il log di mbam + quello di fsecure
+ un log di Combofix (leggi bene le info)

ah, ok
grazie WJMAT

adesso purtroppo non ho il pc infetto a disposizione, quindi non posso.
nei prossimi giorni metto tutto appena possibile

[balint]

Il pc di un amico è infestato da Vundo, ho seguito la guida passo passo ma il problema sembra permanere.

Ecco i log:

MBAM: http://www.fileqube.com/file/YDoaqsh160571
F-Secure: http://www.fileqube.com/file/wuZpjAw160572

Ho ripetute le scansioni varie volte ma nulla...

[Chill-Out]

Originariamente inviato da balint

Il pc di un amico è infestato da Vundo, ho seguito la guida passo passo ma il problema sembra permanere.

Ecco i log:

MBAM: http://www.fileqube.com/file/YDoaqsh160571
F-Secure: http://www.fileqube.com/file/wuZpjAw160572

Ho ripetute le scansioni varie volte ma nulla...

1 Fai girare questo tool

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

2 Scarica Prevx CSI da qui http://www.prevx.com/freescan.asp, terminata la scansione per salvare il log clicca su Impostazioni - Salva file di log

Riepilogo log da allegare:
Combofix
Prevx
Log HJT

Ciao

[balint]

Prevx: http://www.fileqube.com/file/WFanbd160578
ComboFix: http://www.fileqube.com/file/RunDYVdD160579
HijackThis: http://www.fileqube.com/file/BmAlYb160580

[wjmat]

Originariamente inviato da balint

Prevx: http://www.fileqube.com/file/WFanbd160578
ComboFix: http://www.fileqube.com/file/RunDYVdD160579
HijackThis: http://www.fileqube.com/file/BmAlYb160580

• Lancia HiJackThis
• Clicca Do a scan only
• Metti la spunta a fianco delle righe che ti segnalo qui sotto
• Clicca su Fix Checked
• Riavvia il pc
• Lancia HiJackThis
• Do a system scan and save a logfile
• Carica il nuovo log secondo le modalità

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O4 - HKLM\..\Run: [HiYo] E:\Programmi\HiYo\bin\HiYo.exe /RunFromStartup
O4 - HKLM\..\Run: [d8cb7152] rundll32.exe "E:\WINDOWS\system32\dukeyiwa.dll",b
O4 - HKLM\..\Run: [CPMc3f29610] Rundll32.exe "e:\windows\system32\lorizuzu.dll",a
O4 - HKCU\..\Run: [MsnMsgr] "E:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [swg] E:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = E:\Programmi\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab
O16 - DPF: {4BFD075D-C36E-4F28-BB0A-5D472795197A} (PowerLoader Class) - http://powersoccer.giocaregratis.it/applet/PowerLoader.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_ site.cab?1226415201667
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O20 - AppInit_DLLs: e:\windows\system32\lorizuzu.dll
O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - e:\windows\system32\lorizuzu.dll
O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - e:\windows\system32\lorizuzu.dll

Scarica Avenger da qui
Lancialo → Clicca Ok → Copia e Incolla TUTTO il codice segnalato qui sotto, nel riquadro bianco del programma → Clicca su Execute
Attendi riavvio del pc. Se non si riavvia da solo fallo manualmente.
Al riavvio verrà salvato il log in c:\avenger.txt. caricalo per verificare che l'operazione abbia funzionato.

Files to delete:
E:\WINDOWS\system32\dukeyiwa.dll
e:\windows\system32\lorizuzu.dll

[Chill-Out]

Esegui quanto detto sopra, lasciando stare Avenger, dopodichè procedi così:

Apri il Blocco Note copia e incolla questa righe:

File::
E:\WINDOWS\system32\dukeyiwa.dll
e:\windows\system32\lorizuzu.dll

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{1c49c200-c524-11dd-bcb6-00080dced1d6}]

Salva il file sul Desktop come CFScript.txt

Trascina il file appena creato ovvero CFScript.txt sull'icona di ComboFix

al termine il PC si dovrebbe ravviare, eventualmente riavvia tu manualmente, allega il log che trovi in C:\ComboFix.txt

ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

[gnogno1985]

Mi affido nuovamente al vostro aiuto per il pc che usa mia sorella che si è ribeccata di nuovo questo malware.

Questi sono i log:

http://www.fileqube.com/file/kGBAdHn160802

http://www.fileqube.com/file/ddKWRR160803

http://www.fileqube.com/file/pijCrlAx160804

Sono pulito?


Grazie

[Chill-Out]

Originariamente inviato da gnogno1985

Mi affido nuovamente al vostro aiuto per il pc che usa mia sorella che si è ribeccata di nuovo questo malware.

Questi sono i log:

http://www.fileqube.com/file/kGBAdHn160802

http://www.fileqube.com/file/ddKWRR160803

http://www.fileqube.com/file/pijCrlAx160804

Sono pulito?


Grazie

1 Fai girare questo tool

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

2 Scarica Prevx CSI da qui http://www.prevx.com/freescan.asp, terminata la scansione per salvare il log clicca su Impostazioni - Salva file di log

Riepilogo log da allegare:
Combofix
Prevx
Log HJT

Ciao

[bylucky]

Originariamente inviato da wjmat

ciao

se hai seguito la guida dovresti caricare il log di mbam + quello di fsecure
+ un log di Combofix (leggi bene le info)

ho rifatto tutti i controlli della guida, in quanto nel frattempo il pc è stato usato e magari la situazione era cambiata. Ecco i log

http://www.mediafire.com/?sharekey=0...db6fb9a8902bda

Ho inserito sia quelli di adesso, sia quelli di qualche giorno fa

[wjmat]

Originariamente inviato da bylucky

ho rifatto tutti i controlli della guida, in quanto nel frattempo il pc è stato usato e magari la situazione era cambiata. Ecco i log

http://www.mediafire.com/?sharekey=0...db6fb9a8902bda

Ho inserito sia quelli di adesso, sia quelli di qualche giorno fa

• Lancia HiJackThis
• Clicca Do a scan only
• Metti la spunta a fianco delle righe che ti segnalo qui sotto
• Clicca su Fix Checked
• Riavvia il pc
• Lancia HiJackThis
• Do a system scan and save a logfile
• Carica il nuovo log secondo le modalità

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SecurDisc] C:\Programmi\Nero\Nero8\InCD\NBHGui.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Nero\Nero8\InCD\InCD.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Nero\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programmi\DNA\btdna.exe"
O4 - Startup: OpenOffice.org 2.3.lnk = C:\Programmi\OpenOffice.org 2.3\program\quickstart.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site .cab?1204111911910
O16 - DPF: {7F8B1F27-AE54-479D-AACF-0A7B2334E7EE} (HTTPUplListX Control) - http://stampafoto.mediaworld.it/HTTPUplList.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

[Obersky]

Problema.. inizio a seguire la guida... ma durante la scansione del sistema con Malewarebytes il pc mi si riavvia automaticamente....


Stessa cosa se faccio lo scan con l'antivirus o con windows malaware tool

[wjmat]

Originariamente inviato da Obersky

Problema.. inizio a seguire la guida... ma durante la scansione del sistema con Malewarebytes il pc mi si riavvia automaticamente....


Stessa cosa se faccio lo scan con l'antivirus o con windows malaware tool

ciao

prova in modalità provvisoria
se non dovesse andare a buon fine carica un log di Combofix (leggi bene le info)

[bylucky]

Originariamente inviato da wjmat

• Lancia HiJackThis
• Clicca Do a scan only
• Metti la spunta a fianco delle righe che ti segnalo qui sotto
• Clicca su Fix Checked
• Riavvia il pc
• Lancia HiJackThis
• Do a system scan and save a logfile
• Carica il nuovo log secondo le modalità

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SecurDisc] C:\Programmi\Nero\Nero8\InCD\NBHGui.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Nero\Nero8\InCD\InCD.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Nero\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programmi\DNA\btdna.exe"
O4 - Startup: OpenOffice.org 2.3.lnk = C:\Programmi\OpenOffice.org 2.3\program\quickstart.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site .cab?1204111911910
O16 - DPF: {7F8B1F27-AE54-479D-AACF-0A7B2334E7EE} (HTTPUplListX Control) - http://stampafoto.mediaworld.it/HTTPUplList.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

fatto, spero che sia tutto giusto
ecco il log di hijackthis
http://www.mediafire.com/?tzrzkv2itvl

[wjmat]

Originariamente inviato da bylucky

fatto, spero che sia tutto giusto
ecco il log di hijackthis
http://www.mediafire.com/?tzrzkv2itvl

se non riscontri altri problemi dai un occhio al trattamento di prevenzione / post disinfezione, ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide


importante aggiornare
Windows al service pack 3 -> link download

[gnogno1985]

Originariamente inviato da Chill-Out

1 Fai girare questo tool

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

2 Scarica Prevx CSI da qui http://www.prevx.com/freescan.asp, terminata la scansione per salvare il log clicca su Impostazioni - Salva file di log

Riepilogo log da allegare:
Combofix
Prevx
Log HJT

Ciao

Questo è combo:

http://www.fileqube.com/file/KOqezFa161077

Questo è prev:

http://www.fileqube.com/file/cmTjGPHC161078

Hijackthis:

http://www.fileqube.com/file/KxvKdyfp161079


Grazie

[Chill-Out]

Edit

[bylucky]

Originariamente inviato da wjmat

se non riscontri altri problemi dai un occhio al trattamento di prevenzione / post disinfezione, ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide


importante aggiornare
Windows al service pack 3 -> link download

ho fatto un controllo con spybot e continua a trovare virtumonde

Virtumonde: [SBI $1E12D746] Impostazioni utente (Chiave di registro, nothing done)
HKEY_USERS\S-1-5-21-484763869-492894223-725345543-1003\Software\Microsoft\fias4013

Right Media: Cookie tracciante (Internet Explorer: Admin) (Cookie, fixed)

mi dovrò rassegnare a formattare??