[new] Guida alla disinfezione da Vundo / Virtumonde / Virtumondo / MS Juan

[$Raf$]

quindi dovrebbe essere tutto risolto???

[Chill-Out]

Originariamente inviato da $Raf$

quindi dovrebbe essere tutto risolto???

Si

[ulk]

Bisogna aggiornare la prima pagina, per chi rileva Virtumonde con la versione 1.52 di SpyBot potrebbe essere un falso positivo, bisogna avere la versione 1.62 di SpyBot.
Tanto è vero Malwarebytes anti malware non mi ha mai trovato niente.

[xcdegasp]

Originariamente inviato da ulk

Bisogna aggiornare la prima pagina, per chi rileva Virtumonde con la versione 1.52 di SpyBot potrebbe essere un falso positivo, bisogna avere la versione 1.62 di SpyBot.
Tanto è vero Malwarebytes anti malware non mi ha mai trovato niente.

se è un falsopositivo lo si vede immediatamente, comunque grazie dell'aiuto

[shadowm]

Originariamente inviato da xcdegasp

se è un falsopositivo lo si vede immediatamente, comunque grazie dell'aiuto

Come fai a saper se è un falso positivo?

[xcdegasp]

Originariamente inviato da shadowm

Come fai a saper se è un falso positivo?

perchè è l'unico che rileva qualcosa e in versione obsoleta..
al limite scansionando quell'oggetto su virscan.org e virustotal.com

[Vincencolin]

da una settimana circa ho dei poblemi con l'avvio di programmi come firefox e internet explorer(ho fatto una installazione di ripsristino di xp e il problema con i browser è sparito), dopo una serie infinita di scansioni sono arrivato a trovare dei trojan che infettano il mio pc..
posto i vari log come da regolamento.
grazie a chiunque vorrà darci un'occhiata.

Malwarebytes:http://www.mediafire.com/file/ukdojn...log-2009-08-24 (18-50-03)ultimo.txt

combofix: http://www.mediafire.com/file/oymdke...ogcombofix.txt

Kaspersky Virus Removal Tool: http://www.mediafire.com/file/mjmmuodadud/kasp filtrato.txt


prevx: http://img228.imageshack.us/i/immagineprevx.png/
http://www.mediafire.com/file/jwijz1...revxultimo.log

hijack:http://www.mediafire.com/file/5htzmqtk2tj/hijackthis ultimo.log

[wjmat]

Originariamente inviato da Vincencolin

da una settimana circa ho dei poblemi con l'avvio di programmi come firefox e internet explorer(ho fatto una installazione di ripsristino di xp e il problema con i browser è sparito), dopo una serie infinita di scansioni sono arrivato a trovare dei trojan che infettano il mio pc..
posto i vari log come da regolamento.
grazie a chiunque vorrà darci un'occhiata.

Malwarebytes:http://www.mediafire.com/file/ukdojn...log-2009-08-24 (18-50-03)ultimo.txt

combofix: http://www.mediafire.com/file/oymdke...ogcombofix.txt

Kaspersky Virus Removal Tool: http://www.mediafire.com/file/mjmmuodadud/kasp filtrato.txt


prevx: http://img228.imageshack.us/i/immagineprevx.png/
http://www.mediafire.com/file/jwijz1...revxultimo.log

hijack:http://www.mediafire.com/file/5htzmqtk2tj/hijackthis ultimo.log

Ciao

il log di combo non sono riuscito a visionarlo
non mi sembra di aver visto tracce riconducibili a vundo

Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio ()

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "E:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [DAEMON Tools Lite] "D:\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background

devi aggiornare
Windows al service pack 3
Explorer alla versione 8

[xcdegasp]

dopo aver fatto cio che ha detto wjmat vai al seguente link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente tra cui acrobat reader che volendo potresti sostituire con il più funzionale "foxit reader" (http://www.foxitsoftware.com/pdf/reader/) che è sempre gratuito ma molto più leggero e veloce

puoi benissimo continuare a tenere i dns di www.opendns.com anzi io te loi consiglio così eviti molti problemi anche per il furturo

[nami-chan]

Ciao a tutti, con una scansione con Spyboot ho trovato il file Virtumonde, ho provato a cancellarlo tramite spyboot, ma mi sembre di non avere fatto nulla, perchè ho il pc che è molto rallentato..ho seguito la vostra guida, ecco i risultati:

Malwarebytes:
http://www.mediafire.com/file/mwyzti...log-2009-08-25 (03-48-40).txt
http://www.mediafire.com/file/zyyttj...log-2009-08-25 (12-53-53).txt
(sono due perchè ho dovuto interrompere la prima scansione)

ComboFix:
http://www.mediafire.com/file/ggumunyejyq/combofix.txt

OnlineScanner:
http://www.mediafire.com/file/20mwyjlnvwj/Online Scanner - Scanning Report - Tuesday, August 25, 2009 134714.txt
(sono solo riuscita a fare questo tipo di scansione, quella completa si blocca mentre prepara la scansione e poi sparisce la pagina e torna a quella del sito)

PrevX:
http://www.mediafire.com/file/dnlmyeznznm/prevx.txt

Hijackthis:
http://www.mediafire.com/file/zzywt2...hijackthis.txt

Sono infetta?
Dopo aver ripulito, quando cancellare i DNS che ho inserito? e quando devo "rispuntare" il ripristino di sistema?
Vi ringrazio!

[xcdegasp]

Originariamente inviato da nami-chan

Ciao a tutti, con una scansione con Spyboot ho trovato il file Virtumonde, ho provato a cancellarlo tramite spyboot, ma mi sembre di non avere fatto nulla, perchè ho il pc che è molto rallentato..ho seguito la vostra guida, ecco i risultati:

Malwarebytes:
http://www.mediafire.com/file/mwyzti...log-2009-08-25 (03-48-40).txt
http://www.mediafire.com/file/zyyttj...log-2009-08-25 (12-53-53).txt
(sono due perchè ho dovuto interrompere la prima scansione)

ComboFix:
http://www.mediafire.com/file/ggumunyejyq/combofix.txt

OnlineScanner:
http://www.mediafire.com/file/20mwyjlnvwj/Online Scanner - Scanning Report - Tuesday, August 25, 2009 134714.txt
(sono solo riuscita a fare questo tipo di scansione, quella completa si blocca mentre prepara la scansione e poi sparisce la pagina e torna a quella del sito)

PrevX:
http://www.mediafire.com/file/dnlmyeznznm/prevx.txt

Hijackthis:
http://www.mediafire.com/file/zzywt2...hijackthis.txt

Sono infetta?
Dopo aver ripulito, quando cancellare i DNS che ho inserito? e quando devo "rispuntare" il ripristino di sistema?
Vi ringrazio!

vai al seguente link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente tra cui acrobat reader che volendo potresti sostituire con il più funzionale "foxit reader" (http://www.foxitsoftware.com/pdf/reader/) che è sempre gratuito ma molto più leggero e veloce


fatto questo rifai la scansione con hijackthis e pubblica il log.


i dns di www.opendns.com ti consiglio di tenerli così eviti altre problematiche in futuro, inoltre con OnlineArmor ti consiglio di abbassare i privilegi a Firefox, InternetExplorer, client email, player multimediale, software per chat e voip.
Il ripristino di sistema è stato riattivato da combofix quindi ridisabilitalo almeno fino a che non abbiamo finito, in ogni caso il ripristino di sistema è inutile nel 95% dei casi ed anzi si dimostra solo un ottimo nido per virus e un ottimo strumento per sperperare spazio disco e memoria ram..

[nami-chan]

Originariamente inviato da xcdegasp

vai al seguente link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente tra cui acrobat reader che volendo potresti sostituire con il più funzionale "foxit reader" (http://www.foxitsoftware.com/pdf/reader/) che è sempre gratuito ma molto più leggero e veloce


fatto questo rifai la scansione con hijackthis e pubblica il log.


i dns di www.opendns.com ti consiglio di tenerli così eviti altre problematiche in futuro, inoltre con OnlineArmor ti consiglio di abbassare i privilegi a Firefox, InternetExplorer, client email, player multimediale, software per chat e voip.
Il ripristino di sistema è stato riattivato da combofix quindi ridisabilitalo almeno fino a che non abbiamo finito, in ogni caso il ripristino di sistema è inutile nel 95% dei casi ed anzi si dimostra solo un ottimo nido per virus e un ottimo strumento per sperperare spazio disco e memoria ram..

Ho fatto la scansione ed aggiornato windows e gli altri programmi che mi segnalava. ho anche disinstallato delle applicazioni obsolete. Ho rimosso acrobat reader ed installato foxit reader. Questo è il file di log di hijackthis:
http://www.mediafire.com/file/wu4wik...hijackthis.txt

Come sono messa ora? il pc ha ancora problemi?

Ok per i dns, non lo sapevo! grazie
Per quanto riguarda abbassare i privilegi, come si fa? ho visto che c'è una guida sul sito di OnlineArmor, c'è spiegato come fare?
Ok per il ripristino..non sapevo nemmeno questo! mi sa allora che lo lascio disattivato, in effetti le volte che ne avrei avuto bisogno, non è mai funzionato...
Grazie per l'aiuto


Mi sono accorta ora che dopo tutte le scansioni, aggiornamenti e pulizie, non riesco ad aprire i file swf.
Con Kmplayer,GomPlayer non mi si apre nulla, con WindowsMediaPlayer 11 mi dice "le impostazioni di protezione correnti non consentono l'operazione" (riesco solamente ad aprire i file con Flashplayer - aggiornato come segnalato dal sito indicato sopra). Ho fatto qualcosa di strano nelle procedure per pulire oppure è un sintomo di qualche virus?

Grazie

[Vincencolin]

Originariamente inviato da xcdegasp

dopo aver fatto cio che ha detto wjmat vai al seguente link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente tra cui acrobat reader che volendo potresti sostituire con il più funzionale "foxit reader" (http://www.foxitsoftware.com/pdf/reader/) che è sempre gratuito ma molto più leggero e veloce

puoi benissimo continuare a tenere i dns di www.opendns.com anzi io te loi consiglio così eviti molti problemi anche per il furturo

Ho fatto tutti gli aggiornamenti necessari e sembra che non ci siano piu problemi..
Grazie per i vostri consigli!

[xcdegasp]

Originariamente inviato da nami-chan

Ho fatto la scansione ed aggiornato windows e gli altri programmi che mi segnalava. ho anche disinstallato delle applicazioni obsolete. Ho rimosso acrobat reader ed installato foxit reader. Questo è il file di log di hijackthis:
http://www.mediafire.com/file/wu4wik...hijackthis.txt

Come sono messa ora? il pc ha ancora problemi?

Ok per i dns, non lo sapevo! grazie
Per quanto riguarda abbassare i privilegi, come si fa? ho visto che c'è una guida sul sito di OnlineArmor, c'è spiegato come fare?
Ok per il ripristino..non sapevo nemmeno questo! mi sa allora che lo lascio disattivato, in effetti le volte che ne avrei avuto bisogno, non è mai funzionato...
Grazie per l'aiuto


Mi sono accorta ora che dopo tutte le scansioni, aggiornamenti e pulizie, non riesco ad aprire i file swf.
Con Kmplayer,GomPlayer non mi si apre nulla, con WindowsMediaPlayer 11 mi dice "le impostazioni di protezione correnti non consentono l'operazione" (riesco solamente ad aprire i file con Flashplayer - aggiornato come segnalato dal sito indicato sopra). Ho fatto qualcosa di strano nelle procedure per pulire oppure è un sintomo di qualche virus?

Grazie

c'è la guida anche qui in entrambe è spiegato, è semplicissimo dopo che lo hai fatto 1 volta non lo scordi più
è più lungo spiegarlo


link a guida OA -> http://www.hwupgrade.it/forum/showthread.php?t=1798515

Originariamente inviato da Vincencolin

Ho fatto tutti gli aggiornamenti necessari e sembra che non ci siano piu problemi..
Grazie per i vostri consigli!

di nulla

[nami-chan]

Originariamente inviato da xcdegasp

c'è la guida anche qui in entrambe è spiegato, è semplicissimo dopo che lo hai fatto 1 volta non lo scordi più
è più lungo spiegarlo

link a guida OA -> http://www.hwupgrade.it/forum/showthread.php?t=1798515

Allora seguirò la guida per sistemare la configurazione di OA.grazie!
Per il resto, mi sembra che ora il pc vada bene, ho tolto il virus Virtumonde?
è ok ora il file di log di hijackthis?
Lo spero perchè sennò parto con la formattazione...è la prima volta che provo a risolvere un problema senza ricorrere alla formattazione!

[mofor]

Malwarebytes' Anti-Malware 1.41
Versione del database: 2775
Windows 5.1.2600 Service Pack 2

18/09/2009 17.12.40
mbam-log-2009-09-18 (17-12-40).txt

Tipo di scansione: Scansione completa (C:\|D:\|G:\|H:\|X:\|)
Elementi scansionati: 166622
Tempo trascorso: 25 minute(s), 17 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 1
Valori di registro infetti: 1
Elementi dato del registro infetti: 1
Cartelle infette: 0
File infetti: 1

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{4e3e60f5-f691-475f-afba-cf9fcab47c15} (Trojan.Vundo) -> Quarantined and deleted successfully.

Valori di registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{4e3e60f5-f691-475f-afba-cf9fcab47c15} (Trojan.Vundo) -> Quarantined and deleted successfully.

Elementi dato del registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\autorun.inf (SuspectAutorun.Rootdrive.H) -> Quarantined and deleted successfully.

[Chill-Out]

@mofor

Edita il tuo Post cliccando sul tasto modifica ed allega i log secondo queste modalità, espressamente indicate in Guida alla voce Regole di sezione:


Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione.

[TusT]

Come da post di xcdegasp posto nella sezione corretta :

Originariamente inviato da xcdegasp

nel log di gmer emerge un'infezione da backdoor anche se gmer non la segnala:

[DISABLED] ERSvc
Service         C:\DOCUME~1\ilbeppe\IMPOST~1\Temp\esihdrv.sys

nel log HiJackThis compaiono queste voci:

O2 - BHO: (no name) - {4DD38410-7136-4F4F-9A20-1117AE3FB1B4} - (no file)
O16 tutte queste voci
O20 - Winlogon Notify: cbXQkiJc - C:\WINDOWS\
O24 - Desktop Component 0: (no name) - (no file)

ScanSpyware trova il Vundo che è appunto confermato anche in HiJackThis..


Spostati nel thread specifico per risolvere le infezioni da Vundo:
http://www.hwupgrade.it/forum/showthread.php?t=1933875

Url dei log.
http://www.mediafire.com/?sharekey=9...779c37f0417e30

Cosa posso fare? inizio con elimiare le tracce da hijackthis?

aggiunto il log di combofix

[Chill-Out]

Originariamente inviato da TusT

Come da post di xcdegasp posto nella sezione corretta :


Url dei log.
http://www.mediafire.com/?sharekey=9...779c37f0417e30

Cosa posso fare? inizio con elimiare le tracce da hijackthis?

aggiunto il log di combofix

Mancano i seguenti log:

MBAM
F-Secure
Prevx

è necessario seguire la Guida esattamente come è stata strutturata

[TusT]

ok scusami anche se non rilevano anomalie?
ho postato solo quelli poichè gli altri non segnavano nulla