[GUIDA] Rimuovere trojan vundo/Virutumonde - leggere le Regole di Sezione!!

[xcdegasp]

io li vedo caricati correttamente

[wjmat]

su altervista??

[xcdegasp]

Originariamente inviato da Slide

Salve ragazzi, per fortuna vi ho scovato in questo thread
Credo di esser colpito da questo virus. Da qualche giorno Nod32 mi segnala la presenza di "Trojan Horse Win32/PrivacySet.A", e SpyBot S&D mi segnala sempre Virtumonde.dll.

Prima di arrivare a questa guida ho smanettato in modalità provvisoria con i seguenti programmi:
1. scansione con il nod32
2. scansione con SpyBot
3. scansione con ClamWin Antivirus

Poi ho trovato questo thread sul forum.
Con la guida ho avuto qualche problema nei seguenti punti:



Mi è apparsa una schermata blue, ho riavviato il pc ed a quel punto ho avuto paura di riavviare il programma.


Mi ha trovato dei virus in system32, ma essendo la versione trial non ho potuto rimuoverli

Screenshot di Prevx CSI: QUI



Mi ha tirato fuori un log lunghissimo (400 e passa KB) che per ora non allego.

Passo ad allegare i log di Combofix, hijackthis, fixvundo.

ALLEGATI:
ComboFix.txt
FixVundo.log
hijackthis.log

I tre file in un RAR
Altro Mirror: QUI (altervista fa i capricci)

Screenshot di Prevx CSI: QUI



Prevx CSI mi rileva i seguenti file infetti:



Grazie davvero dell'aiuto

riesegui hijackthis optando per la funzione "Scan Only", a fine scansione il pulsante in fondo a sinistra si chiamerà "Fix Checked", quindi selezionare le voci desiderate e premere questo tasto.
Fixa

O4 - HKLM\..\Run: [Resume copy] copyfstq.exe /startup
O4 - HKLM\..\Run: [389d48e9] rundll32.exe "C:\WINDOWS\system32\mpdnmwol.dll",b
O4 - HKLM\..\Run: [BM3bae7b75] Rundll32.exe "C:\WINDOWS\system32\ilyvqeol.dll",s
O4 - HKCU\..\Run: [ICQ] "C:\PROGRA~1\ICQ6\ICQ.exe" silent

[xcdegasp]

Originariamente inviato da wjmat

su altervista??

che male c'è, se funziona

[murack83pa]

se clicco su fvundoix e hijackthis mi spunta questa pagina:
http://it.altervista.org/



l'unico è combofix

[xcdegasp]

copia l'indirizzo del log e incollalo nell'url del browser

[Slide]

Rispondo un attimo al volo:

-i file li avevo caricati anche su rapidshare
-il prima possibile eseguo i consigli su hijackthis.

A tra poco, con più calma.. e soprattutto: UN MEGA GRAZIE!

[Slide]

Rieccomi qui a seguire i vostri consigli.

Gli UPLOAD:
hijackthis.log
Combofix.txt
FixVundo.log

Il LOG di HijackThis v2.0.2 è stato generato dopo i consigli di xcdegasp che ringrazio ancora.

[Zenadiz]

Salve ragazzi sono un nuovo iscritto!!! Prima di tutto voglio farvi i complimenti per l'attivita di questo forum che come ho potuto notare è aggiornato e attivissimo!
Come tutti ho il problema di questo virus, ho cercato di leggere piu post possibili ma vi prego di scusarmi se vi faro ripetere cose gia dette!
Ho seguito le istruzioni che avete dato ma ho riscontrato qualche problema... Vi racconto in 2 parole cio che ho fatto...
Avendo contratto il virus ho letto varie discussioni online prima di arrivare al vostro forum e ho fatto cio che mi sembrava piu logico... Ho scaricato Superantispy e avendo panda antivirus li ho fatti partire prima uno e poi l'altro in modalita provvisoria e credo mi abbiano dato una bella mano nella disinfezione... lo dico perche molti dei sintomi di virtumonde sono spariti ma qualcuno è rimasto (ad es. prima mi disattivava in automatico gli aggiornamenti di windows ora nn lo fa piu... stessa cosa per i pop up.. purtroppo continua ad abbassarmi il livello della protezione cookie e soprattutto nn mi visuliazza molte pagine web dei preferiti)... dopo cio ho letto il vostro forum e ho proceduto con la vostra guida i risultati sono questi:
Vundofix renv fixvundo virtumundobegone non hanno trovato nulla... combofix neanche ma nn sono riuscito ad ottenere il log... prevcsi mi ha trovato 32 file infetti ma poiche nn ho la versione completa nn me li ha fatti disinfestare ne ho potuto salvare il log in quanto nn piu permesso... virit nn ho trovato nulla e neanche findawf... avenger nn sono riuscito a farlo partire in quanto le istruzioni che avete messo nn corrispondono evidentemente alla mia versione di avenger perche nn si puo selezionare "input manually" ne la lente di ingrandimento che nn esiste, si puo solo scrivere lo script (che tra l'altro nn conosco ne so dove si rimedia)... tra un attimo vi posto anche i log che sono riuscito a prendere... cosa devo fare ora?
vi ringrazio mille gia da adesso Questo virus è veramente tosto.... Scusate se sono stato lungo e scusate se vi faccio ripetere le cose 10000 volte!!!!

[Zenadiz]

http://wikisend.com/download/579170/vundofix%20Log.txt
http://wikisend.com/download/573496/FixVundo.log
http://wikisend.com/download/573534/hijackthis.log
http://wikisend.com/download/579104/awf.txt
http://wikisend.com/download/579254/VBG.TXT

questi sono i log che sono riuscito ad ottenere... considerate anche che quelli che nn ho nn hanno dato alcun risultato di ricerca... l'unico che l'ha fatto (32 voci) è prevxcsi che pero nn si puo piu salvare come log... vi prego datemi una mano ci sto combattendo da 3 giorni e sono alla disperazione... se vi servono altre informazioni chiedete pure vi esaudiro immediatamente!!!!

[Zenadiz]

scusate se faccio mille post ma ho un aggiornamento... nel senso che dopo tutte le vostre istruzioni ho riavviato ed ora la navigazione è perfetta anche per gl'url dei preferiti ma panda antivirus continua a segnalarmi a raffica che sta neutralizzando spyware ogni 20 secondi tutti adtech nei cookie inoltre è saltata fuori l'icona di microsoft che dice che windows potrebbe essere contraffatto... cosa bizzarra dato che il pc è nuovo e l'ho comprato cosi com'è 1 mese fa da Infoware...

[Chill-Out]

Originariamente inviato da Zenadiz

scusate se faccio mille post ma ho un aggiornamento... nel senso che dopo tutte le vostre istruzioni ho riavviato ed ora la navigazione è perfetta anche per gl'url dei preferiti ma panda antivirus continua a segnalarmi a raffica che sta neutralizzando spyware ogni 20 secondi tutti adtech nei cookie inoltre è saltata fuori l'icona di microsoft che dice che windows potrebbe essere contraffatto... cosa bizzarra dato che il pc è nuovo e l'ho comprato cosi com'è 1 mese fa da Infoware...

Quella non è l'icona di Win che ti segnala che il sistema operativo è contraffato, ma l'icona di un falso programma di sicurezza dal log di HJt si evince che sei ancora infetto porta a termine la Guida partendo dal Punto 4 Combofix e di seguito gli altri punti.

Per Prevx CSI leggi queste istruzioni:

a fine scansione clickare sull'icona di prevxCSI nella traybar (affianco all'orologio di windows) con il tasto destro del mouse e selezionare la funzione "View the result of your last scan online" (= guarda il risultato dell'ultima scansione online), si aprirà il browser quindi copiare l'url della pagina visualizzata e pubblicarlo

[Zenadiz]

ho rifatto tutta la procedura anche piu di una volta... alcuni log nn ce li ho per il semplice motivo che nn sono riuscito a farli... ma cmq nessuno di quelli mancanti ha rilevato virus... l'ultima procedura ha prodotto questi log...

http://wikisend.com/download/569922/hijackthis.log
http://wikisend.com/download/569928/awf.txt
http://wikisend.com/download/569628/logcombo.txt

prevx da invece questo... vi prego aiutatemi ci sto combattendo da tutta la sera!!!
http://csia0.prevx.com/individualcsi...SIPLUS&CMD=LSR

[wjmat]

Lancia HiJackThis ► clicca Do a scan only ► metti la spunta a fianco delle righe che ti segnalo qui sotto ► clicca su Fix Checked ► Riavvia e nuovo log

O2 - BHO: (no name) - {02274c4e-ff91-4210-a09d-0ebb063710de} - (no file)
O2 - BHO: (no name) - {0F802F7B-56A8-4460-9989-4A8DF0C28967} - C:\WINDOWS\system32\fccyyYqo.dll (file missing)
O2 - BHO: (no name) - {2D45D7D4-10F9-4204-86D1-CE39A3597C02} - C:\WINDOWS\system32\yayaAtur.dll (file missing)
O2 - BHO: (no name) - {506EEDA0-4510-4317-AC26-98B47A075C61} - C:\WINDOWS\system32\geBtRiGW.dll (file missing)
O2 - BHO: (no name) - {55589203-02BA-4307-B6A6-896598FB9087} - C:\WINDOWS\system32\jkkLDVLc.dll (file missing)
O2 - BHO: (no name) - {59C0E60B-3E2F-42C7-B0E3-FD630A40C5D4} - C:\WINDOWS\system32\yayAtUlK.dll (file missing)
O2 - BHO: {bf6b6158-5bd9-1448-74d4-a0208a72980a} - {a08927a8-020a-4d47-8441-9db58516b6fb} - C:\WINDOWS\system32\evpvnwpn.dll
O2 - BHO: (no name) - {BE7BAD28-22AE-46F2-97B1-8D14461A9834} - C:\WINDOWS\system32\cbXRKCTL.dll (file missing)
O2 - BHO: (no name) - {fb56f33f-7c4b-41f2-95f3-137358cfd6fa} - (no file)
O4 - HKLM\..\Run: [14744124] rundll32.exe "C:\WINDOWS\system32\nukhgwsc.dll",b
O4 - HKLM\..\Run: [BM174772b8] Rundll32.exe "C:\WINDOWS\system32\qhjifcpx.dll",s
O4 - HKCU\..\Policies\Explorer\Run: [Windows Printing Driver] WinSpooler.exe
O4 - HKCU\..\Policies\Explorer\Run: [WinUpdating] WinUpdating.exe

Scarica Avenger da qui
Lancialo -> Clicca Ok -> Incolla TUTTO il codice, che ti ho segnalato qui sotto, nel riquadro bianco del programma -> Clicca su Execute
Attendi riavvio del pc. Se non si riavvia da solo fallo manualmente.
Al riavvio verrà salvato un log di Avenger. Postalo per vedere se la procedura ha funzionato.

Files to delete:
C:\WINDOWS\system32\evpvnwpn.dll
C:\WINDOWS\system32\cbXRKCTL.dll
C:\WINDOWS\system32\nukhgwsc.dll
C:\WINDOWS\system32\qhjifcpx.dll

dei file trovati da prevx uno dovremmo già farlo fuori, degli altri dovremmo sapere l'indirizzo....
o li cerchi manualmente e ci comunichi la posizioni o rifai la scansione, alla fine alla schermata con l'esito allarga bene le colonne in modo che si veda la posizione e fai lo foto allo schermo con il tasto stamp, apri paint incolli l'immagine, salvi in jpg e carichi su http://fileqube.com

[Slide]

Gente, io credo di aver risolto!

Dopo aver seguito i vostri suggerimenti, ho rinominato uno per uno i file in system32 che mi segnalava Prevx CSI.

Ed ora Spybot,Nod32, etc, non mi segnalano più la presenza del virus.

Il virus non mi permetteva di fare ricerche con Firefox e IE dentro Google.
Adesso invece vado alla grande.

Se può aiutare, ho rinominato i seguenti file da *.dll a *.bak: (segnalati come infetti da Prevx):

directory C:\Windows\System32

abycsfyf.bak
bgsxdaxm.bak
bjtxmblq.bak
bsvkqrwv.bak
cbXOFWQI.dll.bak
ghgrdfjb.bak
ilyvqeol.bak
inuuthkv.bak
jkkhiFxV.bak
kqdhjpsu.bak
nedahcmx.bak
pmvbnxjl.bak
tjmombad.bak
xhqnnrqp.bak

Ciaooo

[Chill-Out]

Dopo aver seguito il consiglio di wjmat al post #684, allega il log di Avenger + un nuovo log di HijackThis ed un nuovo log di Combofix che vediamo di sistema il pieno di schifezze cha hai sul PC

[Chill-Out]

Originariamente inviato da Slide

Gente, io credo di aver risolto!

Dopo aver seguito i vostri suggerimenti, ho rinominato uno per uno i file in system32 che mi segnalava Prevx CSI.

Ed ora Spybot,Nod32, etc, non mi segnalano più la presenza del virus.

Il virus non mi permetteva di fare ricerche con Firefox e IE dentro Google.
Adesso invece vado alla grande.

Se può aiutare, ho rinominato i seguenti file da *.dll a *.bak: (segnalati come infetti da Prevx):



Ciaooo

Ciao avresti potuto eliminarle

[Slide]

Originariamente inviato da Chill-Out

Ciao avresti potuto eliminarle

Ho voluto solo rinominarli per vedere se vi era stato qualche falso positivo.
Adesso che sembra tutto ok (il SO lavora bene), posso anche eliminarli.

[Zenadiz]

ecco i log nuovi dopo aver fatto hijach e avenger:
http://wikisend.com/download/564594/hijackthis.log
http://wikisend.com/download/564444/avenger2.txt

[wjmat]

quello che ti avevo fatto fixare è sparito da HJT ma è comparso questo....

O4 - HKCU\..\Run: [AntispywareBot] C:\Programmi\AntiSpywareBot\AntispywareBot.exe -boot

l'hai installato tu???? fixalo

Dai un'occhiata al trattamento di prevenzione / post disinfezione, se vuoi sapere quali sono i programmi più validi....