Strascichi da virus

[j100]

Salve a tutti,
avant’ieri mi son beccato un bel virus solo perché si è aperta involontariamente una pagina XXX.
Cosa mi ha combinato il virus:
a- mi ha modificato il file hosts mettendomi una serie lunga di indirizzi tipo www.doubleclick.com ecc.
b- il file viene lasciato bloccato e quindi non si può rimettere a posto con il classico “127.0.0.1 localhost”
c- sul desktop di windows, vicino all’orologio mi compare un’icona 8triangolino giallo con punto esclamativo) e un messaggio che esce ripetutamente dicendomi che windows è infetto e occorre scaricare l’antivirus di windows.
d- il resto lo descrivo dopo.
Dopo innumerevoli tentativi trovo come unica soluzione quella di far partire il computer in modalità di ripristino, nella consolle di ripristino e modificare il file.
Al primo riavvio il virus mi rimette le schifezze nel file hosts.
Rifaccio l’operazione dalla consolle di ripristino flaggando il file come ReadOnly.
Il computer riparte ma sempre mandandomi il problema del punto C.
Dopo aver fatto passare l’AVG , l’AD-AWARE, lo SpyBot, Il SysClean di trenmicro i quali hanno trovato pochissimi virus il problema è rimasto.
Ho anche fatto un controllo con l’hijackthis ed ho eliminato un po’ di porcherie ma ad ogni riavvio si ripresentava un file printer.exe. Dal task manager mi ha insospettito anche un file in esecuzione denominato spoolvs.exe (attenzione vs e non sv che quello è di windo).
Ho ripulito l’hd su di un altro computer e facendo partire gli stessi antivirus che hanno trovato altra roba. Ed ho anche eliminato il printer.exe che lo spoolvs.exe (tutti e due in system32).
Ora il computer apparentemente funziona bene tranne per il fatto che il pannello di controllo non esiste più, qualsiasi operazione voglio fare da amministratore non me la fa fare, mi dice che ci sono delle limitazioni sull’utente. Premesso che, andando in modalità provvisoria come amministratore mi inibisce le stesse funzioni e verificando che l’utente administrator ed il mio utente entrambi fanno parte del gruppo administratrs, non so più che pesci prendere.
Un esempio, avevo disattivato gli aggiornamenti automatici di windows, pertanto sulla barra vicino all’orologio mi compare lo scudo rosso; ci clicco su due volte e mi dice che non ho i diritti sufficienti, dallo start vado su “impostazioni accesso programmi” mi risponde con lo stesso messaggio!
---->>>>>>>>>> Che devo fare?????

[j100]

La domada che mi pongo è la seguente:

come mai, verificato che l'utente è classificato come administrators, ho alcune funzioni di amministratore bloccate?

Come faccio a riprendermi i diritti di amministratore (semprecchè li abbia persi)???

[demi@n]

Forse se dici di che virus si trattava, è più facile per chi può darti una mano l'analisi del problema...

Comunque potresti provare a fare una cosa.

Inserisci il disco d'installazione, meglio se comprensivo di SP2, e poi, senza uscire dal SO, fai Start->esegui-> sfc /scannow. (notare lo spazio tra sfc e /)

Se qualche file di sistema è andato perduto o corrotto, questa operazione dovrebbe rilevarlo e forse anche ripristinare i file di cui il sistema necessita.

[j100]

Ti ringrazio per avermi dato l'informazione sul comando sfc che non conoscevo.
Ottima cosa per evitare il ripristino da cd di windows.
Per il mio caso non ha però funzionato: faccio partire il comando sfc /scannow,
inizia
mi chiede il cd di windows, gli metto quello con cui ho fatto l'installazione (che tra l'altr ha anche le SP2 dentro) mi dice che il cd non è buono.
Ho provato in tutti i modi, anche a cambiare lettore ma niente.
Il cd funziona non foss'altro che come lo inserisco mi parte la maschera dell'installazione, lo uso spesso... ...Bohh!!

Per quanto riguarda i virus trovati e debellati (dopo un'infinità di peripezie):
fraudtool.win32.antivirus.2006
Downloader.win32.agent.agh
Downloader.win32.winfixer.x
Downloader.small.agh

Ora continuo a chiedermi: perchè il pc sta in una situazione attive delle restrizione sugli amministratori??? ...anche in modalità provvisoria???

[demi@n]

Per il primo punto: http://trucchi.swzone.it/swztips.php?action=tips&id=174
ho avuto anch'io il tuo stesso problema.

Però, rispondendo anche al secondo punto, non so quanto potrebbe risolvere (forse zero) ciò che ti ho suggerito, visto tutte le infezioni che sei riuscito (beato te!) a rilevare.

Spero che anche altre persone del forum s'interessino al tuo caso perchè forse merita di essere approfondito. E soprattutto che ti diano una mano. Io non ne sono assolutamente all'altezza purtroppo.

[j100]

Originariamente inviato da demi@n

Comunque potresti provare a fare una cosa.

Inserisci il disco d'installazione, meglio se comprensivo di SP2, e poi, senza uscire dal SO, fai Start->esegui-> sfc /scannow. (notare lo spazio tra sfc e /)

Se qualche file di sistema è andato perduto o corrotto, questa operazione dovrebbe rilevarlo e forse anche ripristinare i file di cui il sistema necessita.

Sono riuscito ad eseguire il comando il quale ora ha funzionato correttamente ma, per quanto riguarda sia le restrizioni d'uso non è cambiato niente.

Ho anche provato, in modo del tutto inconsapevole ad eseguire l'sfc con l'opzione /purgecache ma non ho riscontrato nessun effetto.

[juninho85]

che restrizioni sono attive?

[j100]

Originariamente inviato da juninho85

che restrizioni sono attive?

come ho scritto sopra:
- se faccio tasto dx su risorse del computer-proprietà mi dice (vedi immagine allegata) "operazione annullata. sul compuetr sono attive restrizioni. contattare l'amministratore" ... l'amministratore sono io!
- Avendo bloccato l'aggiornamento automatico di windows sulla barra vicino l'orologio mi compare lo scudo rosso: se clicco sullo scudo rosso mi compare la stessa voce;
- premendo su start non compare più il pannello di controllo; se vado sulla barra di sotto del desktop, tasto dx, proprietà, menu di avvio, personalizza, avanzate, nell'elenco dei programmi visualizzabili sul menu di avvio non c'è proprio la voce pannello di controllo (pertanto non lo posso ne abilitare ne disabilitare perchè non c'è)... ...questo comporta che in nessun modo posso andare in sistema
- da start eseguendo "impostazioni accesso ai programmi" mi da lo stesso messaggio... ...questo comporta che non posso andare in installazioni applicazioni;
- ecc
- tutto questo, come descritto prima avviene sia nel mio utente che in quello administrator, sia in modalità normale che in provvisoria. Ho anche controllato che entrambi gli utenti appartenesssero al gruppo administartors.

[demi@n]

Forse juninho intendeva suggerirti di guardare in

Pannello di controllo -> Strumenti d'amministrazione -> Gestione del computer -> Microsoft System Information -> Ambiente Software -> Gruppi programmi

e da lì vedere chi ha i permessi di gestire cosa.

Almeno credo, eh!

[edit]
Mi sta venendo in mente anche un'altra cosa: di recente hai installato il .Net Framework?
(vado per tentativi, ma il framework crea un utente, ASPNET mi sembra), se lo si cancella o disabilita è meglio)

[ste_95]

Originariamente inviato da demi@n

Forse juninho intendeva suggerirti di guardare in

Pannello di controllo -> Strumenti d'amministrazione -> Gestione del computer -> Microsoft System Information -> Ambiente Software -> Gruppi programmi

ha il pannello di controllo disabilitato...

[juninho85]

posta log di hijackthis e gmer

[demi@n]

Originariamente inviato da juninho85

posta log di hijackthis e gmer

Se riesce a farli girare...
Come utente con restrizioni, a me, il sistema non ha mai permesso di lanciare programmi del genere...

[demi@n]

Originariamente inviato da j100

Salve a tutti,
avant’ieri mi son beccato un bel virus

Scusa j100, a questo punto credo che faresti bene a dirci di che virus si trattasse. Vedo in un altro thread (Restrizioni) un utente che semba avere i tuoi stessi problemi e il virus (o worm) che ha tentato di togliere a mano è: hadajajr.ini.

Puoi dirci se è lo stesso?

[lancetta]

Ciao prova questo fix http://download.sergiwa.com/security/RRT.exe dovrebbe rirpristinarti i permessi e le opzioni scomparse.

[j100]

Originariamente inviato da demi@n

Scusa j100, a questo punto credo che faresti bene a dirci di che virus si trattasse. Vedo in un altro thread (Restrizioni) un utente che semba avere i tuoi stessi problemi e il virus (o worm) che ha tentato di togliere a mano è: hadajajr.ini.

Puoi dirci se è lo stesso?

come scritto 5 o 6 post prima
Per quanto riguarda i virus trovati e debellati (dopo un'infinità di peripezie):
fraudtool.win32.antivirus.2006
Downloader.win32.agent.agh
Downloader.win32.winfixer.x
Downloader.small.agh

[j100]

Originariamente inviato da juninho85

posta log di hijackthis e gmer

Sotto il log di hijackthis... ...credo lo troverai pulito inquanto uso lo stesso per trovare le schifezze e poi le tolgo manualmente (oltrew a passare dopo gli antivirus).

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 11.58.05, on 03/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\Ati2evxx.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\spoolsv.exe
F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
F:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
F:\Programmi\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe
F:\Programmi\Symantec\Norton Ghost\Agent\PQV2iSvc.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\system32\Ati2evxx.exe
F:\WINDOWS\Explorer.EXE
f:\programmi\pinnacle\shared files\programs\mediaserver\pmshost.exe
F:\Programmi\ATI Technologies\ATI.ACE\cli.exe
F:\WINDOWS\system32\RunDll32.exe
F:\PROGRA~1\Grisoft\AVG7\avgcc.exe
F:\WINDOWS\system32\ctfmon.exe
F:\Programmi\ATI Technologies\ATI.ACE\CLI.exe
F:\Programmi\MSI\Common\Bin\WinCinemaMgr.exe
F:\Programmi\WinZip\WZQKPICK.EXE
F:\WINDOWS\system32\wscntfy.exe
F:\Programmi\Outlook Express\msimn.exe
F:\Programmi\Internet Explorer\iexplore.exe
K:\software\antivirus\merijn\2_00beta\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tiscali.it/
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - F:\Programmi\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [ATIPTA] F:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "F:\Programmi\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AVG7_CC] F:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [NeroFilterCheck] F:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] F:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [Norton Ghost 9.0] F:\Programmi\Symantec\Norton Ghost\Agent\GhostTray.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] F:\Programmi\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [EPSON PictureMate] F:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0P1.EXE /P17 "EPSON PictureMate" /O6 "USB002" /M "PictureMate"
O4 - HKCU\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] F:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = F:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: ATI CATALYST System Tray.lnk = F:\Programmi\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = F:\Programmi\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = F:\Programmi\MSI\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: WinZip Quick Pick.lnk = F:\Programmi\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://F:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Stampa ad alta velocità Easy-WebPrint - res://F:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Stampa Easy-WebPrint - res://F:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O17 - HKLM\System\CCS\Services\Tcpip\..\{730F74E3-4462-4B6A-8B6F-3F4D59349FCA}: NameServer = 192.168.1.254
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - F:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - F:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - F:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - F:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Norton Ghost - Symantec Corporation - F:\Programmi\Symantec\Norton Ghost\Agent\PQV2iSvc.exe
O23 - Service: Pinnacle Systems Media Service (PinnacleSys.MediaServer) - Pinnacle Systems - f:\programmi\pinnacle\shared files\programs\mediaserver\pmshost.exe

[j100]

Originariamente inviato da demi@n

Scusa j100, a questo punto credo che faresti bene a dirci di che virus si trattasse. Vedo in un altro thread (Restrizioni) un utente che semba avere i tuoi stessi problemi e il virus (o worm) che ha tentato di togliere a mano è: hadajajr.ini.

Puoi dirci se è lo stesso?

Gentilmente mi protresti mettere il link dell'altro thread ?

Grazie mille

[j100]

Originariamente inviato da lancetta

Ciao prova questo fix http://download.sergiwa.com/security/RRT.exe dovrebbe rirpristinarti i permessi e le opzioni scomparse.

Programma molto bello... ...non cè il pannello di controllo oppure sistema (quello che serve a me) ma comunque utilissimo per altre situazioni.

Da tenere sempre a portata di mano.
Grazie

[Chill-Out]

Forse è una banalità, ma questa procedura l'hai già fatta http://support.microsoft.com/?kbid=290109

[demi@n]

Senti j100 (vado sempre per tentativi), puoi controllare se hai questo file?

C:\WINDOWS\system32\ntos.exe

PS: per il thread con problemi simili al tuo, non c'è bisogno che ti posti il link. Sta in questa stessa sezione e s'intitola "Restrizioni"... non credo sia tanto difficile da trovare...!