GUIDA alla rimozione virus da MSN Messenger (Thread semi-ufficiale).

[lancetta]

Originariamente inviato da blengyo

eccoli..!

Zompa di corsa questo

C:\WINDOWS\system32\es.scr

(la voce in neretto)
Ha un nome simile ad uno screensaver legittimo ma non lo è (bastardi!)
Poi cancella il backup (13092007_11.09.3335.zip)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe (file missing)

da fixare,penso che dovrai reinstallare Messenger.
Poi questi son active x li conosci? se no fixa (sopratutto il secondo)

O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (CDownloadCtrl Object) - http://www.fileplanet.com/fpdlmgr/ca..._2.3.2.100.cab
O16 - DPF: {87BE3784-6977-4E84-AA08-55A96B9CEAC5} (Bl_camera Control) - http://taturousushi.miemasu.net:50000/bl_camera.cab

Un'altra cosa,usi win mix?

[blengyo]

Originariamente inviato da lancetta

Zompa di corsa questo
(la voce in neretto)
Ha un nome simile ad uno screensaver legittimo ma non lo è (bastardi!)
Poi cancella il backup (13092007_11.09.3335.zip)

da fixare,penso che dovrai reinstallare Messenger.
Poi questi son active x li conosci? se no fixa (sopratutto il secondo)


Un'altra cosa,usi win mix?

zompare cosa vuol dire?

cmq faccio quello, cancello lo zip (gia fatto), fixo i 4 file che mi hai segnalato..

ce l'ho installato, e l'ho usato così per provarlo, era da tanto che non lo usavo, però non regolarmente, ormai è da un pezzo che non lo apro piu

[Alegaucho]

allora non mi resta che formattare il pc???

[lancetta]

Originariamente inviato da blengyo

zompare cosa vuol dire?

cmq faccio quello, cancello lo zip (gia fatto), fixo i 4 file che mi hai segnalato..

ce l'ho installato, e l'ho usato così per provarlo, era da tanto che non lo usavo, però non regolarmente, ormai è da un pezzo che non lo apro piu

Hem...zompare- citazione dall'"enciclopedia universale Lancettiana"=cancellare,sradicare,strappare,schiacciare,"sfonnare",distruggere,"sdrummare","daglie foco","quello che vuoi basta che lo levi",
ecc....

Originariamente inviato da Alegaucho

allora non mi resta che formattare il pc???

puoi rifare la scansione con msnfix e ripostare il log...?

[blengyo]

perfetto grazie mille!!

[Dark Jack]

Un mio amico si è beccato sto famoso virus. Non è iscritto a questo forum, così gli faccio da tramite. Grazie in anticipo per l'aiuto. Ecco i suoi 2 log:

MSNFix 1.498

C:..Documents and Settings..Fiorindo..Desktop..MSNFix
Fix effettuato il 13/09/2007 - 14.09.55,50 By Fiorindo
modalità normale

************************ Cercare i files presenti

Nessun files trovato

************************ Ricerca le cartelle presenti

Nessuna cartella trovata


************************ Files sospetti

/!.. questi files necessitano di un parere esperto prima di qualsiasi intervento

[C:..WINDOWS..hahahha.zip] 76CDB2BAD9582D23C1F6F4D868218D6C
[C:..WINDOWS..lastnight.zip] 76CDB2BAD9582D23C1F6F4D868218D6C
[C:..WINDOWS..Sep11thSlideShow.zip] 76CDB2BAD9582D23C1F6F4D868218D6C
[C:..WINDOWS..September11thTribute.zip] 76CDB2BAD9582D23C1F6F4D868218D6C



------------------------------------------------------------------------
Auteur : !aur3n7 Contact: http://changelog.fr
------------------------------------------------------------------------

--------------------------------------------- END




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15.40.02, on 13/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal

Running processes:
C:..WINDOWS..System32..smss.exe
C:..WINDOWS..system32..winlogon.exe
C:..WINDOWS..system32..services.exe
C:..WINDOWS..system32..lsass.exe
C:..WINDOWS..system32..Ati2evxx.exe
C:..WINDOWS..system32..svchost.exe
C:..WINDOWS..System32..svchost.exe
C:..WINDOWS..system32..svchost.exe
C:..WINDOWS..system32..Ati2evxx.exe
C:..WINDOWS..Explorer.EXE
C:..WINDOWS..system32..spoolsv.exe
C:..Programmi..ATI Technologies..ATI Control Panel..atiptaxx.exe
C:..Programmi..AOL..Active Virus Shield..avp.exe
C:..Programmi..Roxio..Easy Media Creator 7..Drag to Disc..DrgToDsc.exe
C:..Programmi..Prevx2..PXConsole.exe
C:..WINDOWS..system32..ctfmon.exe
C:..Programmi..Windows Media Player..WMPNSCFG.exe
C:..Programmi..Spybot - Search & Destroy..TeaTimer.exe
C:..Programmi..a-squared Free..a2service.exe
C:..Programmi..AOL..Active Virus Shield..avp.exe
C:..Programmi..File comuni..LightScribe..LSSrvc.exe
C:..Programmi..Prevx2..PXAgent.exe
C:..WINDOWS..system32..svchost.exe
C:..WINDOWS..System32..svchost.exe
C:..Documents and Settings..Fiorindo..Desktop..HijackThis.exe

R0 - HKCU..Software..Microsoft..Internet Explorer..Main,Start Page = http://www.google.it/
R1 - HKLM..Software..Microsoft..Internet Explorer..Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM..Software..Microsoft..Internet Explorer..Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM..Software..Microsoft..Internet Explorer..Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM..Software..Microsoft..Internet Explorer..Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM..Software..Microsoft..Internet Explorer..Search,SearchAssistant =
R1 - HKCU..Software..Microsoft..Internet Explorer..SearchURL,(Default) = http://g.msn.it/0SEITIT/SAOS01?FORM=TOOLBR
R0 - HKCU..Software..Microsoft..Internet Explorer..Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:..Programmi..Yahoo!..Companion..Installs..cpn0..yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:..Programmi..Yahoo!..Companion..Installs..cpn0..yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:..Programmi..Adobe..Acrobat 7.0..ActiveX..AcroIEHelper.dll
O2 - BHO: (no name) - {1C3C4699-B285-475F-BE47-0B26088CE876} - (no file)
O2 - BHO: (no name) - {47B83D78-F986-4E96-9769-2C55EF14DA0B} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:..PROGRA~1..SPYBOT~1..SDHelper.dll
O2 - BHO: Malicious Scripts Scanner - {55EA1964-F5E4-4D6A-B9B2-125B37655FCB} - C:..Documents and Settings..All Users.WINDOWS..Dati applicazioni..Prevx..pxbho.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:..Programmi..File comuni..Microsoft Shared..Windows Live..WindowsLiveLogin.dll
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:..Programmi..Yahoo!..Companion..Installs..cpn0..yt.dll
O4 - HKLM......Run: [ATIPTA] C:..Programmi..ATI Technologies..ATI Control Panel..atiptaxx.exe
O4 - HKLM......Run: [aol] "C:..Programmi..AOL..Active Virus Shield..avp.exe"
O4 - HKLM......Run: [PCSuiteTrayApplication] C:..Programmi..Nokia..Nokia PC Suite 6..LaunchApplication.exe -startup
O4 - HKLM......Run: [RoxioDragToDisc] "C:..Programmi..Roxio..Easy Media Creator 7..Drag to Disc..DrgToDsc.exe"
O4 - HKLM......Run: [PrevxOne] "C:..Programmi..Prevx2..PXConsole.exe"
O4 - HKCU......Run: [CTFMON.EXE] C:..WINDOWS..system32..ctfmon.exe
O4 - HKCU......Run: [updateMgr] C:..Programmi..Adobe..Acrobat 7.0..Reader..AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU......Run: [WMPNSCFG] C:..Programmi..Windows Media Player..WMPNSCFG.exe
O4 - HKCU......Run: [SpybotSD TeaTimer] C:..Programmi..Spybot - Search & Destroy..TeaTimer.exe
O4 - HKLM......Policies..Explorer..Run: [user32.dll] C:..Programmi..Video ActiveX Access..iesmn.exe
O4 - HKUS..S-1-5-19......Run: [CTFMON.EXE] C:..WINDOWS..system32..CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS..S-1-5-20......Run: [CTFMON.EXE] C:..WINDOWS..system32..CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS..S-1-5-18......Run: [CTFMON.EXE] C:..WINDOWS..system32..CTFMON.EXE (User 'SYSTEM')
O4 - HKUS...DEFAULT......Run: [CTFMON.EXE] C:..WINDOWS..system32..CTFMON.EXE (User 'Default user')
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:..Programmi..Adobe..Acrobat 7.0..Reader..reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:..Programmi..Microsoft Office..Office10..OSA.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:..PROGRA~1..MICROS~2..Office10..EXCEL.EXE/3000
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:..PROGRA~1..SPYBOT~1..SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:..PROGRA~1..SPYBOT~1..SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:..WINDOWS..Network Diagnostic..xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:..WINDOWS..Network Diagnostic..xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:..Programmi..Messenger..msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:..Programmi..Messenger..msmsgs.exe
O15 - Trusted Zone: *.cercoporno.com
O15 - Trusted Zone: *.eros-porno.com
O15 - Trusted Zone: *.videopornazzi.com
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:..Programmi..Yahoo!..Common..yinsthelper.dll
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/.../GAME_UNO1.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...StatsClient.ca
b31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...rStatsPAClient.
cab56907.cab
O20 - AppInit_DLLs: C:..WINDOWS..system32..__c00F394E.dat
O22 - SharedTaskScheduler: anthracosaurus - {9f5cb985-d4a4-49af-9185-133f956b5756} - (no file)
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:..Programmi..a-squared Free..a2service.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:..WINDOWS..system32..Ati2evxx.exe
O23 - Service: Active Virus Shield (AVP) - AOL - C:..Programmi..AOL..Active Virus Shield..avp.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:..Programmi..File comuni..LightScribe..LSSrvc.exe
O23 - Service: PREVXAgent - Prevx - C:..Programmi..Prevx2..PXAgent.exe
O23 - Service: ServiceLayer - Nokia. - C:..Programmi..PC Connectivity Solution..ServiceLayer.exe

--
End of file - 6942 bytes

[MacGyver83]

Originariamente inviato da lancetta

era solo il virus con nome omonimo (succede spesso)
Per avere conferme ci devi postare il log del tool e uno di hijackthis...

grazie per la risposta,
si posso essere d'accordo che il nome regedit.exe possa essere usato per un virus, ma che abbia la stessa cartella di destinazione non credo proprio

[lancetta]

Originariamente inviato da MacGyver83

grazie per la risposta,
si posso essere d'accordo che il nome regedit.exe possa essere usato per un virus, ma che abbia la stessa cartella di destinazione non credo proprio

A volte stessa cartella di destinazione ma hash differenti(guarda qualche post indietro,il caso dello screensaver)...poi tutto può essere,ma non credi che se fosse stato il reale regedit,non saresti stato qui a postare?

[Lunaqueen]

Ciao a tutti, ho segnalato il mio problema in un altro topic del forum ma credo di aver sbagliato...
Riposto ciò che ho detto prima: sono stata infettata anch'io da quel tipo di virus. Ho letto la guida, sono arrivata a MSNFIX. Allego i risultati in attesa di risposte.

[giorgia88]

ciao! oggi ho preso ankio questo virus....

ho seguito la procedura fino alla terza parte...quindi ora allego il log di msnfix come c'è scritto....vi ringrazio anticipatamente,mi dite voi se poi posso andare avanti? grazieee nn riesco ad allegare ,va bene se copio e incollo?




MSNFix 1.498

C:\Documents and Settings\giorgiagarzia\Desktop\MSNFix\MSNFix
Fix effettuato il 13/09/2007 - 17.17.44,54 By giorgiagarzia
modalità normale

************************ Cercare i files presenti

Nessun files trovato

************************ Ricerca le cartelle presenti

Nessuna cartella trovata


************************ Files sospetti

/!\ questi files necessitano di un parere esperto prima di qualsiasi intervento

[C:\WINDOWS\system32\showtime.scr] C0ECBEAFB2A811E244380F42CD197289


I files e le chiavi di registro eliminati sono stati salvati nel file 13092007_17.17.5153.zip


------------------------------------------------------------------------
Auteur : !aur3n7 Contact: http://changelog.fr
------------------------------------------------------------------------

--------------------------------------------- END ---------------------------------------------

[liciaclaudia13]

ciao... ho fatto quello che avete scritto fino alla seconda parte... ora attendo il controllo... speriamo bene!!! grazie in anticipo e spero di avere allegato le cose giuste

[Riverside]

Originariamente inviato da liciaclaudia13

ciao... ho fatto quello che avete scritto fino alla seconda parte... ora attendo il controllo... speriamo bene!!! grazie in anticipo e spero di avere allegato le cose giuste

Il log MSNFIX è a posto: è stato rimosso ************************ Eliminazione dei files .. OK ... C:\WINDOWS\system\lsass.exe
Ora, termina la procedura e pubblica il log di Hthis.

[liciaclaudia13]

grazie sei gentilissimo!!!!!!però posso farti una domanda?come si fa a scompattare il file zip? io purtroppo sono un po ignorante in queste cose
grazie ancora

[socia]

questo è il log di MsnFix...grazie in anticipo x l'aiuto!!

[Riverside]

Originariamente inviato da giorgia88

ciao! oggi ho preso ankio questo virus....
ho seguito la procedura fino alla terza parte...quindi ora allego il log di msnfix come c'è scritto....vi ringrazio anticipatamente,mi dite voi se poi posso andare avanti?

Il log di MSNFIX non ha rilvato alcun file infetto riferito ad un virus preso da MSN Messenger.
Prosegui con la procedura ed, ora, diventa importante, verificare il Log di HThis; quindi, allegalo alla discussione.

[Riverside]

Originariamente inviato da socia

questo è il log di MsnFix...grazie in anticipo x l'aiuto!!

Ciao, MSNFIX rimosso il file infetto.
Ora, tu devi rimuovere, manulamente, quelli che ti indico in grassetto:
hahahha.zip
myspace.zip
ributeslideshow.zip
September11thTribute.zip

Procedi in questa maniera:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● apri la cartella WINDOWS
● cerchi i files che ti ho indicato e, uno alla volta, li elimini.

Poi, rimuovi questo:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● apri la cartella WINDOWS
● apri la cartella WINDOWS e, al suo interno, cerca la cartella system32
● apri system32 e rimuovi questo: f3PSSavr.scr

Al termine svuota il cestino.
Poi termina la procedura indicata nella Guida e, pubblica il log di Hthis.

[Riverside]

Originariamente inviato da liciaclaudia13

grazie sei gentilissimo!!!!!!però posso farti una domanda?come si fa a scompattare il file zip? io purtroppo sono un po ignorante in queste cose

Per scompattare un file in formato Zip e/o Rar hai bisogno di un apposito software: i più comuni sono WinZip e WinRar.
Verifica se, sul tuo P.C. è stato installato uno dei programmi in questione.

[holsen1982]

appena puoi darmi una risposta all'ultimo mio messaggio..nel frattempo attendo...

[Dark Jack]

vi prego di rispondere anche al mio messaggio che il mio amico mi sta facendo pressioni, grazie ancora!

[liciaclaudia13]

Originariamente inviato da Riverside

Per scompattare un file in formato Zip e/o Rar hai bisogno di un apposito software: i più comuni sono WinZip e WinRar.
Verifica se, sul tuo P.C. è stato installato uno dei programmi in questione.

ho scaricato win zip poichè non avevo questi programmi... ora come procedo? scusa se ti faccio perdere del tempo prezioso e grazie per tutto l'aiuto che ci dai!!!!!!!!!!!!!1