[risolto][Win XP] Dialer e Virus

[robyc69]

Ciao a tutti, con
spero di aver seguito nel modo corretto le procedure di invio dei log.
Avvisato da Telecom, fortunatamente in tempo per evitare troppi danni, della presenza di un dialer (Heuristic.Dialer.RAS) sul mio pc ho provveduto a rimuoverlo con Asquared Antidialer.
Il primo problema e' che mi trovo generati dei nuovi file .exe dialer.
Ho poi seguito la procedura indicata in GUIDA ALLA DISINFEZIONE ed e' stato rilevato da Asquared Free un Trojan.Win32.Agent.dxh nei file di Acrobat reader e dell'Antivirus Symantec (piu' o meno nei giorni di comparsa del dialer avevo notato che la trayicon dell'antivirus era scomparsa dalla taskbar, anche se la protezione in tempo reale era attiva).

Allego i log dei vari tool.
Dialer e virus sono subito stati individuati dalla scansione con Asquared free e li ho messi in quarantena. Purtroppo non ho i report della scansione online (ho usato Nanoscan e A-squared Web Malware), le due scansioni non hanno comunque rilevato nulla.


prevx CSI: http://www.fileup.itadib.com/downloa...39j922d3gscObW
GMER: http://www.fileup.itadib.com/downloa...NzAPsslnSLGe3D

Spero sia tutto allegato nel giusto modo.
Grazie per l'aiuto.
Roberto

__________________________________________________
POST AGGIORNATO DOPO LA SOLUZIONE DEL PROBLEMA.
ECCO UN RIASSUNTO DEL TUTTO, I DETTAGLI SONO COMUNQUE SPIEGATI LEGGENDO
I VARI POST DEL THREAD.

Ecco un riassunto del problema che ho avuto:

Sintomi: prima di tutto ho notato la scomparsa dello scudettino dell'antivirus di symantec dalla tracking bar di windowsXP, anche se guardando all'interno
del programma la protezione in tempo reale era attiva, o almeno cosi' era in apparenza.
Poi, durante la connessione a internet col modem 56K, piu' volte il collegamento si sconnetteva e dovevo ripartire.
Sospettavo un dialer (e purtroppo da questo punto di vista non avevo protezione, mea culpa) e il giorno dopo la Telecom me l'ha confermato avvisandomi delle telefonate sospette.
Ho quindi notato una connessione che prima non esisteva, col numero indicato con 000, e l'ho subito eliminata.
Poi con Asquared antidialer e poi con Asquared Free ho rilevato diversi file .exe con il dialer Heuristic.Dialer.RAS.
Eliminati ho pero' notato che questi eseguibili venivano ricreati (senza conseguenze questa volta perche' avevo insallati gli antidialer).
Durante lo scan con Asquared free ho trovato anche un file di Acrobat reader e alcuni del symantec antivirus infettati da
Trojan.Win32.Agent.dxh.
Quindi ho cercato aiuto qui e di seguito le azioni intraprese:

Azioni:
Ho seguito prima di tutto le indicazioni contenute in GUIDA ALLA DISINFEZIONE e allegato tutti i log ottenuti:
GMER
Prevx CSI
Asquared Free 3.X
Hijackthis

Dopo la procedura ho fatto girare CCLEANER nel modo indicato in GUIDA PER GLI INFETTI.

Poi seguendo le gentili indicazioni di Chill-out, Lancetta e Murack83pa, ovviamente legate ai particolari files infetti
ho provveduto a:

1.Far girare FindAWF e a postare il log.

2.Cancellare direttamente dalla quarantena di Asquared free questi files:
C:\Documents and Settings\Roby\Cookies\roby@doubleclick[1].txt rilevati: Trace.TrackingCookie
C:\Documents and Settings\Roby\Cookies\roby@fastclick[1].txt rilevati: Trace.TrackingCookie
C:\Documents and Settings\Roby\Impostazioni locali\Temp\2498546294.exe rilevati: Heuristic.Dialer.RAS

3.ho scaricato Avenger, l'ho lanciato, selezionato script manually, cliccato sulla lente d'ingrandimento,
inserito questo script:
files to move:

C:\Programmi\Symantec AntiVirus\bak\VPTray.exe | C:\Programmi\Symantec AntiVirus\VPTray.exe
C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe |
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\File comuni\Symantec Shared\bak\ccEmlPxy.dll | C:\Programmi\File comuni\Symantec Shared\ccEmlPxy.dll
C:\WINDOWS\system32\bak\ctfmon.exe | C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Adobe\Reader 8.0\Reader\bak\Reader_sl.exe | C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe

4. Al riavvio del PC ho provveduto a far pulizia nella cartella PREFETCH ed ho usato anche CCleaner.

5. Ho rilanciato FindAWF e PrevxCSI postando il log.

6. Ho dovuto rilanciare Avenger con una riga di script, ma il tutto legato solo ad un problema di sintassi

7. Ultima scansione on line con Bitdefender.

8. PC PULITO!!

L'unica cosa e' che tuttora lo scudettino del symantec antivirus compare nella tracking bar, ma tutto pare funzionere regolarmente.

Spero il riassunto sia utile e sia quello che xcdegasp intendeva.
Tenete ovviamente conto che ogni passo e' legato ai miei files infettie alla situazione dei log
che ho man mano postato nel thread.

Grazie mille ancora a tutti Roberto
________________________________

[francescosalvaggio]

non è che sia molto esperto in questo campo cmq ti serve un programma per ripulire il registro di sistema...come ccleaner oppure regcleaner e poi adware remover per togliere quei maledetti virus

[robyc69]

Grazie Francesco.
Ho dimenticato di dire che dopo la procedura di GUIDA PER INFETTI, ho fatto girare CCleaner come indiccato nelle regole di sezione.


Ciao.
Roberto

[Chill-Out]

Allega un log di questo tool
http://noahdfear.geekstogo.com/FindAWF.exe

inoltre che azioni hai intrapreso terminata la scasione con a-squared, perchè dal log non si capisce, quelli da cancellare direttamente sono questi:

C:\Documents and Settings\Roby\Cookies\roby@doubleclick[1].txt rilevati: Trace.TrackingCookie
C:\Documents and Settings\Roby\Cookies\roby@fastclick[1].txt rilevati: Trace.TrackingCookie
C:\Documents and Settings\Roby\Impostazioni locali\Temp\2498546294.exe rilevati: Heuristic.Dialer.RAS

nel frattempo guardo gli altri log

[robyc69]

Grazie,
stasera provo con FindAWF.
Ho messo tutto in quarantena, quelli da te indicati e i 3 file col Trojan.


Roberto

[lancetta]

Originariamente inviato da robyc69

Grazie,
stasera provo con FindAWF.
Ho messo tutto in quarantena, quelli da te indicati e i 3 file col Trojan.


Roberto

importante il finadwf perchè se è quello bisogna cominciare da lì e poi resto

[robyc69]

Quindi lascio tutto in quarantena, lancio il FindAWF e rifaccio tutti i passi ESET ADS, ASquared free,Prevx CSI, etc e salvo tutti log? o faccio girare solo FindAWF?

Grazie.
Roberto

[murack83pa]

ciao

fai girare findawf,xchè probabilmente la causa è un trojan particolare che viene rilevato con questo programmino

posta il log che è importante...

ps: buon giorno a tutti

[robyc69]

ok, stasera eseguo e poi aggiorno col log.
grazie a tutti per le indicazioni.

Roberto

[robyc69]

Ho aggiornato il primo post con il log di FindAWF.

Roberto

[murack83pa]

Originariamente inviato da robyc69

Ho aggiornato il primo post con il log di FindAWF.

Roberto

ok, scarica questo programma che c serve x il secondo passo della procedura:
scarica avenger: DOWNLOAD
lo scompatti in una sua cartella dedicata
forse devi disabilitare l'antivirus momentaneamente,

fra 5 minuti ti do le istruzioni su cosa fare

[murack83pa]

ok,ora segui attentamente le mie istruzioni:

avvia avenger,
seleziona input script manually,
clicca sulla lente d'ingrandimento,
inserisci il seguente script (tutto quello che è compreso nel quote):

files to move:

C:\Programmi\Symantec AntiVirus\bak\VPTray.exe | C:\Programmi\Symantec AntiVirus\VPTray.exe
C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe |
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\File comuni\Symantec Shared\bak\ccEmlPxy.dll | C:\Programmi\File comuni\Symantec Shared\ccEmlPxy.dll
C:\WINDOWS\system32\bak\ctfmon.exe | C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Adobe\Reader 8.0\Reader\bak\Reader_sl.exe | C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe

Cliccare su done, Cliccare sul semaforo, Rispondere sì 2 volte;il pc dovrebbe riavviarsi, casomai lo riavvii manualmente

al riavvio, fai un po di pulizia in questo modo:
1-Provvedi a svuotare del suo contenuto la cartella Prefetch procedendo in questa maniera:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● cerca, all’interno delle cartelle che verranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimini tutte le voci conservate al suo interno (mi raccomando, non eliminare la cartella)

2-Scarica CCLEANER (è importante che lo utilizzi,se già l'hai, in questo modo): DOWNLOAD
una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate, togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le voci comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia, clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Registro, spunta tutte le voci comprese nella sezione, clicca sul tasto Trova problemi ed avvia una scansione; al termine della scansione clicca sulla voce Ripara selezionati e prosegui

al termine, puoi postare un nuovo log di findawf e di prevx csi

NB:elimina i file in quarantena di asquared

[robyc69]

Grazie Murack,
domani posto i nuovi log.

Comunque sia se ho capito bene i file exe di acrobat e symantec non sono riparabili e quindi dovro' disinstallare i due programmi, giusto?

[murack83pa]

Originariamente inviato da robyc69

Grazie Murack,
domani posto i nuovi log.

Comunque sia se ho capito bene i file exe di acrobat e symantec non sono riparabili e quindi dovro' disinstallare i due programmi, giusto?

i file exe di norton e acrobat sono stati sostituiti dal trojan con file infetti
l'obiettivo è eliminare i file infetti, cercando xò di ripristinare gli exe leggittimi dei programmi
quindi nn devi disinstallare i programmi, esegui quello script, e poi posta i log che ti ho chiesto..

è importante che fai un po di pulizia nelle modalità che ti ho detto, al riavvio del pc e prima che scansioni con findawf e prevx csi

[robyc69]

perfetto,
seguo di sicuro le istruzioni che mi hai dato, ci mancherebbe!

Grazie.
Roberto

[Chill-Out]

Originariamente inviato da robyc69

perfetto,
seguo di sicuro le istruzioni che mi hai dato, ci mancherebbe!

Grazie.
Roberto

I file dalla quarantena li elimini solo dopo che è stato controllato il log di FindAWF

[robyc69]

ok, allora seguo le istruzioni tranne l'N.B.

Thanks.

Roberto

[robyc69]

Ciao,
ho eseguito lo script di Avenger ma su alcune righe mi ha dato messaggi di errore. Ho comunque eseguito e allego il log di avenger, oltre a quelli di FindAWF e prevx CSI.

http://www.fileup.itadib.com/downloa...JCsDD2wEJm9TCv

Roberto

[murack83pa]

ok,
inserisci questo script in avenger, sperando che questa volta nn dia problemi

files to move:

C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe | C:\Programmi\File comuni\Symantec Shared\ccApp.exe

dopo aver inserito quest'ultimo script, riavvia il pc e posta un nuovo log di findawf

prevx csi è pulito

PS: hai la connessione adsl? xchè se ha l'adsl nn è necessario asquared anti-dialer, x di piu visto che hai asquared free 3.0

[robyc69]

Grazie Murack.
No, sono antico e ho ancora il modem leeento... quindi finche', a breve, passero' all'adsl devo tenerlo su.

Ciao.
Roberto