Problema...

[moresimon]

Ciao,

premetto che HO LETTO le regole di sezione e conosco la trafila per farsi aiutare (sono già "passato" una volta da qui in passato) ma ho un problema e devo aprire una discussione.

Il mio NOD32 ha trovato 3 virus, uno sulla memoria centrale e 2 su una cartella:

- cavallo di troia Win32/Genetik probabilmente modificato in C:\WINDOWS\system32\prmrsr.exe

- 2 cavallidi troia Win32/PSW.Sinowal.Gen probabilmente modificati in una cartella del desktop: \Desktop\Antivirus\SDFix\backups\backups.zip>>ZIP>>bakups\ibm00001.dll (l'altro è 00002.dll).

Ho fatto una scansione con PrevxCsi e il risultato è che il pc è pulito... Inoltre nella cartella system 32 non trovo quel file...

Qualcuno potrebbe aiutarmi?

Grazie.

[Chill-Out]

Originariamente inviato da moresimon

Ciao,

premetto che HO LETTO le regole di sezione e conosco la trafila per farsi aiutare (sono già "passato" una volta da qui in passato) ma ho un problema e devo aprire una discussione.

Il mio NOD32 ha trovato 3 virus, uno sulla memoria centrale e 2 su una cartella:

- cavallo di troia Win32/Genetik probabilmente modificato in C:\WINDOWS\system32\prmrsr.exe

- 2 cavallidi troia Win32/PSW.Sinowal.Gen probabilmente modificati in una cartella del desktop: \Desktop\Antivirus\SDFix\backups\backups.zip>>ZIP>>bakups\ibm00001.dll (l'altro è 00002.dll).

Ho fatto una scansione con PrevxCsi e il risultato è che il pc è pulito... Inoltre nella cartella system 32 non trovo quel file...

Qualcuno potrebbe aiutarmi?

Grazie.

Ma che azione hai intrapreso dopo che il Nod ha rilevato i Trojan?

[Egiziana]

prmrsr.exe fallo verificare su VT a questo link gli altri due rimuovi dal desktop l'intera cartella di sdfix perché come puoi vedere sono rilevati dentro un backup.zip

Desktop\Antivirus\SDFix\backups\backups.zip

[Chill-Out]

Allega il log del Nod, trovo improbabile che Prevx CSI non rilevi prmrsr.exe come malware, il che vuol dire che hai deletato i file infetti. Se così non fosse per vederlo devi abilitare la visualizzazione dei file nascosti: clicca su una cartella qualsiasi Strumenti - Opzioni cartella - Visualizzazione - metti il segno di spunta su Visualizza cartelle e file nascosti - Applica - OK

Per quanto riguarda questi:

2 cavallidi troia Win32/PSW.Sinowal.Gen probabilmente modificati in una cartella del desktop: \Desktop\Antivirus\SDFix\backups\backups.zip>>ZIP>>bakups\ibm00001.dll (l'altro è 00002.dll).

pur trovandosi nella cartella di Backup di SDFIX è opportuno allegare un log di Gmer http://www2.gmer.net/beta/gmer.exe

[moresimon]

Originariamente inviato da Chill-Out

Ma che azione hai intrapreso dopo che il Nod ha rilevato i Trojan?

Ho cercato di metterlo in quarantena...poi ho fatto la scansione con Prevxcsi

[moresimon]

Originariamente inviato da Egiziana

prmrsr.exe fallo verificare su VT a questo link gli altri due rimuovi dal desktop l'intera cartella di sdfix perché come puoi vedere sono rilevati dentro un backup.zip

Basta eliminare la cartella dal desktop?

[Chill-Out]

Originariamente inviato da moresimon

Ho cercato di metterlo in quarantena...poi ho fatto la scansione con Prevxcsi

http://www.hwupgrade.it/forum/showpo...58&postcount=4

[moresimon]

Originariamente inviato da Chill-Out

Allega il log del Nod, trovo improbabile che Prevx CSI non rilevi prmrsr.exe come malware, il che vuol dire che hai deletato i file infetti. Se così non fosse per vederlo devi abilitare la visualizzazione dei file nascosti: clicca su una cartella qualsiasi Strumenti - Opzioni cartella - Visualizzazione - metti il segno di spunta su Visualizza cartelle e file nascosti - Applica - OK

Per quanto riguarda questi:



pur trovandosi nella cartella di Backup di SDFIX è opportuno allegare un log di Gmer http://www2.gmer.net/beta/gmer.exe

Chill-out scusa l'ignoranza in materia ma cliccando sulla cartella non riesco ad inserire alcun flag: tasto dx - proprietà - ecc.ecc.
Per quanto riguarda il log da Gmer, sto facendo uno scan dalla scheda rootkit: è giusto? Inoltre non sono riuscito a selezionare solo quei file e sta facendo una scansione completa sul disco...

[moresimon]

Tempo di controllo: 16/06/2008 19.03.22
Rapporto di scansione
Versione NOD32: 3190 (20080616) NT
 cavallo di troia Win32/Genetik probabilmente modificato nella memoria operativa.

data: 16.6.2008  tempo: 19:30:33
Dischi, cartelle e file controllati: C:


C:\Documents and Settings\utente\Desktop\Antivirus\SDFix\backups\backups.zip »ZIP »backups/ibm00001.dll -  cavallo di troia Win32/PSW.Sinowal.Gen probabilmente modificato
C:\Documents and Settings\utente\Desktop\Antivirus\SDFix\backups\backups.zip »ZIP »backups/ibm00002.dll -  cavallo di troia Win32/PSW.Sinowal.Gen probabilmente modificato

C:\WINDOWS\system32\prmrsr.exe -  cavallo di troia Win32/Genetik probabilmente modificato

numero di file controllati: 513043
numero di virus trovati: 3
scansione terminata alle: 20:34:08 tempo impiegato: 3815 sec (01:03:35)

Note:
[4] Il file non può essere aperto. E' in uso esclusivo da parte di un'applicazione o del sistema.

[Chill-Out]

Originariamente inviato da moresimon

Chill-out scusa l'ignoranza in materia ma cliccando sulla cartella non riesco ad inserire alcun flag: tasto dx - proprietà - ecc.ecc.
Per quanto riguarda il log da Gmer, sto facendo uno scan dalla scheda rootkit: è giusto? Inoltre non sono riuscito a selezionare solo quei file e sta facendo una scansione completa sul disco...

Clicca su una cartella (ovvero apire una cartella a caso) qualsiasi Strumenti (in alto subito sotto il nome della cartella che hai aperto) - Opzioni cartella - Visualizzazione - metti il segno di spunta su Visualizza cartelle e file nascosti - Applica - OK

Per Gmer segui queste istruzioni: lanciare Gmer.exe avendo cura di spuntare sul pannello di destra tutte le caselle
Dopo aver terminato la scansione cliccare su Copy, aprite il Blocco Note ed incollare il log

I log hostali qui http://www.fileqube.com indicando i link dove prelevarli

[moresimon]

Ok, avevo capito di cliccare col tasto dx...giornataccia!

Il link del log Gmer: http://www.fileqube.com/shared/MbFXY46157

[Chill-Out]

Originariamente inviato da moresimon

Ok, avevo capito di cliccare col tasto dx...giornataccia!

ma quale tasto dx non ti seguo

Il link del log Gmer: http://www.fileqube.com/shared/MbFXY46157

Gmer è OK

[moresimon]

[quote=Chill-Out;23022738]ma quale tasto dx non ti seguo


Niente, avevo capito male (il tasto dx del mouse anzichè aprire la cartella e andare su strumenti). In ogni caso la casella era già spuntata.

Provo a fare un CCleaner?

[Chill-Out]

[quote=moresimon;23022776]

Originariamente inviato da Chill-Out

ma quale tasto dx non ti seguo


Niente, avevo capito male (il tasto dx del mouse anzichè aprire la cartella e andare su strumenti). In ogni caso la casella era già spuntata.

Provo a fare un CCleaner?

Ok, il che vuol dire che il file non esiste più, che cosa ne hai fatto? Lo hai cancellato o messo in quarantena perchè dal log di Nod datato 16/06/08 non si capisce, inoltre se ripeti la scansione col Nod che cosa ti segnala?

[moresimon]

[quote=Chill-Out;23022853]

Originariamente inviato da moresimon

Ok, il che vuol dire che il file non esiste più, che cosa ne hai fatto? Lo hai cancellato o messo in quarantena perchè dal log di Nod datato 16/06/08 non si capisce, inoltre se ripeti la scansione col Nod che cosa ti segnala?

Il file ho cercato di metterlo in quarantena, non so se ci sono riuscito perchè il nod non è molto intuitivo per me... comunque ora faccio una scansione.

Durante la scansione mi dice:"cavallo di troia Win32/Genetik probabilmente modificato trovato nella memoria operativa. NOD32 può eliminare questa infezione. Alle infezioni della memoria non può essere applicata alcuna azione."

Pero' non mi da' la possibilità di spuntare il flag per la quarantena, l'unica opzione è di continuare la scansione, e quindi ignorare.

[Chill-Out]

[quote=moresimon;23023104]

Originariamente inviato da Chill-Out

Il file ho cercato di metterlo in quarantena, non so se ci sono riuscito perchè il nod non è molto intuitivo per me... comunque ora faccio una scansione.

meglio così ci togliamo i dubbi, terminata la scansione col Nod allega il log poi pulisci gli ADS leggi qui Punto 2 della Guida http://www.hwupgrade.it/forum/showthread.php?t=1599737

[moresimon]

[quote=Chill-Out;23023147]

Originariamente inviato da moresimon

meglio così ci togliamo i dubbi, terminata la scansione col Nod allega il log poi pulisci gli ADS leggi qui Punto 2 della Guida http://www.hwupgrade.it/forum/showthread.php?t=1599737

Tempo di controllo: 16/06/2008 19.03.22
Rapporto di scansione
Versione NOD32: 3190 (20080616) NT
 cavallo di troia Win32/Genetik probabilmente modificato nella memoria operativa.

data: 16.6.2008  tempo: 19:30:33
Dischi, cartelle e file controllati: C:

C:\Documents and Settings\utente\Desktop\Antivirus\SDFix\backups\backups.zip »ZIP »backups/ibm00001.dll -  cavallo di troia Win32/PSW.Sinowal.Gen probabilmente modificato
C:\Documents and Settings\utente\Desktop\Antivirus\SDFix\backups\backups.zip »ZIP »backups/ibm00002.dll -  cavallo di troia Win32/PSW.Sinowal.Gen probabilmente modificato

C:\WINDOWS\system32\prmrsr.exe -  cavallo di troia Win32/Genetik probabilmente modificato

numero di file controllati: 513043
numero di virus trovati: 3
scansione terminata alle: 20:34:08 tempo impiegato: 3815 sec (01:03:35)

Questo è il log del nod...ci sono tutti e tre ancora. Ho pulito gli ADS.

[Chill-Out]

Elimina manualmente la cartella

C:\Documents and Settings\utente\Desktop\Antivirus\SDFix\backups\backups.zip »ZIP »backups/ibm00001.dll - cavallo di troia Win32/PSW.Sinowal.Gen probabilmente modificato
C:\Documents and Settings\utente\Desktop\Antivirus\SDFix\backups\backups.zip »ZIP »backups/ibm00002.dll - cavallo di troia Win32/PSW.Sinowal.Gen probabilmente modificato

Successivamente mi alleghi un log di Prevx CSI ed un log di HijackThis, utilizzando http://www.fileqube.com grazie.

Il Nod ti consente di eliminare il Virus e mi riferisco a C:\WINDOWS\system32\prmrsr.exe. si o no!

[Egiziana]

Originariamente inviato da Chill-Out

Elimina manualmente la cartella

ancora al punto di partenza?.

Il Nod ti consente di eliminare il Virus e mi riferisco a C:\WINDOWS\system32\prmrsr.exe. si o no!

evidente che no.
Disabilitare il system restore e fare una scansione con K.removal

[Chill-Out]

Originariamente inviato da Egiziana

ancora al punto di partenza?.

evidente che no.
Disabilitare il system restore e fare una scansione con K.removal

Sarebbe opportuno che ti leggessi i messaggi