Trojan nel portatile: TR/Crypt.ULPM.Gen

[nobady]

Salve, come da titolo ieri ho preso questo trojan piu molti altri che penso siano delle sue altre autogenerazioni:
-TR/Spy.ZBot.abtr
-ADWARE/Adware.Gen
-WORM/Autorun.drr
-DR/385319.A
-TR/PWS.3920896
-TR/C4DLMedia.C.3
-HTML/Crypted.Gen
-TR/Spy.ZBot.abtr

Li ho messi tutti in quarantena su antivir. ma adesso come devo procedere??
intanto vi posto il log di hijackthis: http://www.mediafire.com/?sharekey=5...4e75f6e8ebb871

help!!

[wjmat]

Ciao

per il controllo del log di hjt c'è un 3d apposito, visto che sei infetto segui la guida alla disinfezione per infetti ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post (esempio), e secondo le regole di sezione

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.

• Se il sistema dovesse essere molto compromesso, e non dovessi riuscire a seguire la guida, prova ad effettuare le prime 4 scansioni da modalità provvisoria, se non bastasse effettua prima una scansione con il rescue cd di Kaspersky o di Avira per fare una pulizia preliminare.
• In caso di continui riavvi, schermate blu, ecc.. stacca eventuali hardware nuovi, magari incompatibili e per escludere problemi con quelli già in uso fai un controllo del disco e della RAM
  
• Nel caso il pc da disinfettare abbia problemi con internet o non ce l'abbia proprio, nel bigino in firma guarda alla voce Portabilità di ogni programma, in modo da scaricare tutto il necessario da un pc pulito e portare tutto l'occorrente aggiornato sul pc infetto
  
• Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione
  
• Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
• Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

link caricamento log generici ► fileqube.com ■ wikisend.com
link caricamento immagini ► fileqube.com ■ picoodle.com ■ imageshack.us

[nobady]

Una Domanda, ma con il Kaspersky Virus Removal Tool devo selezionare anche disco locali e documenti??
intanto lo faccio senza.

[wjmat]

con la spunta su Risorse del Computer sarà scansionato comunque tutto

[nobady]

Ok, ce l'ho fatta:


Malwarebytes Anti-Malware: http://wikisend.com/download/449380/...(19-45-38).txt

A-Squared Free v3.x: http://wikisend.com/download/594604/...010-124447.txt

Kaspersky Virus Removal Tool: http://wikisend.com/download/520770/...emovaltool.txt

Dr.Web CureIT: http://wikisend.com/download/444846/cureitfiltrato.txt

ESET SysInspector: http://wikisend.com/download/470678/...91012-1542.xml

HiJackThis: http://wikisend.com/download/498098/hijackthis.log

Gmer: http://wikisend.com/download/931566/GMer.log

PrevxCSI:
log: http://wikisend.com/download/454644/prevx3.0.log
foto: http://wikisend.com/download/440108/prevx3.0.bmp

Adesso attendo le, spero, ultime informazioni...Grazie.

[wjmat]

Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio ()

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - Startup: is-J21M1.lnk = C:\Documents and Settings\FEDERICO\Desktop\Virus Removal Tool\is-J21M1\startup.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {076169AA-8C3D-4CFC-AC23-3ACA88FC21B5} (F-Secure Online Scanner Launcher) - http://download.sp.f-secure.com/ols/f-secure-rtm/resources/fslauncher.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

devi aggiornare
Windows al service pack 3
Explorer alla versione 8

[nobady]

Originariamente inviato da wjmat

Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio ()

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - Startup: is-J21M1.lnk = C:\Documents and Settings\FEDERICO\Desktop\Virus Removal Tool\is-J21M1\startup.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {076169AA-8C3D-4CFC-AC23-3ACA88FC21B5} (F-Secure Online Scanner Launcher) - http://download.sp.f-secure.com/ols/f-secure-rtm/resources/fslauncher.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

devi aggiornare
Windows al service pack 3
Explorer alla versione 8

ho messo nell'allegato i,l log di hijack perchè c'è ancora la stringa seguente:
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background

[wjmat]

quella voce è relativa a msn puoi anche rimuoverlo dall'avvio nelle suo opzioni

dimenticavo che dal log di asquared non si capisce se hai eliminato le voci trovate

[nobady]

Originariamente inviato da wjmat

quella voce è relativa a msn puoi anche rimuoverlo dall'avvio nelle suo opzioni

dimenticavo che dal log di asquared non si capisce se hai eliminato le voci trovate

ho ancora 6 elementi in quarantena, di cui il livello di rischio tutti alti tranne uno medio...li elimino definitivamente?

[wjmat]

Originariamente inviato da nobady

ho ancora 6 elementi in quarantena, di cui il livello di rischio tutti alti tranne uno medio...li elimino definitivamente?

lasciali pure li

ti manca di aggiornare il sistema poi dovresti essere ok

[nobady]

Originariamente inviato da wjmat

lasciali pure li

ti manca di aggiornare il sistema poi dovresti essere ok

ok, il fatto è che pero' questo portatile è di mio padre, non potrei eliminare tutti i file che ho in quarantena, anche per esempio nel malwarebytes anti-malware e negli altri, così da poi disinstallare questi antivirus e tenere solo Avira Antivir ?!?!?!?
o facendo così si rischierebbe una nuova infezione?!?!

[wjmat]

se proprio insisti elimina pure
e procedi con il trattamento post disinfezione