[win XP] problemi com trojan horse

[juninho85]

prova a postarci uno scan di gmer,con le spunte su system,registry e files

[los.federicos]

ho lasciato solo le spunte su system,registry e files, è questo che intendevi? Ecco qui comunque

GMER 1.0.13.12551 - http://www.gmer.net
Rootkit scan 2007-10-28 12:48:56
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.13 ----

SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwClose
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwConnectPort
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwCreateFile
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwCreateKey
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwCreatePort
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwCreateSection
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwCreateThread
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwDeleteFile
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwDeleteKey
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwDeleteValueKey
SSDT      sptd.sys                                                 ZwEnumerateKey
SSDT      sptd.sys                                                 ZwEnumerateValueKey
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwLoadDriver
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwOpenFile
SSDT      sptd.sys                                                 ZwOpenKey
SSDT      \??\C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.sys  ZwOpenProcess
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwOpenSection
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwOpenThread
SSDT      sptd.sys                                                 ZwQueryKey
SSDT      sptd.sys                                                 ZwQueryValueKey
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwSetContextThread
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwSetInformationFile
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwSetValueKey
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwShutdownSystem
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwTerminateProcess
SSDT      \??\C:\WINDOWS\system32\drivers\sp_rsdrv2.sys            ZwWriteFile
SSDT      \SystemRoot\System32\DRIVERS\cmdmon.sys                  ZwWriteFileGather

INT 0x2D  \??\C:\WINDOWS\System32\Drivers\DbgMsg.sys               AE753C90

---- EOF - GMER 1.0.13 ----

[juninho85]

norton te lo rileva come malware.gen?

[los.federicos]

Aspè aspè, norton? Io non ho norton, in che senso scusa? Se intendi comuqnue l'antivirus, ho avast e non mi rileva niente.. solo bitdefender online scan mi rileva problemi..

[juninho85]

mi stavo confondendo con l'utente che ha aperto il thread.
hai già provato i tool vundofix?

[los.federicos]

no, ora provo.. niente di complicato?

[los.federicos]

ok seguo questa procedura

http://security.p2pforum.it/vundofix

[los.federicos]

Prima di avviare la rimozione mirata di fsmgmt.dll ho fatto una scansione generale con questo tool, ma non mi ha rilevato niente di infetto.. che faccio elimino comunque quel file?

[juninho85]

si

[los.federicos]

Scusate... per scrupolo ho rifatto la scansione con bitdefender e ora non mi rileva più il virus... che significa? tutto apposto? non ho fatto la rimozione mirata con vundofix..

[ellyfer]

Ciao ragazzi! Avrei bisogno di un aiuto.
Da qualche giorno Norton mi rileva un trojan horse in un file che però non riesce ad eliminare e che non riesco ad eliminare nemmeno io manualmente.
Si tratta di un programmino scaricato da emule che ho utilizzato in precedenza e che non mi aveva mai dato problemi prima...
Ora vorrei sapere come faccio a toglierlo...
Potreste aiutarmi??? Grazie!
Ciao!

[lancetta]

Originariamente inviato da ellyfer

Ciao ragazzi! Avrei bisogno di un aiuto.
Da qualche giorno Norton mi rileva un trojan horse in un file che però non riesce ad eliminare e che non riesco ad eliminare nemmeno io manualmente.
Si tratta di un programmino scaricato da emule che ho utilizzato in precedenza e che non mi aveva mai dato problemi prima...
Ora vorrei sapere come faccio a toglierlo...
Potreste aiutarmi??? Grazie!
Ciao!

segui queste direttive..così abbiamo unò screen completo per agire

http://www.hwupgrade.it/forum/showthread.php?t=1589984
http://www.hwupgrade.it/forum/showthread.php?t=1599737 ...

[ellyfer]

Ciao!
Ho seguito le istruzioni delle guide e devo dire che effettivamente ho trovato un trojan...ma non era quello che aveva trovato norton! Cmq ho fatto un log con hijack e gmer che vi allego. Adesso riuscite ad aiutarmi meglio?!
Grazie!

[Nuz]

Dove sono i log?

[ellyfer]

Originariamente inviato da Nuz

Dove sono i log?

non me li ha caricati...strano ci sono riuscita altre volte...riprovo!
ora ci sono!

[Nuz]

Servono anche gli altri log e magari anche quello di Norton o uno screenshot.

[lancetta]

ellyfer servono anche i log di prevx e di Asquared nonchè di una scansione on line al limite questa:http://www.bitdefender.com/scan8/ie.html
per favore

[ellyfer]

Ehm...se vi dicessi che non ci capisco niente???
Dunque ho fatto un paio di screeshot... ma non so se andavano fatti così...
Per quanto riguarda i log degli altri programmi non mi è chiaro come farli di norton, a-squared e prevx...
Cmq prevx non ha rilevato niente e a-squared ha rilevato un trojan che però ho cancellato perché pensavo di aver risolto il problema...
Sto facendo una scansione on-line come suggerito da Lancetta con Bitdefender...altri che ho fatto non hanno rilevato niente...
Scusate l'ignoranza ma non ci capisco molto...
Se non vi va di aiutarmi e spiegarmi vi capisco!
Cmq allego qui e nel prossimo post qualche info che ho provato a recuperare...

[ellyfer]

come screenshot ho fatto questo...serve a qualcosa???

[lancetta]

calma...e tranquilla che piano piano facciamo tutto
dammi il tempo di vedere un pò i log