Ho un problema con msn, causato da un virus!

[Riverside]

Originariamente inviato da ekrix

Logfile of Trend Micro HijackThis v2.0.2

Niente da fare, il problema della localizzazione in una cartella diversa permane.
Questo, fallo analizzare qui: Virus total
O4 - HKLM\..\Run: [wdfmgr.exe] C:\WINDOWS.003\wdfmgr.exe

Hai fatto tutta la procedura in modalità provvisoria???

Originariamente inviato da demi@n

Vedo che attendi da parecchio...Io non sono espertissima, ma ti posso dire che di questo ho letto qualcosa in giro: C:\Programmi\Bonjour\mDNSResponder.exe

Demi , quel processo è legittimo anche se non e' essenziale.
Viene utilizzato da Apple per diversi software, come, per esempio, ITunes.
E', è anche utilizzato da Photoshop CS3 oppure, per la condivisione di files.
P.S.: controlla la posta in PM.

[demi@n]

Oooops.... (faccina che si vergogna... qui non c'è!).

Sorry... eppure avevo letto qualcosa su questo "Bonjour"... ariscusa!

[Riverside]

Originariamente inviato da demi@n

Oooops.... faccina che si vergogna...

Intendevi, questa???? .......

[ekrix]

Allora in modalità provvisoria ho fatto la scansione con antivir:
non mi ha segnalato virus!!!!

ntiVir PersonalEdition Classic
Report file date: lunedì 3 settembre 2007 19:14

Scanning for 1043274 virus strains and unwanted programs.

Licensed to: Avira AntiVir PersonalEdition Classic
Serial number: 0000149996-ADJIE-0001
Platform: Windows XP
Windows version: (Service Pack 2) [5.1.2600]
Username: Gianni Dj
Computer name: U2Z0Y4

Version information:
BUILD.DAT : 247 14437 Bytes 10/05/2007 11:55:00
AVSCAN.EXE : 7.0.4.15 282664 Bytes 20/04/2007 11:37:16
AVSCAN.DLL : 7.0.4.4 33832 Bytes 27/03/2007 11:31:56
LUKE.DLL : 7.0.4.11 143400 Bytes 27/03/2007 11:26:06
LUKERES.DLL : 7.0.4.0 10280 Bytes 19/03/2007 11:19:00
ANTIVIR0.VDF : 6.35.0.1 7371264 Bytes 31/05/2006 13:08:58
ANTIVIR1.VDF : 6.39.0.129 7251968 Bytes 10/07/2007 20:24:24
ANTIVIR2.VDF : 6.39.1.74 1637376 Bytes 02/09/2007 20:24:24
ANTIVIR3.VDF : 6.39.1.79 18944 Bytes 03/09/2007 12:39:06
AVEWIN32.DLL : 7.4.1.66 2789888 Bytes 02/09/2007 20:24:24
AVWINLL.DLL : 1.0.0.7 14376 Bytes 26/02/2007 09:36:28
AVPREF.DLL : 7.0.2.1 24616 Bytes 27/03/2007 11:31:52
AVREP.DLL : 7.0.0.1 155688 Bytes 16/04/2007 12:16:24
AVPACK32.DLL : 7.3.0.15 360488 Bytes 02/09/2007 20:24:24
AVREG.DLL : 7.0.1.2 31784 Bytes 15/03/2007 08:05:10
AVEVTLOG.DLL : 7.0.0.18 86056 Bytes 27/03/2007 11:16:06
AVARKT.DLL : 1.0.0.17 278568 Bytes 02/05/2007 10:32:28
NETNT.DLL : 7.0.0.0 7720 Bytes 08/03/2007 10:09:44
RCIMAGE.DLL : 7.0.1.15 2228264 Bytes 13/03/2007 09:46:20
RCTEXT.DLL : 7.0.45.0 86056 Bytes 19/03/2007 11:42:44

Configuration settings for the scan:
Jobname..........................: Local Drives
Configuration file...............: C:\Programmi\AntiVir PersonalEdition Classic\alldrives.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: off
Scan boot sector.................: on
Boot sectors.....................: E:,
Scan memory......................: on
Process scan.....................: on
Scan registry....................: on
Search for rootkits..............: off
Scan all files...................: Intelligent file selection
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium

Start of the scan: lunedì 3 settembre 2007 19:14

The scan of running processes will be started
Scan process 'avscan.exe' - '1' Module(s) have been scanned
Scan process 'avcenter.exe' - '1' Module(s) have been scanned
Scan process 'Explorer.EXE' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'svchost.exe' - '1' Module(s) have been scanned
Scan process 'lsass.exe' - '1' Module(s) have been scanned
Scan process 'services.exe' - '1' Module(s) have been scanned
Scan process 'winlogon.exe' - '1' Module(s) have been scanned
Scan process 'csrss.exe' - '1' Module(s) have been scanned
Scan process 'smss.exe' - '1' Module(s) have been scanned
11 processes with 11 modules were scanned

Start scanning boot sectors:
Boot sector 'C:\'
[NOTE] No virus was found!
Boot sector 'A:\'
[NOTE] In the drive 'A:\' no data medium is inserted!

Starting to scan the registry.
The registry was scanned ( '21' files ).


Starting the file scan:

Begin scan in 'C:\'
C:\pagefile.sys
[WARNING] The file could not be opened!
Begin scan in 'A:\'
Search path A:\ could not be opened!
Periferica non pronta.

Begin scan in 'D:\'
Search path D:\ could not be opened!
Periferica non pronta.

Begin scan in 'E:\'
Search path E:\ could not be opened!
Periferica non pronta.



End of the scan: lunedì 3 settembre 2007 19:56
Used time: 42:30 min

The scan has been done completely.

3301 Scanning directories
103114 Files were scanned
0 viruses and/or unwanted programs were found
0 classified as suspicious:
0 files were deleted
0 files were repaired
0 files were moved to quarantine
0 files were renamed
1 Files cannot be scanned
103114 Files not concerned
1182 Archives were scanned
2 Warnings
9 Notes
0 Hidden objects were found

e poi sempre in modalità provvisoria ho fatto la scanzione con a-squared free:

a-squared Free - Version 3.0
Last update: 03/09/2007 17.24.42

Impostazioni scansione:

Oggetti: Memoria, Tracce, Cookies, C:\
Archivio scansioni: On
Scientifico: On
ADS Scan: On

Scansione avviata: 03/09/2007 19.57.54

C:\WINDOWS.003\wanmpsvc.exe rilevati: Heuristic.Dialer.RAS
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\011.part/CD2.ape rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\098.part/VIDEO_TS.VOB rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\039.part/xxx - BangBus 01 - Reagan.asf rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\008.part/ntg-vengeance_xvid1.avi rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\100.part/South_Park.S06E01.Freak_Strike.NFG.ShareReactor.mpg rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\220.part/Test Drive.cso rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\227.part/Roller Coaster Tycoon 3.iso rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\135.part/Ulead.Video.Studio.v9.0.GERMAN CD1.bin rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\276.part/cyg-iv8a.r36 rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\231.part/The Killers - Somebody Told Me (XFM Session 10-03).mp3 rilevati: Heuristic.ArchiveBomb

Scansionati

Files: 46579
Tracce: 137487
Cookies: 12
Processi: 10

Rilevato

Files: 11
Tracce: 0
Cookies: 0
Processi: 0
Chiavi registro: 0

Fine scansione: 03/09/2007 21.00.28
Tempo scansione: 1.02.34


vi prego ditemi che è tutto a posto, perchè sto diventando pazza.

[demi@n]

Originariamente inviato da Riverside

Intendevi, questa???? .......

No...

Possibile che non esista su questo forum la faccina che si vergona?

Lasciamo però spazio a ekrix, vittima del problema...

[71104]

Originariamente inviato da Riverside

Demi , quel processo è legittimo anche se non e' essenziale.
Viene utilizzato da Apple per diversi software, come, per esempio, ITunes.
E', è anche utilizzato da Photoshop CS3 oppure, per la condivisione di files.
P.S.: controlla la posta in PM.

Originariamente inviato da Riverside

Intendevi, questa???? .......

vabbè ma te prego, provarci con argomenti da nerd è il colmo

mi ricorda tantissimo una certa scena del film "Hackers 2 - Operation Takedown"

e adesso se ne uscirà pure la demi@n sostenendo che nonnò, a lei interessano moltissimo

dal momento che frequento da poco questa sezione e non vi avevo mai letti prima c'è la possibilità che voi due siate già fidanzati, nel qual caso ho fatto una di quelle FDM che sarebbe neanche da manuale, d'autore.

[Riverside]

Originariamente inviato da 71104

mi ricorda tantissimo una certa scena del film "Hackers 2 - Operation Takedown"

Ma tu ad ironia stai messo a zero??
Al posto di intervenire per scrivere cazzate, se hai qualche soluzione da proporre per risolvere il problema segnalato (che non sia la formattazione) sarebbe, anche ben accetta.
P.S.: a me ricordi, "Net - intrappolata nella Rete", ma sono certo che non sei Sandra Bullock.

[Riverside]

Originariamente inviato da ekrix

Allora in modalità provvisoria ho fatto la scansione con antivir ……..

Ricapitoliamo: il log di Antvir ora sembra pulito cosi come è pulito quello di MSNFIX.
Asquared, invece, pare abbia trovato parecchie porcherie che hai beccato su Emule: le hai rimosse?:

Originariamente inviato da ekrix

a-squared Free - Version 3.0
Last update: 03/09/2007 17.24.42
Impostazioni scansione:
Oggetti: Memoria, Tracce, Cookies, C:\
Archivio scansioni: On
Scientifico: On
ADS Scan: On
Scansione avviata: 03/09/2007 19.57.54

C:\WINDOWS.003\wanmpsvc.exe rilevati: Heuristic.Dialer.RAS
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\011.part/CD2.ape rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\098.part/VIDEO_TS.VOB rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\039.part/xxx - BangBus 01 - Reagan.asf rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\008.part/ntg-vengeance_xvid1.avi rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\100.part/South_Park.S06E01.Freak_Strike.NFG.ShareReactor.mpg rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\220.part/Test Drive.cso rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\227.part/Roller Coaster Tycoon 3.iso rilevati: Heuristic.ArchiveBombC:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\135.part/Ulead.Video.Studio.v9.0.GERMAN CD1.bin rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\276.part/cyg-iv8a.r36 rilevati: Heuristic.ArchiveBomb
C:\Documents and Settings\Gianni Dj\Desktop\eMule\Temp\231.part/The Killers - Somebody Told Me (XFM Session 10-03).mp3 rilevati: Heuristic.ArchiveBomb

In ogni caso il problema della localizzazione è sempre presente.
Fa una cosa, ancora: scarica ed installa Vir.IT, aggiornalo e fai una scansione: qui per il download

[ekrix]

Si. li ho rimossi.
Adesso scarico il programma che mi hai detto, e vi riporto i risultati.

[ekrix]

Riguardo al file C:\WINDOWS.003\ wdfmgr.exe , antivir mi ha segnalato che:

"C:\WINDOWS.003\wdfmgr.exe"
contains signature of the worm WORM\sdbot.5416...

e quindi ho confermato l'opzione "nega accesso".

Comunque Vir.IT non ha trovato niente:


VirIT eXplorer Lite Log

[SCANSIONE DELLA MEMORIA]
OK
--------------------------------------------------------
03/09/2007 - 22:23:41

[SCANSIONE DEL REGISTRO]
OK

[A:]
BOOT SECTOR: OK


[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK


[D:]


[E:]


Chiavi Registro infette: 0.
Files Infetti: 0.
Files Sospetti: 0.
Files Analizzati: 30362.
Files Totali: 30362.
Chiavi Registro rimosse: 0.
Virus Rimossi: 0.

[lancetta]

Ciao facciamo un'altra prova ancora.......scaricati Questo VUNDOFIX
sul desktop lancialo metti la spunta su "Run VundoFix as a task" ti darà un messaggio che vundofix si chiuderà e riaprirà in un minuto o meno, quando il programma si riaprirà clicca OK clicca su "Scan for Vundo" quando ha finito di fare la scansione clicca su "Remove vundo" clicca YES alla domanda se vuoi rimuovere i files,quindi inizierà a rimuovere le dll del vundo ,quando ha finito ti dirà che dovrà riavviare il pc clicca OK.
accendi il pc e posta il log che troverai in C:\vundofix.txt....

[ekrix]

Non ha trovato nessun file infetto.

VundoFix V6.5.8

Checking Java version...

Sun Java not detected
Scan started at 11.15.39 04/09/2007

Listing files found while scanning....

No infected files were found.

[j100]

Perdonatemi la domanda:

wdfmgr.exe

non è il programma legittimo di media player (vedasi link)
http://www.parlandosparlando.com/vie...ua_0/whoisit_1
???

Quando capita di file con lo stesso nome stanno altrove (nel caso specifico non in system32), alcune volte uso una tecnica non propriamente professionale ma alquanto atipica:
vado con il puntatore del mouse sul file nella giusta posizione e vedo cosa mi compare come descrizione del file, faccio la stessa cosa sul file nella posizione sbagliata e, molto spesso, su questo file non si sono indicazioni microsoft che magari stavano sul primo, decido in modo totalmente arbitrario che quel file non appartiene a windows e lo cancello senza pensarci due volte.

So che per quest'ultima cosa scritta verrò duramente crititcato ma ... ...spesso (99%) funziona.

[ekrix]

Si però ogni volta che accendo il pc, antivir mi segnala wdfmgr.exe e io confermo l'opzione "nega accesso".
E quando vado per cercare il file nella cartella di WINDOWS non riesco a trovarlo...questo succede perchè ho ho negato l'accesso vero??!!!
quindi ho risolto il problema...
oppure no??!!

comunque ho rifatto una scansione con msn fix...e mi dice sempre che l'infezione è presente.

MSNFix 1.488

C:\Documents and Settings\Gianni Dj\Desktop\MSNFix
Fix effettuato il 04/09/2007 - 13.26.10,54 By Gianni Dj
modalità normale

************************ Cercare i files presenti

... C:\WINDOWS.003\wdfmgr.exe
... C:\WINDOWS.003\Z058_jpg.zip
... C:\WINDOWS.003\system32\microsoft\backup.ftp
... C:\WINDOWS.003\system32\microsoft\backup.tftp
... C:\WINDOWS.003\Z058_jpg.zip

************************ Ricerca le cartelle presenti

Nessuna cartella trovata




************************ Eliminazione dei files

.. OK ... C:\WINDOWS.003\wdfmgr.exe
.. OK ... C:\WINDOWS.003\Z058_jpg.zip
.. OK ... C:\WINDOWS.003\system32\microsoft\backup.ftp
.. OK ... C:\WINDOWS.003\system32\microsoft\backup.tftp
.. OK ... C:\WINDOWS.003\Z058_jpg.zip

[Riverside]

Mi è venuto un dubbio:

Disattiva il Ripristino configurazione di sistema
Provvedi a svuotare del suo contenuto la cartella PREFETCH procedendo in questa maniera:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● cerca, all’interno delle cartelle che verranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimini tutte le voci conservate al suo interno (mi raccomando, non eliminare la cartella).

Installa MSNFIX: clicca qui per il download
● scompatta il file Zip, sul Desktop (verrà creata una cartella)
MSNFIX eseguilo da disconesso.
● lancia MSNFIX File batch
● digita I per impostare la lingua, e, premi invio
● digita R per cercare il malware
● digita N per eliminare ciò che trova
● digita A per creare il log da pubblicare
● digita R per ripulire il registro ed uscire
● digita Q per terminare MSNFix
Verrà creato un log ed un file Zip (lo trovi, assieme al log, all'interno della cartella posizionata sul Desktop), contenente i file infetti rimossi: cestina solo il file Zip, e ripulisci il cestino.
● Terminata la scansione con MSNFIX, riavvia il sistema

Una volta completato MSNFIX, pubblica il suo log, sul Forum, per farlo controllare.

[ekrix]

ho disattivato il ripristino configurazione del sistema, ho svuotato la cartella prefetch che però ,non so perchè, da me si trova nella cartella WINDOWS.003
ho fatto la scansione con msnfix da disconnessa...e non mi ha trovato nessuna infezione.

[Riverside]

Originariamente inviato da ekrix

ho disattivato il ripristino configurazione del sistema, ho svuotato la cartella prefetch che però ,non so perchè, da me si trova nella cartella WINDOWS.003
ho fatto la scansione con msnfix da disconnessa...e non mi ha trovato nessuna infezione.

Per forza, MSNFIX la ha rimossa:

Originariamente inviato da ekrix

MSNFix 1.488
C:\Documents and Settings\Gianni Dj\Desktop\MSNFix
Fix effettuato il 04/09/2007 - 13.26.10,54 By Gianni Dj
modalità normale

* Cercare i files presenti

... C:\WINDOWS.003\wdfmgr.exe
... C:\WINDOWS.003\Z058_jpg.zip
... C:\WINDOWS.003\system32\microsoft\backup.ftp
... C:\WINDOWS.003\system32\microsoft\backup.tftp
... C:\WINDOWS.003\Z058_jpg.zip

* Ricerca le cartelle presenti

Nessuna cartella trovata

* Eliminazione dei files

.. OK ... C:\WINDOWS.003\wdfmgr.exe
.. OK ... C:\WINDOWS.003\Z058_jpg.zip
.. OK ... C:\WINDOWS.003\system32\microsoft\backup.ftp
.. OK ... C:\WINDOWS.003\system32\microsoft\backup.tftp
.. OK ... C:\WINDOWS.003\Z058_jpg.zip

Una cosa è sicura: con tutte le scansioni che ti abbiamo fatto eseguire in questi giorni, ora hai il P.C. più pulito del mondo.
Per quanto riguarda il problema di C:\WINDOWS.003 (fermo restando che, a mi parere, tutto ciò che è localizzato li dentro, è legittimo), ho esaurito le idee.
Nel corso della discussione, j100 aveva suggerito:

Originariamente inviato da j100

Il windows.003 .... se non ricordo male .... proviene dalla terza installazione di windows senza la rimozione delle versioni precedenti …..

Per caso, nel corso del tempo, hai ripristinato, utilizzando il CD di Windows, il sistema?.

[ekrix]

no, non ho ripristinato nulla.
Comunque è strano perchè io nel disco locale (C) ho sia una cartella chiamata WINDOWS, un'altra WINDOWS.000, un'altra ancora WINDOWS.001, poi WINDOWS.002 e WINDOWS.003....
ma è normale??

[Riverside]

Originariamente inviato da ekrix

no, non ho ripristinato nulla.
Comunque è strano perchè io nel disco locale (C) ho sia una cartella chiamata WINDOWS, un'altra WINDOWS.000, un'altra ancora WINDOWS.001, poi WINDOWS.002 e WINDOWS.003.... ma è normale??

No che non lo è.
Ed è quello che stiamo cercando di capire, praticamente da quando hai aperto la discussione.
Puoi pubblicare uno screen del contenuto della cartella C:\WINDOWS??.

[lancetta]

e potresti vedere nelle proprietà della cartella a che data risalgono?