Trojan-Spy.HTML.Bayfraud.hn

[Freshman06]

Ciao a tutti,
mi sono appena iscritto. Volevo chiedervi gentilmente informazioni su come rimuovere il trojan indicato in oggetto, e quali danni può eventualmente provocare. Io ho Avast come antivirus attivo, inoltre ho installato anche Bitdefender come suggerito nel link in rilievo: tuttavia, per entrambi gli antivirus il sistema risulta pulito. Invece la scansione on-line con Kaspersky ha rilevato la suddetta infezione. Ho anche provato a cercare lo strumento di rimozione specifico nei siti che avete indicato, ma non trovo nulla. Grazie mille in anticipo a chi potrà eventualmente darmi qualche dritta! Buona giornata a tutti!

[Stev-O]

fai una scansione anche con ewido e poi se non risolvi posta il log di hijackthis
anzi postalo ugualmente tanto ci sarà qualche residuo penso

[Freshman06]

Grazie mille per la risposta, che celerità! Provo prima a fare la scansione con Ewido e poi eventualmente posto il log!

[Stev-O]

bene

[Freshman06]

Anche per Ewido il sistema risulta pulito. La scansione on-line di Kaspersky continua a rilevare l'infezione. Ecco il log comunque, grazie in anticipo se qualcuno avrà la pazienza di aiutarmi...

Logfile of HijackThis v1.99.1
Scan saved at 11.09.04, on 25/03/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Trust\Trust 235A USB ADSL MODEM\CnxDslTb.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\WINDOWS\ALCMTR.EXE
C:\Programmi\File comuni\InterVideo\SchSvr\SchSvr.exe
C:\PROGRAMMI\ATI TECHNOLOGIES\ATI CONTROL PANEL\ATIPTAXX.EXE
C:\PROGRA~2\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\programmi\softwin\bitdefender8\bdnagent.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Eraser\eraser.exe
C:\Programmi\Zone Labs\ZoneAlarm\zapro.exe
C:\WINDOWS\System32\ZoneLabs\vsmon.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\ZoneLabs\MINILOG.EXE
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\Documenti Luca\Eseguibili\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~2\SPYBOT~1\SDHELPER.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programmi\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [ULiRaid] C:\Programmi\ULI5287\ULiRaid.exe
O4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Programmi\Trust\Trust 235A USB ADSL MODEM\CnxDslTb.exe"
O4 - HKLM\..\Run: [Collegamento alla pagina delle proprietà di High Definition Audio] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Home Theater SchSvr] "C:\Programmi\File comuni\InterVideo\SchSvr\SchSvr.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\PROGRAMMI\ATI TECHNOLOGIES\ATI CONTROL PANEL\ATIPTAXX.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~2\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [WINCINEMAMGR] C:\Programmi\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programmi\File comuni\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [BDNewsAgent] "c:\programmi\softwin\bitdefender8\bdnagent.exe"
O4 - HKLM\..\RunServices: [NT SYSTEM INFORMATION] mstint.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Eraser] C:\Programmi\Eraser\eraser.exe -hide
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Adobe Gamma Loader.exe.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: ZoneAlarm Pro.lnk = C:\Programmi\Zone Labs\ZoneAlarm\zapro.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english...an_unicode.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/reso...an8/oscan8.cab
O16 - DPF: {7B297BFD-85E4-4092-B2AF-16A91B2EA103} (WScanCtl Class) - http://www3.ca.com/securityadvisor/v...fo/webscan.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary...o.cab32846.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/is...87/mcfscan.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~2\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\SYSTEM32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe
O23 - Service: TrueVector Basic Logging Client (minilog) - Zone Labs Inc. - C:\WINDOWS\System32\ZoneLabs\MINILOG.EXE
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\System32\ZoneLabs\vsmon.exe
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

[andorra24]

Il tuo trojan dovrebbe essere questo:

O4 - HKLM\..\RunServices: [NT SYSTEM INFORMATION] mstint.exe

[wgator]

Ciao,

devi fare fuori questo:
O4 - HKLM\..\RunServices: [NT SYSTEM INFORMATION] mstint.exe

Controlla anche
O4 - HKLM\..\Run: [ULiRaid] C:\Programmi\ULI5287\ULiRaid.exe

Non lo conosco, non so se è un driver della tua MoBo o altro... Verifica!

P.S.

la prossima volta, i log nell'apposito thread

[wgator]

Originariamente inviato da andorra24

Il tuo trojan dovrebbe essere questo:

O4 - HKLM\..\RunServices: [NT SYSTEM INFORMATION] mstint.exe

poi vi lamentate dei mod lavativi che non controllano i log degli utenti. Sbuchi fuori dal nulla e precedi sempre tutti

@Freshman06: se ti è possibile, aggiorna il S.O.

[andorra24]

Originariamente inviato da wgator

poi vi lamentate dei mod lavativi che non controllano i log degli utenti. Sbuchi fuori dal nulla e precedi sempre tutti

Beh mica sbuco fuori dal nulla. E' da un'oretta che sono loggata.

[Stev-O]

ma un conto è fare un log (semplice) ogni tanto un conto è farseli tutti

[Freshman06]

Vi ringrazio molto per l'aiuto, e scusate se ho postato il log nel posto sbagliato, qual è la sezione giusta? Per aggiornare il s.o. intendi ovviamente eseguire regolarmente gli aggiornamenti di Windows Update, immagino...

[SkunkWorks 68]

Originariamente inviato da Freshman06

Vi ringrazio molto per l'aiuto, e scusate se ho postato il log nel posto sbagliato, qual è la sezione giusta? Per aggiornare il s.o. intendi ovviamente eseguire regolarmente gli aggiornamenti di Windows Update, immagino...

Più che altro mettere il SP 2,dal momento che hai solo il SP 1...e poi tutti gli ulteriori aggiornamenti.
Ciao

[andorra24]

Originariamente inviato da Freshman06

Vi ringrazio molto per l'aiuto, e scusate se ho postato il log nel posto sbagliato, qual è la sezione giusta? Per aggiornare il s.o. intendi ovviamente eseguire regolarmente gli aggiornamenti di Windows Update, immagino...

Il thread dove postare il log di hijackthis e' questo:
http://www.hwupgrade.it/forum/showthread.php?t=937676

Per aggiornare il SO intendeva di mettere il SP2, tu hai ancora il SP1.

[Freshman06]

Ok, ricevuto. Grazie ancora!