Attacco virale!

[morpheus85]

Stavo facendo partire tvants che uso solitamente per la tv online..
E sono stato sommerso di avvisi del Norton che diceva di aver eliminato svariati virus, saranno stati una decina..
Subito dopo ho fatto diverse scansioni con Adaware con Ccleaner che qualcosa hanno trovato, infine con lo stesso Norton che però non è riuscito ad eliminare "Bar888" ora sto facendo una scansione con Bitdefender, questo è il log di HijackThis:

Logfile of HijackThis v1.99.0
Scan saved at 21.47.44, on 20/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\Symantec Shared\ccProxy.exe
C:\Programmi\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\ssoftsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\Programmi\ATI Technologies\ATI.ACE\CLI.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\SpeedTouch\Dr SpeedTouch\drst.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programmi\File comuni\Symantec Shared\cfgwiz.exe
C:\PROGRA~1\NORTON~1\NORTON~1\navw32.exe
C:\Programmi\Opera\Opera.exe
C:\Documents and Settings\Admin\Desktop\hijackthis contro virus\HijackThis.exe
C:\Programmi\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://hao123.union123.com/index.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://hao123.union123.com/index.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: CNisExtBho Class - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: VGOIEHelper Class - {B6FA00D9-86EC-4158-9488-D00DFF897E86} - C:\Programmi\21cn\VGO\VGOIEBHO.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O2 - BHO: Bar888 - {C1B4DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\FILECO~1\{3CB8E~1\Bar888.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Bar888 - {C1B4DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\FILECO~1\{3CB8E~1\Bar888.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Programmi\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programmi\File comuni\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [REGSHAVE] C:\Programmi\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [ATICCC] "C:\Programmi\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [Setup] C:\Programmi\Setup\Setup.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [sdafdsafds] C:\WINDOWS\temp\162.exe
O4 - HKLM\..\Run: [C:\WINDOWS\system32\drivers\ttp.exe] C:\WINDOWS\system32\drivers\ttp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [IncrediMail] C:\Programmi\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [STManager] "C:\Programmi\SpeedTouch\Dr SpeedTouch\drst.exe" -b
O4 - HKCU\..\Run: [Nero PhotoShow Media Manager] C:\PROGRA~1\Nero\NEROPH~1\data\Xtras\mssysmgr.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Tasto di scelta rapida per l'avvio di AutoCAD.lnk = C:\Programmi\File comuni\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra button: ²Æ¸»Í¨ - {C1F0024B-8278-4999-B7E6-2718426D9FE6} - C:\Programmi\²Æ¸»Í¨\caif.dll (file missing) (HKCU)
O17 - HKLM\System\CCS\Services\Tcpip\..\{9E58D6CC-0161-4D5E-8696-51DBDF50DE00}: NameServer = 193.12.150.2 212.247.152.2
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programmi\File comuni\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: Client IP-IPX - Unknown - C:\WINDOWS\system32\svchosts.exe (file missing)
O23 - Service: Servizio Norton AntiVirus Auto-Protect - Symantec Corporation - C:\Programmi\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmi\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: Cryptainer service - Unknown - ssoftsrv.exe (file missing)
O23 - Service: SymWMI Service - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe

Ci vedete niente?

[morpheus85]

Questo il report di Bitdefender:

Statistics

Scan path : C:\WINDOWS\system32\
Folders : 175
Files : 7391
Archives : 34
Packed files : 324
Identified viruses : 8
Infected files : 10
Warnings : 0
Suspect files : 0
Disinfected files : 0
Deleted files : 0
Copied files : 0
Moved files : 5
Renamed files : 0
I/O errors : 12
Scan time : 00:05:40
Scan speed (files/sec) : 21

Virus definitions : 389165
Scan plugins : 14
Archive plugins : 38
Unpack plugins : 6
Mail plugins : 6
System plugins : 1

[morpheus85]

Summary:

C:\WINDOWS\system32\1010s.exe=>(NSIS o)=>lzma_solid_nsis0001 Infected Trojan.Downloader.Small.R
C:\WINDOWS\system32\1010s.exe=>(NSIS o)=>lzma_solid_nsis0001 Disinfection failed
C:\WINDOWS\system32\1010s.exe=>(NSIS o)=>lzma_solid_nsis0001 Move failed
C:\WINDOWS\system32\3A5EC5B2.EXE Infected Backdoor.Agent.ACP
C:\WINDOWS\system32\3A5EC5B2.EXE Disinfection failed
C:\WINDOWS\system32\3A5EC5B2.EXE Moved
C:\WINDOWS\system32\3A5EC5B2T.EXE Infected Backdoor.Agent.ACP
C:\WINDOWS\system32\3A5EC5B2T.EXE Disinfection failed
C:\WINDOWS\system32\3A5EC5B2T.EXE Moved
C:\WINDOWS\system32\auto18.exe Infected Trojan.Ianugoph.A
C:\WINDOWS\system32\auto18.exe Disinfection failed
C:\WINDOWS\system32\auto18.exe Moved
C:\WINDOWS\system32\bind_50099.exe Infected Trojan.Downloader.Small.R
C:\WINDOWS\system32\bind_50099.exe Disinfection failed
C:\WINDOWS\system32\bind_50099.exe Moved
C:\WINDOWS\system32\cryptimg.dll Infected Trojan.Downloader.Agent.AYG
C:\WINDOWS\system32\cryptimg.dll Disinfection failed
C:\WINDOWS\system32\cryptimg.dll Move failed: Quarantine full
C:\WINDOWS\system32\t21.exe=>(NSIS o)=>lzma_nsis0004 Infected Trojan.Adload.H
C:\WINDOWS\system32\t21.exe=>(NSIS o)=>lzma_nsis0004 Disinfection failed
C:\WINDOWS\system32\t21.exe=>(NSIS o)=>lzma_nsis0004 Move failed
C:\WINDOWS\system32\tubar1250.exe=>(NSIS o)=>lzma_solid_nsis0001 Infected Trojan.Downloader.Agent.AZI
C:\WINDOWS\system32\tubar1250.exe=>(NSIS o)=>lzma_solid_nsis0001 Disinfection failed
C:\WINDOWS\system32\tubar1250.exe=>(NSIS o)=>lzma_solid_nsis0001 Move failed
C:\WINDOWS\system32\tubar1250.exe=>(NSIS o)=>lzma_solid_nsis0003 Infected Trojan.Downloader.Small.DK
C:\WINDOWS\system32\tubar1250.exe=>(NSIS o)=>lzma_solid_nsis0003 Disinfection failed
C:\WINDOWS\system32\tubar1250.exe=>(NSIS o)=>lzma_solid_nsis0003 Move failed
C:\WINDOWS\system32\tubar1250.exe=>(NSIS o)=>lzma_solid_nsis0004 Infected Trojan.Downloader.Harnig.XB
C:\WINDOWS\system32\tubar1250.exe=>(NSIS o)=>lzma_solid_nsis0004 Disinfection failed
C:\WINDOWS\system32\tubar1250.exe=>(NSIS o)=>lzma_solid_nsis0004 Move failed

[Gianky....! :D :)]

Originariamente inviato da morpheus85

Bhe sei rimasto infetto...
Il norton non è riuscito a fare il lavoro di antivirus...
Quindi disistallalo pulisci il pc con ccleaner scarica kaspersky o bitdefender e scansiona da modalità provvisoria...
Infine scansiona con AVG Antispyware ed hai finito...
Tutti i problemi spariti nel 90%dei casi..
Ciao

P.S. Addirittura hai anche un trojan downloader e una Backdoor!!!
P.S.2 La scansione on-line di bitdefender non è riuscita a levare i virus identificati...

[morpheus85]

Se riavvio ora c'è qualche remota possibilità di non aceddere più a windows per caso?

[gomax]

Ancora una volta, Norton si dimostra bravo a "gridare" e ad aprire finestrelle di allarme quando ormai la frittata è fatta disinstallalo per bene, carica il Kaspersky, aggiornalo, e fai una scansione completa da modalità provvisoria.

Ciao

[c.m.g]

Originariamente inviato da gomax

Ancora una volta, Norton si dimostra bravo a "gridare" e ad aprire finestrelle di allarme quando ormai la frittata è fatta disinstallalo per bene, carica il Kaspersky, aggiornalo, e fai una scansione completa da modalità provvisoria.

Ciao

parole sante! ( x il norton)

[morpheus85]

Sembra che non si riesca a procedere da modalità provvisoria.
Con Kaspersky in modalità normale rileva diversi virus che dice di poter eliminare al riavvio ma subito dopo sono dinuovo presenti...

Come dicevo in modalità provvisoria facendo partire la scansione il programma occupa praticamente la CPU al 100% e non apre alcuna finestra di visualizzazione. Non penso che sia normale...
Sono in procinto di formattare... Tanto ormai una volta più una volta meno con tutti i casini diversi che si presentano regolarmente è diventata un abitudine!

[c.m.g]

Originariamente inviato da morpheus85

Sembra che non si riesca a procedere da modalità provvisoria.
Con Kaspersky in modalità normale rileva diversi virus che dice di poter eliminare al riavvio ma subito dopo sono dinuovo presenti...

Come dicevo in modalità provvisoria facendo partire la scansione il programma occupa praticamente la CPU al 100% e non apre alcuna finestra di visualizzazione. Non penso che sia normale...
Sono in procinto di formattare... Tanto ormai una volta più una volta meno con tutti i casini diversi che si presentano regolarmente è diventata un abitudine!

se nn vuoi che si ripresenti più il virus disattiva per sempre il ripristino configurazione di sistema e il gioco è fatto, poi cambia antivirus!
ma per curiosità: che versione di norton hai?

[morpheus85]

Originariamente inviato da c.m.g

se nn vuoi che si ripresenti più il virus disattiva per sempre il ripristino configurazione di sistema e il gioco è fatto, poi cambia antivirus!
ma per curiosità: che versione di norton hai?

Con il Norton fino ad ora non avevo mai avuto grossi problemi.
Si tratta del Norton Security 2004
Ho provato a disattivare il ripristino ma non è servito a nulla. Come ho detto da provvisorio non riuscivo a fare scansioni alla fine ho formattato.
Fortunatamente l'altro pc in rete è pulito, gli ho messo Caspersky...

[c.m.g]

Originariamente inviato da morpheus85

Con il Norton fino ad ora non avevo mai avuto grossi problemi.
Si tratta del Norton Security 2004
Ho provato a disattivare il ripristino ma non è servito a nulla. Come ho detto da provvisorio non riuscivo a fare scansioni alla fine ho formattato.
Fortunatamente l'altro pc in rete è pulito, gli ho messo Caspersky...

bravo, vedrai che differenza!!!

[Gianky....! :D :)]

Originariamente inviato da morpheus85

Norton Security 2004

Tutto spiegato in 3 parole
Cmq se continui ad avere problemi ti suggerisco un formattone che può farti solo bene...

[morpheus85]

Originariamente inviato da Gianky....! :D :)

Tutto spiegato in 3 parole
Cmq se continui ad avere problemi ti suggerisco un formattone che può farti solo bene...

Prima di quel giorno è sempre andato tutto bene...
Ho già formattato... Non riuscivo a risolvere il problema nonostante i consigli...
Ora con Kaspersky6 dovrebbe andare un po meglio..