Aiuto trojan su programmi avvio

[tatovm2s]

Ciao a tutti, ho un problemone con un trojan. All'avvio il mio Antivir dopo l'aggiornamento di ieri sera, rileva un bel po' di file eseguibili e dell'avvio rapido infetti da un trojan che Antivir mi dice essere:
TR/Dldr.Obfuscated.BK

Qualcuno saprebbe darmi una mano gentilmente? Grazie

[raffree]

Posta il log di Hijackthis

[wizard1993]

instant access tanto per capirsi

posta il log di findawf

[tatovm2s]

ecco il log


Find AWF report by noahdfear ©2006


bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\WINDOWS\BAK

11/05/2000 02.00 90.112 UpdReg.EXE
1 File 90.112 byte
2 Directory 112.083.779.584 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\ANTIVI~1\BAK

21/08/2006 13.06 241.704 avgnt.exe
1 File 241.704 byte
2 Directory 112.083.779.584 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\DAEMON~1\BAK

12/11/2006 12.48 157.592 daemon.exe
1 File 157.592 byte
2 Directory 112.083.775.488 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\MSNMES~1\BAK

0 File 0 byte
2 Directory 112.083.775.488 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\WINDOWS\SYSTEM32\BAK

19/08/2004 15.39 15.360 ctfmon.exe
09/07/2001 11.50 155.648 NeroCheck.exe
2 File 171.008 byte
2 Directory 112.083.775.488 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\ATITEC~1\ATICON~1\BAK

25/11/2003 22.10 335.872 atiptaxx.exe
1 File 335.872 byte
2 Directory 112.083.775.488 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\CREATIVE\SHAREDLL\BAK

26/12/2001 04.00 191.488 CtNotify.exe
1 File 191.488 byte
2 Directory 112.083.775.488 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\CREATIVE\SPLASH~1\BAK

20/12/2001 02.00 28.672 CTEaxSpl.EXE
1 File 28.672 byte
2 Directory 112.083.775.488 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\SYGATE\SPF\BAK

30/06/2004 17.56 2.376.928 smc.exe
1 File 2.376.928 byte
2 Directory 112.083.775.488 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\TRUST\TRUSTM~1\BAK

03/09/2006 23.00 462.848 CnxDslTb.exe
1 File 462.848 byte
2 Directory 112.083.775.488 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\CREATIVE\SBLIVE\AUDIOHQ\BAK

0 File 0 byte
2 Directory 112.083.775.488 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\CREATIVE\SBLIVE\PROGRAM\BAK

04/10/2001 02.00 28.672 ADGJDet.exe
1 File 28.672 byte
2 Directory 112.083.771.392 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\JAVA\JRE15~2.0_0\BIN\BAK

12/10/2006 04.10 49.263 jusched.exe
1 File 49.263 byte
2 Directory 112.083.771.392 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\CREATIVE\SBLIVE\REMOTE~1\RC\BAK

31/01/2002 02.40 122.880 Rcman.exe
1 File 122.880 byte
2 Directory 112.083.771.392 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~

24076 5 Apr 2007 "C:\WINDOWS\UpdReg.EXE"
90112 11 May 2000 "C:\WINDOWS\bak\UpdReg.EXE"
262184 5 Apr 2007 "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe"
241704 21 Aug 2006 "C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe"
24076 5 Apr 2007 "C:\Programmi\DAEMON Tools\daemon.exe"
157592 12 Nov 2006 "C:\Programmi\DAEMON Tools\bak\daemon.exe"
15360 19 Aug 2004 "C:\WINDOWS\system32\ctfmon.exe"
15360 19 Aug 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
24076 5 Apr 2007 "C:\WINDOWS\system32\NeroCheck.exe"
155648 9 Jul 2001 "C:\WINDOWS\system32\bak\NeroCheck.exe"
24076 5 Apr 2007 "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
335872 25 Nov 2003 "C:\Programmi\ATI Technologies\ATI Control Panel\bak\atiptaxx.exe"
24076 5 Apr 2007 "C:\Programmi\Creative\ShareDLL\CtNotify.exe"
191488 26 Dec 2001 "C:\Programmi\Creative\ShareDLL\bak\CtNotify.exe"
24076 5 Apr 2007 "C:\Programmi\Creative\Splash Screen\CTEaxSpl.EXE"
28672 20 Dec 2001 "C:\Programmi\Creative\Splash Screen\bak\CTEaxSpl.EXE"
2376928 30 Jun 2004 "C:\Programmi\Sygate\SPF\Smc.exe"
2376928 30 Jun 2004 "C:\Programmi\Sygate\SPF\bak\smc.exe"
2577632 15 Oct 2004 "E:\Programmi\Sygate\SPF\Smc.exe"
24076 5 Apr 2007 "C:\Programmi\Trust\Trust MD3100 USB ADSL MODEM\CnxDslTb.exe"
462848 3 Sep 2006 "C:\Programmi\Trust\Trust MD3100 USB ADSL MODEM\bak\CnxDslTb.exe"
24076 5 Apr 2007 "C:\Programmi\Creative\SBLive\Program\ADGJDet.exe"
28672 4 Oct 2001 "C:\Programmi\Creative\SBLive\Program\bak\ADGJDet.exe"
36975 10 Nov 2005 "C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe"
24076 5 Apr 2007 "C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe"
49263 12 Oct 2006 "C:\Programmi\Java\jre1.5.0_09\bin\bak\jusched.exe"
32873 19 Aug 2003 "C:\Programmi\Techland\Xpand Rally Xtreme\jre\bin\jusched.exe"
24076 5 Apr 2007 "C:\Programmi\Creative\SBLive\RemoteCenter\Rc\Rcman.exe"
122880 31 Jan 2002 "C:\Programmi\Creative\SBLive\RemoteCenter\Rc\bak\Rcman.exe"


end of report

[wizard1993]

e che ti avevo detto

con the avanger http://www.megalab.it/articoli.php?id=946

insersci questo script


Files to move:
C:\WINDOWS\bak\UpdReg.EXE | C:\WINDOWS\UpdReg.EXE
C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe | C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\DAEMON Tools\bak\daemon.exe | C:\Programmi\DAEMON Tools\daemon.exe
C:\WINDOWS\system32\bak\ctfmon.exe | C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\bak\NeroCheck.exe | C:\WINDOWS\system32\NeroCheck.exe
C:\Programmi\ATI Technologies\ATI Control Panel\bak\atiptaxx.exe | C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Sygate\SPF\bak\smc.exe | C:\Programmi\Sygate\SPF\smc.exe
C:\Programmi\Trust\Trust MD3100 USB ADSL MODEM\bak\CnxDslTb.exe | C:\Programmi\Trust\Trust MD3100 USB ADSL MODEM\CnxDslTb.exe
C:\Programmi\Creative\SBLive\Program\bak\ADGJDet.exe | C:\Programmi\Creative\SBLive\Program\ADGJDet.exe
C:\Programmi\Java\jre1.5.0_09\bin\bak\jusched.exe | C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe
C:\Programmi\Creative\SBLive\RemoteCenter\Rc\bak\Rcman.exe | C:\Programmi\Creative\SBLive\RemoteCenter\Rc\Rcman.exe

[tatovm2s]

ok, questo è lo script di risposta. Now?

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\djugqrjm

*******************

Script file located at: \??\C:\WINDOWS\system32\pgjdiwww.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File move operation C:\WINDOWS\bak\UpdReg.EXE|C:\WINDOWS\UpdReg.EXE completed successfully.
File move operation C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe|C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe completed successfully.
File move operation C:\Programmi\DAEMON Tools\bak\daemon.exe|C:\Programmi\DAEMON Tools\daemon.exe completed successfully.
File move operation C:\WINDOWS\system32\bak\ctfmon.exe|C:\WINDOWS\system32\ctfmon.exe completed successfully.
File move operation C:\WINDOWS\system32\bak\NeroCheck.exe|C:\WINDOWS\system32\NeroCheck.exe completed successfully.
File move operation C:\Programmi\ATI Technologies\ATI Control Panel\bak\atiptaxx.exe|C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe completed successfully.
File move operation C:\Programmi\Sygate\SPF\bak\smc.exe|C:\Programmi\Sygate\SPF\smc.exe completed successfully.
File move operation C:\Programmi\Trust\Trust MD3100 USB ADSL MODEM\bak\CnxDslTb.exe|C:\Programmi\Trust\Trust MD3100 USB ADSL MODEM\CnxDslTb.exe completed successfully.
File move operation C:\Programmi\Creative\SBLive\Program\bak\ADGJDet.exe|C:\Programmi\Creative\SBLive\Program\ADGJDet.exe completed successfully.
File move operation C:\Programmi\Java\jre1.5.0_09\bin\bak\jusched.exe|C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe completed successfully.
File move operation C:\Programmi\Creative\SBLive\RemoteCenter\Rc\bak\Rcman.exe|C:\Programmi\Creative\SBLive\RemoteCenter\Rc\Rcman.exe completed successfully.

Completed script processing.

*******************

[lucas84]

elimina le cartelle bak

C:\WINDOWS\bak <-----
C:\Programmi\AntiVir PersonalEdition Classic\bak <-----
C:\Programmi\DAEMON Tools\bak <-----
C:\WINDOWS\system32\bak <-----
C:\Programmi\ATI Technologies\ATI Control Panel\bak <-----
C:\Programmi\Creative\ShareDLL\bak <-----
C:\Programmi\Creative\Splash Screen\bak <-----
C:\Programmi\Sygate\SPF\bak <-----
C:\Programmi\Trust\Trust MD3100 USB ADSL MODEM\bak <-----
C:\Programmi\Creative\SBLive\Program\bak <-----
C:\Programmi\Java\jre1.5.0_09\bin\bak <-----
C:\Programmi\Creative\SBLive\RemoteCenter\Rc\bak <-----

Se vuoi, disinstalla il java jre1.5.0_09 ed installa la versione + recente
https://sdlc6a.sun.com/ECom/EComActi...DFBDDF7DDA92E2

Ciao

[tatovm2s]

ho cancellato le cartelle però mi escono acnora messaggi di errore quindi ho rifatto il log con FindAWF ed è uscito ciò:


Find AWF report by noahdfear ©2006


bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\MSNMES~1\BAK

0 File 0 byte
2 Directory 112.133.738.496 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\CREATIVE\SBLIVE\AUDIOHQ\BAK

0 File 0 byte
2 Directory 112.133.738.496 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~



end of report

[wizard1993]

perfetto, sei pulito

[tatovm2s]

Originariamente inviato da wizard1993

perfetto, sei pulito

eppure mi escono ancora tre file infetti!!

[tatovm2s]

help

[Bugs Bunny]

dove te li trova i files infetti?

[tatovm2s]

Originariamente inviato da Bugs Bunny

dove te li trova i files infetti?

nella cartella della creative, dove c'è tutto l'ambaradam per la scheda audio

[wizard1993]

reinstalla la roba crative; altrimenti posta un log di hijackthis; c'è qualcosa che mi è sfuggito;

[tatovm2s]

ecco il log di hijackthis

Logfile of HijackThis v1.99.1
Scan saved at 17.15.21, on 22/04/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Sygate\SPF\smc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Trust\Trust MD3100 USB ADSL MODEM\CnxDslTb.exe
C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\MSN Messenger\MsnMsgr.Exe
C:\Programmi\DAEMON Tools\daemon.exe
C:\Programmi\Creative\SBLive\RemoteCenter\Rc\Rcman.exe
C:\Programmi\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\MSN Messenger\usnsvc.exe
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\dario\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Coolstreaming Tool-Bar v1.0 Toolbar - {bd0e4d83-654e-4213-965b-fcbe887061f4} - C:\Programmi\Coolstreaming_Tool-Bar_v1.0\tbCool.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O2 - BHO: Coolstreaming Tool-Bar v1.0 Toolbar - {bd0e4d83-654e-4213-965b-fcbe887061f4} - C:\Programmi\Coolstreaming_Tool-Bar_v1.0\tbCool.dll
O3 - Toolbar: Coolstreaming Tool-Bar v1.0 Toolbar - {bd0e4d83-654e-4213-965b-fcbe887061f4} - C:\Programmi\Coolstreaming_Tool-Bar_v1.0\tbCool.dll
O4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Programmi\Trust\Trust MD3100 USB ADSL MODEM\CnxDslTb.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [AudioHQ] C:\Programmi\Creative\SBLive\AudioHQ\AHQTB.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Disc Detector] C:\Programmi\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programmi\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [CTStartup] C:\Programmi\Creative\Splash Screen\CTEaxSpl.EXE /run
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Programmi\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [RemoteCenter] C:\Programmi\Creative\SBLive\RemoteCenter\Rc\Rcman.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {0835BC90-6ABC-4F52-A103-4FC3A61F2C33} (A18X Control) - http://www.albatross18.com/season2/cabs/A18X.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{7B82CFE5-8EFE-4B6B-B895-B9E12C7232D0}: NameServer = 193.70.152.15 193.70.152.25
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Programmi\Canon\CAL\CALMAIN.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programmi\Sygate\SPF\smc.exe

[Draven94]

Log pulito...

[Bugs Bunny]

visto che sono in avvio automatico potrebbero essere stati infettati anche quelli...

riposta il log di findawf per sicurezza

[tatovm2s]

Find AWF report by noahdfear ©2006


bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\MSNMES~1\BAK

0 File 0 byte
2 Directory 111.743.631.360 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~



end of report

[Draven94]

Originariamente inviato da tatovm2s

Find AWF report by noahdfear ©2006


bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 8444-BD97

Directory di C:\PROGRA~1\MSNMES~1\BAK

0 File 0 byte
2 Directory 111.743.631.360 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~



end of report

In base a questo report non sei infetto...

[tatovm2s]

eh nn so, ogni volta all'avvio mi escono gli avvisi di questi 3 file infetti nella cartella creative sempre con quel trojan lì