Colonia di virus (song911,cn911,Autorun-I [Trj],Trojan.PWS.WoW.NCH)

[000577]

Ciao a tutti sono Alessandro...l'altro giorno mentre lavoravo sul mio pc inserendo una pendrive Avast ha rilevato un virus in autorun.inf cioè "Autorun-I [Trj]" che nn so se stava nella penna o nel pc (io presumo nel pc); pochi minuti dopo è comparso un avviso che mi avvisava della chiusura del programma song911.exe (credo ke questo sia un altro virus)...inoltre nel regedit si sono generate tre stringhe:

Cn911, SpecialAccounts, Nuovo
Cn911, Notify, Nuovo
Cn911, GPExtensions, Nuovo

che credo siano in qualche modo collegate a song911 data la somiglianza del nome (so delle stringhe perchè utilizzo RegCleaner che all'apertura mi avvisa delle nuove stringhe del pc)...

Dopo aver effettuato a banzai una serie di scansioni on-line:

-BitDefender ScanOnLine
-ZoneAlarm Scanner Spyware
-Symantec Norton Security Check
-Kaspersky Virus Scanner
-A-Squared Web Malware Scanner

solo il primo ha rilevato l'infezione e ha curato alcuni file a meno di fsmgmt.dll che ho rimosso manualmente con Hijackthis...
Per sicurezza sia ieri che stamattina ho effettuato due scansioni con BitDefender ma entrambe le volte il programma ha trovato ed eliminato (dice lui) un file "Trojan.PWS.WoW.NCH" che si insidia in un file "NewLoader[1]" che si trova in una cartella nascosta di Documents and Settings"...inoltre proprio ora sto effettuando una scansione con F-Secure OnLine Scanner che pare abbia trovato qualcos'altro che però nn so dirvi in quando deve terminare la scansione...ora oltre che andare a Lourdes cosa posso fare a debellare definitivamente questi virus e i loro figlioletti????...HELPPPP!!!
Inoltre uso quotidianamente CCleaner settato come da forum!

Grazie mille in anticipo per la pazienza!
PS.Qualcuno sa darmi delle nozioni sintetiche delle funzioni di Hijackthis perchè nn so proprio usarlo!

[xcdegasp]

Ti propongo un metodo operativo facile e ben descritto, ossia di seguire la procedura delineata in Guida alla Disinfezione per Infetti pubblicando tutti log richiesti, più dati abbiamo in mano e più riusciremo ad avvicinarci in modo preciso e veloce alla soluzione

leggi anche le Regole di Sezione per sapere come pubblicarli, il mio consiglio è di prediligere l'upload sul servizio di host gratuito, purchè poi davanti al link metti il nome del programma che lo ha generato

[000577]

Ho eseguito tutte le operazioni che mi hai chiesto di fare...spero di aver fatto bene xkè nn sono un esperto in materia di virus & co....inoltre ho letto la sezione relativa all'upload ma nn c'ho capito molto...infatti ora sto provando a fare l'upload di tutti i log che ho generato ma credo nn sia possibile...cosa devo fare?

[Chill-Out]

I log li hosti qui http://www.fileup.itadib.com/index.php uno per volta in formato .txt, nel prossimo post ci indichi i link dove prelevarli

[000577]

Ragazzi ho allegato tutti i log e li ho sistemati in modo che si capisca quale programma li ha generati..piccola parentesi:voi di Hardware Upgrade siete i migliori!!!

adsr_log
http://www.fileup.itadib.com/downloa...PaPKI69y2puxj9

A-squared_log
http://www.fileup.itadib.com/downloa...7q6dqqUrfbqfOM

F-Secure Online Scanner _log
http://www.fileup.itadib.com/downloa...2Q8d4SPeQzBVIH

gmer_log
http://www.fileup.itadib.com/downloa...kCuF0YE60l9cBB

hijackthis_log
http://www.fileup.itadib.com/downloa...Da52AqpdkUy1JT

Prevx_log
http://www.fileup.itadib.com/downloa...dgy2jSwHYikjfd

[Chill-Out]

Allega il log di Prevx CSI -> dopo aver terminato la scansione cliccare su "Option - Save log"

[000577]

Eccolo qui:
prevx_log
http://www.fileup.itadib.com/downloa...CoriCTQSLD9KDA

[Chill-Out]

Disattiva Ripristino configurazione sistema
Clicca sul pulsante Start, clicca con il pulsante destro del mouse su Risorse del computer, quindi scegliere Proprietà.
Nella finestra di dialogo Proprietà del sistema scegliere la scheda Ripristino configurazione di sistema.
Selezionare la casella di controllo Disattiva Ripristino configurazione di sistema. In alternativa selezionare la casella di controllo Disattiva Ripristino configurazione di sistema su tutte le unità.
Scegliere OK.
Quando viene visualizzato il messaggio seguente, scegliere Sì per confermare la disattivazione di Ripristino configurazione di sistema:
Si è scelto di disattivare Ripristino configurazione di sistema. Se si continua, tutti i punti di ripristino esistenti verranno eliminati e non sarà possibile tenere traccia delle modifiche o annullarle nel computer.
N.B.: il Rirpristino configurazione sistema deve rimanere disattivato fino di disinfezione terminata.

CCleaner
Scarica ed installa (senza la toolbar di Yahoo) CCleaner per la pulizia dei file temporanei ed inutilizzati
Una volta installato clicca su Opzioni -> Avanzate -> togli il segno di spunta dalla seguente voce Cancella file in Windows Temp solo se più vecchi di 48 ore
Clicca sulla voce Pulizia -> Analizza -> Avvia Pulizia
http://www.filehippo.com/download/83...b540/download/

ComboFix
Download: http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt e anche il file; C:\ComboFix-quarantined-files.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

[000577]

Posso chiederti una cosa?...a makkina dedicata vuol dire che nn deve essere eseguito nessun altro programma? imoltre devo essere disconnesso da internet?...i logs si creeranno dopo aver eseguito il programma e dopo che spariranno le icone?

[Chill-Out]

Posso chiederti una cosa?...a makkina dedicata vuol dire che nn deve essere eseguito nessun altro programma?

esatto

imoltre devo essere disconnesso da internet?...

esatto

i logs si creeranno dopo aver eseguito il programma e dopo che spariranno le icone?

si, ricordati di disabilitare anche l'antivirus, è sufficiente che alleghi questo C:\combofix.txt su forza e coraggio

[000577]

Ecco qui fatto tutto come mi hai detto
http://www.fileup.itadib.com/downloa...xGPmy0w5mTWBxw

[Chill-Out]

Dunque cìè un Driver che non mi convince, procedi così:

Esegui HijackThis clicca su Do a system scan only - metti il segno di spunta a sx nella casella bianca relativa alla voce sottoindicata:
O20 - Winlogon Notify: fsmgmt - C:\WINDOWS\SYSTEM32\fsmgmt.dll
clicca su Fix checked

Avenger
Scompattarlo, avviarlo, selezionare "Input script manually" e cliccare sulla lente d'ingrandimento. Nella nuova finestra, incollare lo script che ti indico cliccare sul pulsante "Done",cliccare sull'icona di semaforo verde rispondere "yes" 2 volte ;il pc dovrebbe riavviarsi da solo se così non fosse, riavvialro manualmente.
Al riavvio del sistema verrà visualizzato il log in c:\avenger.txt da allegare per il controllo
http://swandog46.geekstogo.com/avenger.zip

Scipt:

Files to delete:
C:\WINDOWS\system32\fsmgmt.dll
C:\Documents and Settings\000577\Impostazioni locali\Temporary Internet Files\Content.IE5\1DQP6P7A\NewLoader[1].exe

Riepilogo log da allegare:
Avenger
Nuovo log di HJT
Nuovo log di Prevx CSI

Ciao

[000577]

avenger
http://www.fileup.itadib.com/downloa...MdFMIkzAmb2ZIm

HijackThis
http://www.fileup.itadib.com/downloa...4sxaKbyV8FQgAm

prevx
http://www.fileup.itadib.com/downloa...kMoKykjuy7F3xV

...grazie infinitamente...

[Chill-Out]

dovremmo aver risolto, riscontri altri ed aventuali problemi?

[000577]

Sinceramente ora no...forse l'unica cosa che posso fare ora è fare una scansione con BitDefender che è l'unico insieme a F-Secure ad essersi rivelato efficacie nell'individuare i malware...oltre a questo vorrei chiederti un consiglio...tra quello ke avevo c'era un malware che intaccava le periferiche usb...per evitare che la storia ricominci come posso fare a disinfettare eventualmente pendrive,ipod e hd esterno?...grazie ancora...se mi dici il tuo nome almeno posso ringraziarti per nome

[Chill-Out]

http://www.hwupgrade.it/forum/showpo...1&postcount=16

NB: inserire la pendrive o il lettore nella porta usb e tenere premuto il tasto SHIFT (è il tasto con la freccetta verso l'alto) per impedire l'esecuzione in Autoplay

Devi aggiornare alcuni software sono obsoleti quindi vulnerabili come ad esempio Java quindi scarichi questo tool: http://secunia.com/software_inspector/ e aggiorni quello che c'è da aggiornare

Disinstalla Avast e sostituiscilo con Antivir una volta installato configurato ed aggiornato fai una scansione completa del sistema
http://www.hwupgrade.it/forum/showthread.php?t=1514684

Installa un Firewall software vedi Comodo
http://www.hwupgrade.it/forum/showthread.php?t=1181836

Installa un'antispyware con protezione RealTime
http://www.hwupgrade.it/forum/showthread.php?t=1246338

grazie ancora...se mi dici il tuo nome almeno posso ringraziarti per nome

di nulla, felice di esserti stato di aiuto, và benissimo Chill, ciao e buon proseguimento.

[xcdegasp]

C:\WINDOWS\system32\fsmgmt.dll

Loaded into: C:\WINDOWS\system32\winlogon.exe

Loaded from: \REGISTRY\Machine\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\fsmgmt\DllName fsmgmt.dll

Loaded from: FILE

PX5: E56177E70026038FB66000EF09062300B7CD6D1F

MD5: 8782ef1d47a31164f45e8745d61226b1

Determination: BAD

Malware Group: Generic.Malware


C:\Documents and Settings\000577\Impostazioni locali\Temporary Internet Files\Content.IE5\1DQP6P7A\NewLoader[1].exe

Loaded from: FILE

PX5: 70FF0A5E00011337E83A05B6CB04D6007848375A

MD5: 1c1daadf9e38e894342e57d0cb9a82d3

Determination: BAD

Malware Group: Infostealer

forza i dns all'uso di quelli di www.opendns.com


fixa le seguenti voci:

O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {0B79F48A-E8D6-11DB-9283-E25056D89593} (F-Secure Online Scanner 3.1) - http://support.f-secure.com/ols/fscax.cab

O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/par...an_unicode.cab

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.co.uk/scan_uk/scan8/oscan8.cab

O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) - http://cdn.scan.onecare.live.com/res...scbase4009.cab

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab

O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/pro...nner371420.cab

O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab

O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programmi\File comuni\Microsoft Shared\Help\hxds.dll

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WI1F86~1\MESSEN~1\MSGRAP~1.DLL

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL

O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\FILECO~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe

per fixare si intende:
rifare una scansione di HiJackTHis e a fine scansione il tasto in fondo a sinistra avrà il nome "Fix IT", quindi selezionare le voci elencate e premere il tasto "FIX IT".


inoltre dovrai reinstallare sia la scheda di rete che il software wi-fi... inquanto:

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing

oltre a questo si evidenziano acrobat reader e java obsoleti, collegati al sito http://secunia.com/software_inspector/ e scansiona il pc, ti evidenzierà tutti i programmi obsoleti altamente critici da aggiornare subito

[000577]

Dopo aver effettuato una scansione con F-Secure e con BitDefender pare che io nn abbia più virus nel pc ...ho seguito il tuo consiglio e grazie a Secunia ho individuato gli aggiornamenti critici da fare...ora vorrei chiederti invece cosa significa forzare i DNS e a che pro e cosa comporta il fixare gli elementi con HijackThis da te individuati e il xkè dovrei reinstallare la sceda di rete e quella wifi se funzionano entrambe?...grazie...

[000577]

Ho aggiornato tutti gli elementi che consigliava Secunia ma alcune voci ripetute risultano ancora nn aggiornate come devo fare?Giù ho inserito il link per visualizzare gli elementi...è una immagine xkè nn si genera un log
http://www.fileup.itadib.com/downloa...PV1iSdGCOgRnOM

Altra cosa...ieri mi è stato consigliato di cambiare Avast con Antivir e di integrare un antivirus con un firewall Comodo e antispyware...finora ho sempre usato solo l'antivirus cioè Avast (che credevo essere tra i migliori) nn è proprio sufficiente vero?

[xcdegasp]

sicuramente yi vede ora due voci per il FlashPlayer, è normale
per la java ora vai in pannello di controllo -> installa applicazioni e disinstalla la versione precedente.

se hai chiesto assistenza qui è evidente che ne Avast fosse sufficente alla tua protezione e nemmeno la tua attenzione nell'uso del pc..
Inoltre porgo alla tua attenzione che il 70% degli utenti che chiedono aiuto qui possiedono Avast che non è di certo l'antivirus più diffuso
nessun antivirus offre una protezione totale altrimenti individuerebbe il 100% delle minaccie,ma cio è ampiamente smentito sia dai test che dalla proliferazione del malware.

la scheda di rete e la scheda wi-fi le dovresti reinstallare perchè, come dimostra hijackthis, hanno i driver danneggiati.
nessuno ti obbliga a farlo io te l'ho fatto solo presente.

le voci che ti ho detto di rimuovere spengono servizi inutili che ti stanno consumando inutilmente risorse, nulla sarà compromesso e nulla saràrimosso.