[win XP] Rootkit csbtd.exe dmmbe.exe, adware

[deneb87]

Una manina a ripulire questo notebook?

E' da parecchio che non viene utilizzato, quindi è probabile che i malware siano vecchiotti

Un po di storia
Il problema: non è possibile visualizzare ne cambiare lo sfondo del Desktop. Ho provato a reimpostare il tema di base ma nulla, l'unico momento in cui si vede lo sfondo è per un istante quando spengo il pc.
Il pc era tempo inutilizzato e per provare a risolvere ho iniziato con il disinstallare tutti soft obsoleti (adobe reader 5 , flash, ....)
Installato tutti gli aggiornamenti di XP, explorer 7, avira

pulito con ccleaner ... ma il problema non si risolve
quando ho provato a pulire il registro si bloccava la scansione sempre alla stessa percentuale così ho pensato a fare qualche scansione .

PrevX CSI: log ha rilevato due Rootkit

Dopodiche ho messo asquared: log, che ha falciato un po di cose.
Da sottolineare che durante la scansione di asquared è intervenuto avira per mettere in quarantena il file neom.exe dalla cartella system32 (TR/Renos.28160), e altri due file con nomi strani tra le parentesi graffe come quelli segnati da asquared.

Quindi scansione con avira: No detection
Scansione con Bitdefender online: No detection

Gmer: log

ed infine DrWeb Cureit: report. che pare abbia eliminato il rootkit csbtd e che ora mi chiede di riavviare il sistema.

ci vediamo dopo

per ora il problema al desktop permane, a dopo il riavvio per il log di hijackthis

[deneb87]

ed ecco il log di Hijackthis: link.

Ancora una volta dopo il riavvio si è visto lo sfondo per una frazione di secondo e poi niente.. tutto blu

[xcdegasp]

a-squared?

[deneb87]

ho appen a controllato e il log è quello giusto

[lancetta]

Fammi capire la faccenda desktop...le icone sono presenti o stai operando da task manager?

[deneb87]

sono presenti... lo sfondo compare un sec all'accensione e allo spegnimento e poi viene "oscurato".

se vado su proprietà del desktop la prima cosa che noto è che anche se gli rimetto XP Classico come tema... si rimette il tema modificato. e poi su sfondo è tutto quanto non selezionabile

ho fatto un altra scansione con prevxcsi che non ha piu trovato il rootkit csbtd.exe (e durante la scansione avira ha messo in quarantena il file), e continua a rilevare l'altro rootkit.

log: http://www.fileup.itadib.com/downloa...d1DV9NMcDf9VLf

[lancetta]

vedo anche il vundo...fatta la procedura?...per quel dmmbe vediamo hijackthis poichè dovrebbe essere presente in run......poi giusto per controllo in regedit recati a questa chiave
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
vedi se sono presenti : explorer.exe ed iexplorer.exe

[deneb87]

no ora la faccio non ho letto vundo da nessuna parte io

[deneb87]

Originariamente inviato da lancetta

vedo anche il vundo...fatta la procedura?...per quel dmmbe vediamo hijackthis poichè dovrebbe essere presente in run......poi giusto per controllo in regedit recati a questa chiave
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
vedi se sono presenti : explorer.exe ed iexplorer.exe

no nn ci sono

per renv in provvisoria si è aperta per un millisecondo il prompt e ha dato un log credo vuoto c'è scritto solo che è stata eseguito...

[lancetta]

Originariamente inviato da deneb87

no nn ci sono

ok..escluso un dialer del cacchio che si iniettava in file immage (red lips)

scarica anche combofix così completi per vundo ed anche altro
yawn..ora me ne vò a letto...
'notte e buon divertimento

[deneb87]

notte

[deneb87]

uh che bello ora funziona il desktop

Riavviato in provvisoria-
VundoFix: No detection
FixVundo: No detection
ComboFix: http://www.fileup.itadib.com/downloa...xkOUOCNJLrbajo

Mi è comparso il log ma nn ha riavviato nulla.
Sono tornato in normale e ho usato PrevXCSI: http://www.fileup.itadib.com/downloa...xkOUOCNJLrbajo

ha trovato anche un altra cosa ora!

Ora vado con virit

edit: fine :P

Virit: No Detection
HiJackthis log: http://www.fileup.itadib.com/downloa...taZoL0SlVMEuoU

FindAWF: vuoto

[xcdegasp]

nell'ultimo log di Hijackthis vedo:

O4 - HKLM\..\Run: [scanSYS] DCC_send.exe
O4 - HKLM\..\Run: [StartCpl] Trayz.exe
O4 - HKCU\..\Run: [StatusCheck] _ctcp.exe

DCC_send.exe

File Name: DCC_send.exe
Description:
DCC_send.exe is associate with WareOut rogue antispyware. This is not a real process, it is a registry entry created under the "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run" registry sub key and is used by WareOut to cheat you that your computer is infected with spyware.
Startup Type: This startup entry is started automatically from a Run, RunOnce, RunServices, or RunServicesOnce entry in the registry.


Filename: Trayz.exe
Fix Trayz.exe errors: Try a Registry Scan
Command: Trayz.exe
Description: Part of the Wareout infection as described here.
File Location: %System%
Startup Type: This startup entry is started automatically from a Run, RunOnce, RunServices, or RunServicesOnce entry in the registry.


Filename: _ctcp.exe
Fix _ctcp.exe errors: Try a Registry Scan
Command: _ctcp.exe
Description: Part of the Wareout infection as described here.
File Location: %System%
Startup Type: This startup entry is started automatically from a Run, RunOnce, RunServices, or RunServicesOnce entry in the registry.

[deneb87]

fixato, ora?

edit: cosa sono quelle voci al 017?

[lancetta]

Originariamente inviato da deneb87

fixato, ora?

edit: cosa sono quelle voci al 017?

hai amicizie in ucraina?
fixale tutte.....
giusto per sicurezza fai girare anche i tool per gromozon

[murack83pa]

Originariamente inviato da lancetta

hai amicizie in ucraina?
fixale tutte.....
giusto per sicurezza fai girare anche i tool per gromozon

il nostro caro deneb ha amicizie ucraine e nn c dice niente?

cosa aspetti a presentarcele?

[deneb87]

chi ha detto amiche ucraine?

avevo gia fixato

per il tool di gromozon tutto pulito
Trojan.Gromozon does not exist - your system is clean.


rimangono ancora quelle due detection di prevx

[lancetta]

Originariamente inviato da deneb87

chi ha detto amiche ucraine?

avevo gia fixato

per il tool di gromozon tutto pulito
Trojan.Gromozon does not exist - your system is clean.


rimangono ancora quelle due detection di prevx

Hum..puoi rifare lo scan di prevx e lo riposti per favore?

[deneb87]

eccolo caldo caldo.. occhio che ti scotti

http://www.fileup.itadib.com/downloa...HYglLinhs7sU7Y

[lancetta]

Originariamente inviato da deneb87

eccolo caldo caldo.. occhio che ti scotti

http://www.fileup.itadib.com/downloa...HYglLinhs7sU7Y

hum....il primo è da zompare ma sul secondo ho dei dubbi

fallo analizzare su virus total al limite li zompiamo con avenger...anzi già che ci sei fai analizzare anche il primo......