Services.exe...malware?

[Spir4L]

Ciao a tutti, sono nuovo del forum e spero mi possiate aiutare.

Il mio problema è il seguente:

Ho scaricato da un sito poco sicuro un installer per un programma che non ho scansionato, e subito dopo l'installazione il computer mi si è stranamente riavviato...
Subito dopo il riavvio, un popup del firewall (Outpost) mi ha informato che un processo di nome services.exe cercava di connettersi a un sito (a me ignoto) (più precisamente Outpost diceva che il file services.exe cercava di agire da server).

Questo mi ha fatto pensare che durante il riavvio proprio il file services.exe fosse stato sostituito da qualcos'altro (anche perchè sull'hard disk tale file si trova solo nei punti in cui dovrebbe essere ovvero le cartelle di windows).

Se provo a bloccare con il firewall l'accesso di service.exe a internet ecco che lì a cpu va a 100% e si blocca tutto...(come ho letto in altri post ma il mio problema sembra diverso anche perchè io questo file ce l'ho solamente dove dovrebbe stare)
Il che mi costringe al riavvio forzato.

Cosa mi consigliate di fare?
(Ho provato il ripristino di configurazione di sistema di win senza alcun risultato)

Spero mi possiate aiutare grazie a tutti

[wjmat]

Ciao benvenuto nel pronto soccorso di HU.
Il rischio è che ci siano anche altre infezioni a parte quel file....
Leggi le regole di sezione e poi segui la guida alla disinfezione per infetti ed esegui tutte le scansioni nell'ordine indicato.

Ti rielenco brevemente le modalità di pubblicazione dei log
Se i log o le immagini (.JPG) non superano i 24Kb allegali tramite il comodo comando Gestisci allegati nelle Opzioni aggiuntive.
Clicca su Gestisci allegati -> si aprirà una finestra -> Click su Sfoglia -> seleziona il file da caricare -> Click su Carica -> sotto allegati correnti vedrai il tuo log caricato -> Chiudi la finestra
Altrimenti caricali su [wikisend.com] o su [mediafire.com].
Una volta sul sito -> clicca su sfoglia -> seleziona il file da caricare -> poi invia o upload -> aspetta che venga caricato -> copia tutto il contenuto a fianco della della riga "Forum link nel primo caso oppure sotto "Sharing URL" nel secondo e lo incolli nella risposta della discussione.
Le immagini più grosse (es. nel caso di PrevX) salvale in JPG, essendo più leggere, e caricale su fileqube.com che permette di visualizzarle direttamente online.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner e cancellato gli asd con ADS Scanner, vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):

1. log di A-squared scansione deep aggiornato ad oggi
2. log di F-Secure OnLine oppure di Kaspersky Virus Removal Tool scaricato oggi
3. log di Dr.Web CureIT scaricato ed aggiornato ad oggi
4. log di ESET SysInspector
5. log di HiJackThis
6. log di Gmer
7. immagine della schermata di PrevxCSI in caso di rilevazioni

In questa maniera, tu avrai un pc già parzialmente ripulito, e noi le informazioni necessarie per i restanti interventi.
Intanto che aspetti la nostra assistenza, o durante le scansioni lunghe, comincia a leggerti il trattamento di prevenzione così comincerai a comprendere eventuali problemi della configurazione di sicurezza del tuo pc. Solo al termine della pulizia, leggi l'ultimo punto di questo trattamento, per eliminare programmi e tool che ti abbiamo fatto utilizzare e che non ti serviranno più....si spera

Ciao

note
Scarica i tool e cerca di rimanere disconnesso ad eccezione di F-secure e prevx che richiedono la connessione.

[Chill-Out]

Al punto 4 della Guida procedi con la scansione online con F-Secure il Kav non è aggiornato

[Spir4L]

Ok a breve vi faccio sapere...sono ancora al punto 2 =)

[Spir4L]

Ciao,
allego intanto i due log di A-Squared Free v3.x e di F-secure on line (quest'ultimo ci ha messo un sacco).
Ora sto facendo andare Dr Web =)

Come diceva la guida non ho fatto disinfettare i file a F-secure, spero di non aver commesso errori...

grazie ancora per l'assistenza

[wjmat]

se hai fatto pulizia automatica è corretto

[Spir4L]

No, avevo capito di non dover fare la pulizia per cui ho detto di non fare nessuna azione...
te lo chiedo allora per quanto riguarda dr.web...qui cosa devo fare? Pulizia o no?

Ciao e

[xcdegasp]

devi spostare in quarantena sempre

[Chill-Out]

a-squared Free - Version 3.5
Last update: 07/06/2008 10.40.56

Impostazioni scansione:

Oggetti: Memoria, Tracce, Cookies, C:\, E:\
Archivio scansioni: On
Scientifico: On
ADS Scan: On

Scansione avviata: 07/06/2008 10.44.56


Scansionati

Files: 0
Tracce: 0
Cookies: 0
Processi: 0

Rilevato

Files: 0
Tracce: 0
Cookies: 0
Processi: 0
Chiavi registro: 0

Fine scansione: 07/06/2008 10.45.33
Tempo scansione: 0:00:37

NB: A-Squared non ha scansionato nulla devi fare la scansione denominata DEEP SCAN

[Spir4L]

Aggiungo gli altri log richiesti:

DrWeb
Syspector
HiJackThis
Gmer

Spero sia tutto ok finora

Non riesco invece ad entrare nella pagina di prevx...

ringrazio ancora chi mi sta aiutando =)

[xcdegasp]

del log di drweb devi togliere tutte le righe che non riguardano gli oggetti infetti
rifai la scansione di a-squared in modalità deep e manca il log di f-secure

[Spir4L]

Allora il log di F secure è questo;

Per il log di dr web devo togliere tutte le righe con accanto ok?

C'è un modo veloce per farlo o devo farlo manualmente ??

[xcdegasp]

Originariamente inviato da Spir4L

Allora il log di F secure è questo;

Per il log di dr web devo togliere tutte le righe con accanto ok?

C'è un modo veloce per farlo o devo farlo manualmente ??

sì esatto dovresti togliere quelle righe
con notepad non credo ci sia un automatismo da poter creare, con altri programmi con un po' di sforzo si riesce..

[Spir4L]

Ciao,
scusami ancora ma "con un po di sforzo" in che senso?

Sono 13000 pagine se lo apro con OpenOffice...puoi darmi un aiutino?
Nel senso: C'è un modo per identificare le righe che non vanno cancellate? Invece di Ok cosa dovrebbe esserci?

Grazie e scusate se non ci arrivo da solo...=)

[xcdegasp]

su linux è decisamente veloce su windows è una menata assurda..
si dovrebbe possedere un editor di testo che lasciasse creare funzioni nelle quali fare prima la ricerca di "- Ok" e poi cancellare la riga che lo contiene..
o semplicemente fare la lettura di un documento di testo ed ometetre in automatico quelle righe che è appunto quello che farei con linux..

ho provato a vedere se notetab lasciasse fare una cosa del genere ma non mi è sembrato che possa venirci in soccorso
con openoffice non saprei...

[wizard1993]

Originariamente inviato da xcdegasp

su linux è decisamente veloce su windows è una menata assurda..
si dovrebbe possedere un editor di testo che lasciasse creare funzioni nelle quali fare prima la ricerca di "- Ok" e poi cancellare la riga che lo contiene..
o semplicemente fare la lettura di un documento di testo ed ometetre in automatico quelle righe che è appunto quello che farei con linux..

ho provato a vedere se notetab lasciasse fare una cosa del genere ma non mi è sembrato che possa venirci in soccorso

lo sto parsando io, ho scritto al volo un programmino in java, spero funzioni

[Spir4L]

wow grazie =)

[wizard1993]

ha fatto, ma rimangono almeno 8000 righe, tolto tutto il resto
alla fine
viene questo di interessante
(dimmi che va allegato e giuro te lo faccio rifare a mano)

[Memory test] Processi in memoria: C:\WINDOWS\system32\services.exe:1688 infettato da BackDoor.MaosBoot - eradicato
Master Boot Record HDD1 infettato da BackDoor.MaosBoot

[xcdegasp]

Originariamente inviato da wizard1993

lo sto parsando io, ho scritto al volo un programmino in java, spero funzioni

così mi piaci
mi accontento del code

[wizard1993]

posto il codice della classe che ho usato, se qualche anima la vuol convertire il c++ o altro faccia pure

public class file {
    
    public file() {
        PrintStream ps = null;
        try {
            
            ps = new PrintStream("output.txt");
            
            File f=new File("CureIt.log");
            FileInputStream fis=new FileInputStream(f);
            InputStreamReader isr=new InputStreamReader(fis)                    ;
            BufferedReader br=new BufferedReader(isr);
            String swap = br.readLine();
            while (swap!=null) {
               
                System.out.println(swap);
                if (!swap.contains("[Scan path]")) {
                    ps.println(swap);
                }
                 if (!swap.contains("compresso da")) {
                    ps.println(swap);
                }
                 if (!swap.contains(" - Ok")) {
                    ps.println(swap);
                }
                 if (!swap.contains("[Virus base]")) {
                    ps.println(swap);
                }
                swap=br.readLine();
            }
            ps.close();
        } catch (Exception ex) {
            Logger.getLogger(file.class.getName()).log(Level.SEVERE, null, ex);
            ex.printStackTrace();
        } finally {
            
                ps.close();
          
            }
        }
    }