ACAD/Bursted

[dream4somebody]

Ciao a tutti, ho fatto ricerca sul forum di -ACAD/Bursted- e non ho trovato nessun post, quindi apro questo.

Antivir mi rileva questo virus(qui usiam spesso autocad) ad ogni apertura di file autocad, che sia un falso positivo? ho fatto lo scan con virus total allego il log, intanto seguo passo passo la procedura di disinfezione, in caso sia un virus.

Grazie per l'attenzione

[wjmat]

Fai controllare quel file su www.virustotal.com e su http://virscan.org/
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollale nella discussione

[dream4somebody]

Originariamente inviato da wjmat

Fai controllare quel file su www.virustotal.com e su http://virscan.org/
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollale nella discussione

Virus total : http://www.virustotal.com/it/analisi...d933727328df77

Vir scan :http://virscan.org/report/25a80ff489...45f119b58.html

grazie di nuovo

[wjmat]

da qui
http://discussion.autodesk.com/threa...hreadID=583782

"ALS.Bursted.A is a virus that is written in the AutoCAD AutoLisp scripting
language. The virus will be received as a text file named acad.lsp in the
same directory as an AutoCAD drawing file (.dwg). When the drawing file is
opened, the acad.lsp file is automatically loaded by AutoCAD which causes
the virus to be executed.

The virus first locates and reads the file base.dcl in the AutoCAD search
path. It uses this file to locate the acad.lsp file in the AutoCAD Support
directory. The virus then reads the acad.lsp file to check for the presence
of the string "acadapp". If the string is not found, the virus copies itself
over as acadapp.lsp. Due to a bug in the virus, the check always fails.

Next, the virus checks if the name of the drawing file is Drawing.dwg (this
is the default name for a new drawing file). If this check fails, the virus
copies itself to the folder as acad.lsp."

proverò a cercare altre info

[Chill-Out]

Non è un Falso Positivo il virus ha copiato se stesso nel supporto AutoCad

[dream4somebody]

Originariamente inviato da Chill-Out

Non è un Falso Positivo il virus ha copiato se stesso nel supporto AutoCad

Originariamente inviato da wjmat

da qui
http://discussion.autodesk.com/threa...hreadID=583782

"ALS.Bursted.A is a virus that is written in the AutoCAD AutoLisp scripting
language. The virus will be received as a text file named acad.lsp in the
same directory as an AutoCAD drawing file (.dwg). When the drawing file is
opened, the acad.lsp file is automatically loaded by AutoCAD which causes
the virus to be executed.

The virus first locates and reads the file base.dcl in the AutoCAD search
path. It uses this file to locate the acad.lsp file in the AutoCAD Support
directory. The virus then reads the acad.lsp file to check for the presence
of the string "acadapp". If the string is not found, the virus copies itself
over as acadapp.lsp. Due to a bug in the virus, the check always fails.

Next, the virus checks if the name of the drawing file is Drawing.dwg (this
is the default name for a new drawing file). If this check fails, the virus
copies itself to the folder as acad.lsp."

proverò a cercare altre info

grazie mille, ho appena finito malwarebytes, rileva altri due ma non Acad Bursted, continuo con la procedura disinfezione al termine posto tutti i log nelle modalita' richieste.

[xcdegasp]

ottimo

[dream4somebody]

Mbam http://www.mediafire.com/?bixzh0xtb1s

F-secure http://www.mediafire.com/?kiyhzhsisis

A2scan http://www.mediafire.com/?zaazwlqwnwm

HiJackThis http://www.mediafire.com/?zjitvnd0wxw

Gmer http://www.mediafire.com/?r00gz1xnt0k

SysInspector http://www.mediafire.com/?yhx08hbzb1v

Prevx http://www.mediafire.com/?vucgiyoc0wq

P.S. Cureit Dr. web dopo 4 ore di scansione non ha rilevato nulla e il log è di 2k mediafire non me lo fa' caricare...

[xcdegasp]

bravissimo e velocissimo

malwarebytes:

HKEY_CLASSES_ROOT\googletoolbar.google.1 (Trojan.BHO) -> Quarantined and deleted successfully

C:\WINDOWS\system32\TQWgFFUs.exe.a_a (Trojan.Agent) -> Quarantined and deleted successfully.

a-squared:
solo cookies..

f-secure:

Result: 8 malware found

AdWare.Win32.Dm (spyware) 

System 

TrackingCookie.Doubleclick (spyware) 

System 

TrackingCookie.Imrworldwide (spyware) 

System 

TrackingCookie.Revsci (spyware) 

System 

TrackingCookie.Yieldmanager (spyware) 

System 

Trojan-Dropper:W32/Agent.FDA (virus) 

System 

Virus.ALS.Bursted (virus) 

C:\DOCUMENTS AND SETTINGS\......\DATI APPLICAZIONI\AUTODESK\AUTOCAD 2007\R17.0\ITA\SUPPORT\ACAD.LSP (Submitted) 

C:\DOCUMENTS AND SETTINGS\.....\DATI APPLICAZIONI\AUTODESK\ACD-A 2008\ITA\SUPPORT\ACAD.LSP (Submitted)

gmer mi sembra un po' spoglio...

per prevx:

C:\WINDOWS\system32\bit4upki-store.dll	InMem: 1	Det [u]	PX5: F6E8864E00B7CF1270C7017BF163C3009D3CCCAA

	REGRUNKEY - \REGISTRY\Machine\Software\Microsoft\Windows\CurrentVersion\Run - bit4id csp store register (M) [RUNDLL32.EXE "C:\WINDOWS\system32\bit4upki-store.dll",RegisterMy]

che non conosco e si potrebbe far analizzare su www.virustotal.com e www.virscan.org



per hijackthis:
rifai la scansione con HiJackThis optando per "Scan Only", al termine il pulsante in basso a sinistra si chiamerà "Fix Checked", quindi seleziona le voci sugerite e premi tale tasto.
Fixa:

O4 - HKLM\..\Run: [crtfmon] C:\Documents and Settings\Ec lissi\explorer.exe
O4 - HKLM\..\Run: [bit4id csp store register (M)] RUNDLL32.EXE "C:\WINDOWS\system32\bit4upki-store.dll",RegisterMyPhysicalStore
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup

O4 - HKLM\..\Run: [CanonSolutionMenu] C:\Programmi\Canon\SolutionMenu\CNSLMAIN.exe /logon

O4 - HKLM\..\Run: [OpwareSE4] "C:\Programmi\ScanSoft\OmniPageSE4\OpwareSE4.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"

fammi analizzare anche C:\Documents and Settings\Ec lissi\explorer.exe su virustotal.com e virscan.org

[xcdegasp]

nel frattempo facci anche una scansione competa con Avira Antivir allegando poi il report

[dream4somebody]

Originariamente inviato da xcdegasp

nel frattempo facci anche una scansione competa con Avira Antivir allegando poi il report

domani mattina appena torno in ufficio lancio antivir e faccio un check up ai due files che mi hai consigliato(sono a casa ora), grazie per la repentina analisi.

[dream4somebody]

ecco i link della scansione del file con Virus Total e VirScan:
http://www.virustotal.com/it/analisi...01b0f95a86ce07
http://www.virscan.org/report/1fa855...2ad492dfd.html

C:\Documents and Settings\Ec lissi\explorer.exe non lo trova sul pc

ed il log Antivir

[xcdegasp]

riescia scansionare anche C:\Documents and Settings\Ec lissi\explorer.exe su quei due siti?

ricontrolla le impostazioni di antivir per quanto riguarda le applicazioni rischiose perchè credo non ci siano tutte le categorie attivate
il log è pulito

[dream4somebody]

Originariamente inviato da xcdegasp

riescia scansionare anche C:\Documents and Settings\Ec lissi\explorer.exe su quei due siti?

ricontrolla le impostazioni di antivir per quanto riguarda le applicazioni rischiose perchè credo non ci siano tutte le categorie attivate
il log è pulito

no non lo vede neanche virus total / vir scan

Antivir era configurato come da guida di Hu tranne per le azioni da intraprendere, avevo lasciato la scelta manuale da eseguire(delete, quarantine etc.)

ora alzo heuristic al max e messo spunta su tutti gli archivi non solo quelli di default, dopo uppo il log.

[wjmat]

imposta così:
non spuntato copy to quarantine before action
1° opzione repair
2° opzione delete

[dream4somebody]

Originariamente inviato da wjmat

imposta così:
non spuntato copy to quarantine before action
1° opzione repair
2° opzione delete

si sulle altre macchine lo ho impostato così, su questa volevo decidere io che azione intraprendere caso per caso, allego il log di Antivir con euristica al max e tutti gli archivi scansionati, più tardi allego il log di gmer( ieri avevo sbagliato a eseguirlo ecco perchè a Gasp appariva scarno )

edit: ecco il log di Gmer http://www.mediafire.com/?qmc50ytlclh

[xcdegasp]

Originariamente inviato da dream4somebody

si sulle altre macchine lo ho impostato così, su questa volevo decidere io che azione intraprendere caso per caso, allego il log di Antivir con euristica al max e tutti gli archivi scansionati, più tardi allego il log di gmer( ieri avevo sbagliato a eseguirlo ecco perchè a Gasp appariva scarno )

edit: ecco il log di Gmer http://www.mediafire.com/?qmc50ytlclh

perfetto, entrambi i log sono puliti
io darei il pc per pulito.. noti anomalie?

[dream4somebody]

Originariamente inviato da xcdegasp

perfetto, entrambi i log sono puliti
io darei il pc per pulito.. noti anomalie?

sembrerebbe tutto ok, lanciando Dwg(estensione di AutoCad) non mi rileva più il Bursted, ma quindi se dovessi rimuoverlo dagli altri pc in lan con questo seguo la stessa trafila ? a me pare che il solo antivir abbia risolto il problema Acad/bursted-Burst che dir si voglia, su un altro pc ho lasciato mbam al lavoro per stanotte(mole di dati enorme) aveva già rilevato 15 infezioni-.- antivir una marea... ma c'e' un misto di trojan/worm/dialer e quant'altro...non so come faccia mio padre a infettarli cosi' dato che non usa emule, crack keygen etc.

[xcdegasp]

segui la trafila che ti abbiamo fatto fare e vedrai che sicuramente i risultati positivi arrivano, poi per i casi più ostici puoi sempre fare riferiemento a noi

[dream4somebody]

Originariamente inviato da xcdegasp

segui la trafila che ti abbiamo fatto fare e vedrai che sicuramente i risultati positivi arrivano, poi per i casi più ostici puoi sempre fare riferiemento a noi

grazie mille per l'aiuto, provvedo a disinfettare tutta la rete qui, se dovessi avere problemi posto qui nelle solite modalità, grazie ancora siete stati gentilissimi