aiuto, mi hanno infettato!urgente!

[tempesta92]

salve a tutti ragazzi, mi dovete aiutare ho fatto il pc nuovo da 2 gg e mi sa che mi hanno infettato, quando apro il browser di internet, sia mozilla che ie, dopo poco mi si aprono altre pagine di altri siti senza che io faccia niente, cosa posso fare??? aiutatemi vi prego

[wjmat]

Ciao benvenuto nel pronto soccorso di HU.

segui la guida alla disinfezione per infetti ed esegui tutte le scansioni ed il caricamento dei relativi log nelle modalità e nell'ordine indicato.

Ricapitolando, dopo aver disabilitato il ripristino di sistema , fatto la pulizia dei file inutili con ATFCleaner , vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):

1. log di Malwarebytes Anti-Malware aggiornato ad oggi
2. log di A-squared scansione deep aggiornato ad oggi
3. log di Kaspersky Virus Removal Tool scaricato oggi oppure di F-Secure OnLine
4. log di Dr.Web CureIT scaricato oggi
5. log di ESET SysInspector
6. log di HiJackThis
7. log di Gmer
8. log di PrevxCSI

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, con le restanti scansioni veloci noi avremo le informazioni necessarie per i restanti interventi.

Se pensi che l'infezione possa essere partita da una chiavetta usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione, in questo modo eviti di reinfettarti ancora dopo che hai ripulito il pc.

Nel caso il pc da disinfettare abbia problemi con internet o non ce l'abbia proprio, nelle info dei programmi guarda alla voce Portabilità, in modo da scaricare tutto il necessario da un pc pulito e portare tutto l'occorrente sul pc infetto

Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

Questa è una brevissima guida alla pubblicazione dei log
Qui e qui esempi precisi ed ordinati di come vorremmo tu caricassi i log

link utili per il caricamento log ed immagini
caricamento log fileqube.com, wikisend.com, mediafire.com
caricamento immagini fileqube.com

[tempesta92]

cosa sono i log che hai elencato??cosa vuol dire ??? io ho ccleaner al possto di atf, va bene lo stesso???

[wjmat]

Originariamente inviato da tempesta92

cosa sono i log che hai elencato??cosa vuol dire ??? io ho ccleaner al possto di atf, va bene lo stesso???

leggi le info e ti rispondi da solo
usa anche atf, è leggero e non necessita di installazione

[tempesta92]

un'ultima domanda, in atf è impossibile andare nella sezione opera, è normale???

[wjmat]

Nel menù Opera (se lo usi) → Select All → NO (per non cancellare le password) → Empty Selected più volte fino a che segnali No files were removed

[tempesta92]

ho fatto tutti gli antivirus come mi avete detto ma non hanno trovato niente, cosa può essere????

[Chill-Out]

Ciao ma se non alleghi i log per noi è diffcile prestare assistenza.

[tempesta92]

come faccio a postare il log di GMER ? è l'unico che sembra aver trovato qlcs

[tempesta92]

a squared ha trovato questi:

Scansione avviata: 29/09/2008 15.05.13

c:\documents and settings\mattia\dati applicazioni\bsplayer rilevati: Trace.Directory.BSplayer
c:\documents and settings\mattia\dati applicazioni\bsplayer pro rilevati: Trace.Directory.BSplayer
c:\documents and settings\mattia\dati applicazioni\bsplayer\bslib rilevati: Trace.Directory.BSplayer
c:\documents and settings\mattia\menu avvio\programmi\webteh rilevati: Trace.Directory.BSplayer
c:\documents and settings\mattia\dati applicazioni\bsplayer pro\bsplayer.xml rilevati: Trace.File.BSplayer
c:\documents and settings\mattia\dati applicazioni\bsplayer\bslib\bspmlib.dat rilevati: Trace.File.BSplayer
Value: HKEY_USERS\S-1-5-21-343818398-1275210071-725345543-1003\Software\BST\bsplayerv1 --> AppPath rilevati: Trace.Registry.BSplayer
Value: HKEY_USERS\S-1-5-21-343818398-1275210071-725345543-1003\Software\BST\bsplayerv1 --> AppVer rilevati: Trace.Registry.BSplayer
C:\Documents and Settings\Mattia\Cookies\[email protected][2].txt rilevati: Trace.TrackingCookie

Scansionati

Files: 8445
Tracce: 446140
Cookies: 8
Processi: 46

[tempesta92]

questo invece è gmer:---- System - GMER 1.0.14 ----

SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwClose [0xA4358618]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwCreateKey [0xA43584D4]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwDeleteValueKey [0xA43589B2]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwDuplicateObject [0xA43580AC]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwOpenKey [0xA43585AE]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwOpenProcess [0xA4357FEC]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwOpenThread [0xA4358050]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwQueryValueKey [0xA43586CE]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwRestoreKey [0xA435868E]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwSetValueKey [0xA435880E]

Code 6B4A5A37 IoReportHalResourceUsage

---- User code sections - GMER 1.0.14 ----

.text C:\Programmi\Mozilla Firefox\firefox.exe[3312] WS2_32.dll!send 71A3428A 5 Bytes JMP 026430E6
.text C:\Programmi\Mozilla Firefox\firefox.exe[3312] WS2_32.dll!WSARecv 71A34318 5 Bytes JMP 026432CC
.text C:\Programmi\Mozilla Firefox\firefox.exe[3312] WS2_32.dll!closesocket 71A39639 5 Bytes JMP 026435BC

---- User IAT/EAT - GMER 1.0.14 ----

IAT C:\WINDOWS\system32\services.exe[792] @ C:\WINDOWS\system32\services.exe [ADVAPI32.dll!CreateProcessAsUserW] 00370002
IAT C:\WINDOWS\system32\services.exe[792] @ C:\WINDOWS\system32\services.exe [KERNEL32.dll!CreateProcessW] 00370000

---- Devices - GMER 1.0.14 ----

AttachedDevice \FileSystem\Ntfs \Ntfs aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Ip aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Tcp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Udp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\RawIp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)

[tempesta92]

proprio in questo momento mentre stavo navigando mi è venuta fuori una pagina di ebay di bricolage, aiutatemi voi, vi vanno bene cosi i log???

[wjmat]

nel post n°2 ti ho dato chiare info ed esempi su come fare....
non mi sembra tu abbia letto...

[tempesta92]

scusa, sinceramente nn ci ho fatto caso, mi dispiace, cmq vedi qualcosa? ora posto solo quello di prevx

Summary:
C:\documents and settings\mattia\impostazioni locali\dati applicazioni\fbacvwq.exe - [b] >> Fraudulent Security Program (PX5: 770DEDDC0016E270007004CA7B9C2A003F34AAE0)

è questo il virus??

[wjmat]

l'ultimo sicuramente è un virus però vogliamo tutti i log, anche quelli puliti caricati secondo le modalità che ho in firma

[wjmat]

Scarica Avenger da qui
Lancialo → Clicca Ok → Copia e Incolla TUTTO il codice, che ti ho segnalato qui sotto, nel riquadro bianco del programma → Clicca su Execute
Attendi riavvio del pc. Se non si riavvia da solo fallo manualmente.
Al riavvio verrà salvato un log di Avenger. Postalo per vedere se la procedura ha funzionato.

Files to delete:
C:\documents and settings\mattia\impostazioni locali\dati applicazioni\fbacvwq.exe