infetto! ho di nuovo bisogno di voi

[mm81mm]

salve.
sono di nuovo a chiedervi aiuto e consiglio.
e anche questa volta il computer non è mio, ma di amici.
ho iniziato a seguire la guida per la disinfestazione, ma purtroppo mi son bloccato ben presto.
malwarebyter's termina la scansone ma quando gli dico di eliminare gli oggetti infetti, si blocca e rimane bloccato. ho già tentato 2 volte. cmq la seconda ho pensato bene di salvare il log prima. così mi dite quanto malato è il malato e come procedere come la cura. ovviamente Grazie in anticipo

[wjmat]

Ciao benvenuto nel pronto soccorso di HU.
prova con il cd di avira come indicato più sotto poi segui bene le info

Per ripulire completamente il pc segui la guida alla disinfezione per infetti ed esegui tutte le scansioni ed il caricamento dei relativi log nelle modalità e nell'ordine indicato.

Leggi bene tutto questo post, e arriverai in fondo alla guida in perfetta autonomia
salvo in caso di problemi particolari...

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner, vogliamo necessariamente in ordine e anche se non è stato rilevato nulla:

1. log di Malwarebytes Anti-Malware aggiornato ad oggi
2. log di A-squared scansione deep aggiornato ad oggi
3. log di Kaspersky Virus Removal Tool scaricato oggi oppure di F-Secure OnLine
4. log di Dr.Web CureIT scaricato oggi
5. log di ESET SysInspector
6. log di HiJackThis
7. log di Gmer
8. log di PrevxCSI

Se il sistema è molto compromesso, e non dovessi riuscire a seguire la guida, prima prova con il rescue cd di avira, a fare una pulizia preliminare.
In caso di continui riavvi, schermate blu, ecc.. stacca eventuali hardware nuovi, magari incompatibili e per escludere problemi con quelli già in uso fai un controllo del disco e della RAM, anche una memoria RAM con qualche giorno di vita può essere la causa di tutti i mali...

Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione, in questo modo eviti di reinfettarti ancora dopo che hai ripulito il pc.

Nel caso il pc da disinfettare abbia problemi con internet o non ce l'abbia proprio, nelle info dei programmi guarda alla voce Portabilità, in modo da scaricare tutto il necessario da un pc pulito e portare tutto l'occorrente sul pc infetto

Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

Questa è una brevissima guida alla pubblicazione dei log, qui e qui esempi precisi ed ordinati di come vorremmo tu li caricassi.

link utili per il caricamento log ed immagini
caricamento log fileqube.com, wikisend.com, mediafire.com
caricamento immagini fileqube.com

[mm81mm]

ok, grazie. sto facendo la scansione con il cd di avira. però non potrò salvare il log, vista l'assenza del floppy. appena termina, vi aggiorno sulla situazione e riprovo con Malwarebytes Anti-Malware e successivi passi come da guida.

[mm81mm]

rieccomi.
la scansione con il cd rescue di avira non ha individuato granchè. mi ha solo segnalato un 3-4 warning e nessun file infetto.
ho allora provato a fare scansione deep con a-squared. e ho messo in quarantena quanto trovato. escluso i file che so essere propri dei pc HP.
ottimista, ho poi riprovato con malwarebyte's, ma anche questa volta si blocca quando gli dico di rimuovere gli oggetti individuati.

allego i log di asquared e di malwarebyte's primache si bloccasse.
cosa suggerite di fare? elimino manualmente i file e le chiavi individuate da malwarebyte's o procedo con le scansioni secondo la guida?

log di mbam: http://wikisend.com/download/524174/mbam-log-2008-10-18 (11-42-29).txt

[wjmat]

prova con malwarebytes da mod. provvisoria

[mm81mm]

mentre vi aspettavo, ho avuto la stessa idea. infatti ho già iniziato la scansione in mod provv. appena termina, vi faccio sapere. ciao e grazie

[mm81mm]

in modalità provvisoria malwarebyte's non si è bloccato. però alcuni file ha avvisato che li avrebbe cancellati dopo il riavvio. non son troppo sicuro l'abbia fatto, perchè avast al riavvio mi ha segnalato la presenza di uno di questi file
come procedo?

[wjmat]

bene, procedi pure con la guida

[mm81mm]

mi sa che malwarebytes non ha cancellato tutto. adesso sto rifacendo la scansione e ha già trovato 7 elementi infetti. la lascio finire? blocco la scansione e spero che gli elementi vengano eliminati dai prossimi programmi? devo rifare scansione con asquared o passo al punto successivo?

[wjmat]

Originariamente inviato da mm81mm

mi sa che malwarebytes non ha cancellato tutto. adesso sto rifacendo la scansione e ha già trovato 7 elementi infetti. la lascio finire? blocco la scansione e spero che gli elementi vengano eliminati dai prossimi programmi? devo rifare scansione con asquared o passo al punto successivo?

procurati tutto il necessario vedi voce portabilità nele info
cerca di rimanere scollegato qui usa kasp e non f-secure
finisci con mbam, poi procedi con la sequenza

[mm81mm]

ok. scarico da altro pc e lascio scollegato il malato.
un dubio: durante le scansioni lascio attivo avast?

[wjmat]

attivo o disattivo mi sembra non cambi nulla
lascialo comunque attivo... vedremo poi di rimpiazzarlo

[mm81mm]

mi sa che hai ragione

[mm81mm]

rieccomi. ho terminato le scansioni (escluso quella con prevx, preferendo come suggeritomi rimanere offline).

ecco i log:

-log malwarebyte's: http://wikisend.com/download/527432/mbam-log-2008-10-18 (17-44-26).txt
-log a-squared: http://wikisend.com/download/575302/...018-174917.txt
- log kaspersky: http://www.hwupgrade.helloweb.eu/Par...3544830981.txt
- log dr.web: http://www.hwupgrade.helloweb.eu/Par...3697911883.txt
- log eset: http://wikisend.com/download/926644/...81019-1200.xml
- log highjackthis: http://wikisend.com/download/479046/hijackthis.log
- log gmer: http://wikisend.com/download/538176/log gmer.log

alcuni file considerati infetti penso siano porpri dei computer HP e quindi non li ho rimossi. speroi di aver fatto bene
altre segnalazioni riguardano gli strumenti di rimozione.

c'è da dire che gli elementi che malwarebyte's si riprometteva di cancellare al reboot in realtà non son stati rimossi. adesso sto rifacendo scansione, appena termina vi metto il log.

cosa dite sulla situazione? cosa devo far?

grazie

[wjmat]

mi carichi le prime righe riassuntive del log di kasp
quali sono i file che non hai eliminato? se fossero corrotti e non li cancelli potremmo stare qui dei mesi...

• Lancia HiJackThis
• Clicca Do a scan only
• Metti la spunta a fianco delle righe che ti segnalo qui sotto
• Clicca su Fix Checked
• Riavvia il pc
• Lancia HiJackThis
• Do a system scan and save a logfile
• Carica il nuovo log secondo le modalità

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ecc.) e non le usi disinstallale pure.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)

O2 - BHO: (no name) - {A8A2BB49-31BD-45EB-A79E-F7D12552378D} - c:\windows\system32\mgxlhpb.dll
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TomTomHOME.exe] "C:\Programmi\TomTom HOME\TomTomHOME.exe" -s
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: LUMIX Simple Viewer.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: Internet Cleaner - {45819E58-6E84-4A5D-BD65-A706981E5BE8} - C:\Programmi\Internet Cleaner\ICleaner.exe (HKCU)
O9 - Extra 'Tools' menuitem: Internet Cleaner - {45819E58-6E84-4A5D-BD65-A706981E5BE8} - C:\Programmi\Internet Cleaner\ICleaner.exe (HKCU)
O20 - Winlogon Notify: obcxiehb - C:\WINDOWS\SYSTEM32\mgxlhpb.dll
O16  - tutte le voci

[mm81mm]

eccomi. malwarebyte's ha appena terminato la scansione.
ecco il log prima di tentare di rimuovere gli elementi, cosa che temo non riesca a fare.

http://wikisend.com/download/792408/mbam-log-2008-10-19 (14-02-29).txt

[mm81mm]

per il log di kasp, io ho questo.
mi sorge il dubbio di averlo salvato prima che terminasse di cancellare un file.
che cmq era riuscito a cancellare

[mm81mm]

ecco il log di highjackthis dopo il fix. alcune voci le ho lasciate, visto che il pc non è mio e non so se efettivamente le son comode.
è rimasto altro di nocivo?


come procedo per pulire ile chiavi e i file infetti dal trojan, rilevati ma impossibili da rimuovere con malwarebyte's??

[wjmat]

carica il log di mbam dopo l'ultima eliminazione
poi eventualmente fai una scansione rapida di verifica

[mm81mm]

mbam non elimina niente. si blocca. e anche in modalità provvisoria dice che eliminerà i file dopo il rebbot, ma non li elimina.