Infetto da scvhost.exe

[goma76]

Ragazzi, non riesco a liberarmi da questa schifezza. Quando digito in google un indirizzo, subisco dei reindirizzamenti a strani siti...
Ho cercato di seguire alcune guide di rimozione manuale, ma niente.
Ho scaricato Spybot, Ad-aware ma niente.
Ho il log di Hijack, mi date una mano?
Grazie

[spadatrap]

a proposito di ciò ho avuto grossi problemi anch'io con quel maledetto svchost...
l'ho preso su un sito apparentemente sicuro

premetto che la mia risoluzione è stata un pò maccheronica però funzionale

ti illustro cosa mi è successo:
il firewall di windows mi ha chiesto se volevo bloccare un file, certo svchost ed io gli ho dato l'ok ma invece di essere il firewall a bloccare il file è successo l'opposto, il virus mi ha chiuso il firewall e si è autoinstallato nella cartella C:\windows\system32\drivers
controlla di non avere questo file in quella cartella (cmq ho dato un'occhita al log di hijackthis e sembra che il tal processo non ci sia ma tu controlla ugualmente a mano)
se lo trovi toglilo da lì perchè si avvia automaticamente e ti installa merda di tanto in tanto
prima di toglierlo devi fermare il processo dal task manager.
di questi processi ce ne sono un bel pò attivi, dovrebbe essere un processo di circa 3 mb (scritto tutto minuscolo) io sono andato per tentativi :P
PS: il mio antivirus (avast) non me lo riconosce come infetto
una volta fatto ciò fai una scansione con il tuo antivirus per verificare che il maledetto non ti abbia installato altra roba
io ho trovato alcuni file infetti (allego jpg)
li ho eliminati ed ora tutto funziona alla perfezione
l'unico problema è che una volta fixati quei file ti si potrebbe attivare un processo: evcrezul.exe, non chiedermi cosa sia, ho cercato ovunque sulla rete e niente!
addirittura se faccio una ricerca con windows non lo trova.
dopo tutta questa operazione ho fatto una pulizia del registro con CCleaner (ottimo programma per tenere ordine nell'hard disk).

ti avevo avvisato che è una soluzione un pò brutale ma ti assicuro che funziona!
google non mi da più problemi di reindirizzamento ad altri siti.

[spadatrap]

se ti può interessare ho trovato una cosa abbastanza utile
si tratta di un sito che scansiona online (utilizzando una miriade di antivirus)un file su cui sei dubbioso

http://www.virustotal.com/it/

ti allego una copia dello scan che ha fatto sul nostro caro svchost.

[goma76]

Innanzitutto grazie, per le risposte.
Anche a me è accaduta la stessa cosa con il firewall, ora l'ho ripristinato.
Seguendo il tuo consiglio ho controllato la cartella driver e lì non c'è il maledetto scvhost.
Ho cancellato il beep.sys, gli altri non li trovo. Ho pulito con regcleaner ma il problema persiste
Nel taskmanager ho un diversi svchost.exe (immagine in allegato), è normale?
Hai un'idea di quale eliminare?

[goma76]

Ho scaricato anche spyware doctor ma non riesco a farlo partire perchè non riesce ad aggiornare il database. La stessa cosa era successa con Spybot...
E' un problema dovuta all'infezione? C'è una soluzione per riuscire ad aggiornare?

[Chill-Out]

Originariamente inviato da goma76

Ho scaricato anche spyware doctor ma non riesco a farlo partire perchè non riesce ad aggiornare il database. La stessa cosa era successa con Spybot...
E' un problema dovuta all'infezione? C'è una soluzione per riuscire ad aggiornare?

Ciao e benvenuto segui la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

Ogni singolo log, esclusivamente in formato txt a parte SynInspector e nell'ordine indicato in Guida, deve essere hostato su Fileqube, clicca qui per raggiungere Fileqube, pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download

NB: non eliminare file a sentimento, sicuro di non aver confuso svchost.exe (processo legittimo) con quello da te citato ovvero scvhost.exe

[goma76]

Originariamente inviato da Chill-Out

Ciao e benvenuto segui la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

Ogni singolo log, esclusivamente in formato txt a parte SynInspector e nell'ordine indicato in Guida, deve essere hostato su Fileqube, clicca qui per raggiungere Fileqube, pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download

NB: non eliminare file a sentimento, sicuro di non aver confuso svchost.exe (processo legittimo) con quello da te citato ovvero scvhost.exe

Grazie per i consigli, sto seguendo la guida passo passo ma già da subito non riesco a scaricare ATF-cleaner, non riesco a collegarmi al sito.
E' un po' come la questione precedente dell'aggiornamento di Spyware Doctor, non riesco a collegarmi a quei siti dove si scarica materiale contro i virus.
Tengo a precisare che la navigazione internet funziona a dovere, non riesco ad entrare nei siti sopracitati.

[xcdegasp]

Originariamente inviato da goma76

Grazie per i consigli, sto seguendo la guida passo passo ma già da subito non riesco a scaricare ATF-cleaner, non riesco a collegarmi al sito.
E' un po' come la questione precedente dell'aggiornamento di Spyware Doctor, non riesco a collegarmi a quei siti dove si scarica materiale contro i virus.
Tengo a precisare che la navigazione internet funziona a dovere, non riesco ad entrare nei siti sopracitati.

prova a proseguire con la scaletta, vediamo così cosa riesci a visitare

[goma76]

Originariamente inviato da xcdegasp

prova a proseguire con la scaletta, vediamo così cosa riesci a visitare

Ciao, della scaletta sono riuscito ad eseguire solo A-squared ed HijackThis
Quindi ho solo i due logs relativi:
http://www.fileqube.com/file/ZgzecNiEd139570
Non so dove postare, lo faccio qui per non inquinare il forum.
Ringrazio tutti coloro che mi daranno una mano per risolvere questo problema.

[techdesign]

Scusate l'intromissione, ma credo di esser incappato anch'io nel suddetto spiacevole inconveniente.
Ho lanciato un eseguibile poco raccomandabile e subito dopo si è aperto firefox su un sito di casino on line mentre nod tentava di bloccare l'infezione. Ma non conoscendola non mi faceva far nulla.
Il primo file era in effetti questo beep.sys, gli altri li ho visti infettarsi man mano.
Ho appena lanciato kaspersky virus removal tool appena scaricato e lascio andare la scansione.

Ma una domanda da ingorante mi sta sovvenendo per la risoluzione indolore del problema.

Kaspersky mi ha appena detto che il file svchost.exe è stato infettato da Heur.Trojan.Generic (modification) ma ho visto che non me lo disinfetta e mi chiede solo se rimuoverlo, cosa che ovviamente non potrò assolutamente fare.
Se a fine scansione, fermassi il processo, cancellassi il file e incollassi lo stesso file non infetto proveniente da un mio altro pc in luogo di quello eliminato ed infetto?
Credete che potrei ovviare al problema? o non si risolverebbe niente in quanto i file non sono identici? Troppo "brute force" come intervento?

Vi ringrazio anticipatamente.

[xcdegasp]

Originariamente inviato da techdesign

Scusate l'intromissione, ma credo di esser incappato anch'io nel suddetto spiacevole inconveniente.
Ho lanciato un eseguibile poco raccomandabile e subito dopo si è aperto firefox su un sito di casino on line mentre nod tentava di bloccare l'infezione. Ma non conoscendola non mi faceva far nulla.
Il primo file era in effetti questo beep.sys, gli altri li ho visti infettarsi man mano.
Ho appena lanciato kaspersky virus removal tool appena scaricato e lascio andare la scansione.

Ma una domanda da ingorante mi sta sovvenendo per la risoluzione indolore del problema.

Kaspersky mi ha appena detto che il file svchost.exe è stato infettato da Heur.Trojan.Generic (modification) ma ho visto che non me lo disinfetta e mi chiede solo se rimuoverlo, cosa che ovviamente non potrò assolutamente fare.
Se a fine scansione, fermassi il processo, cancellassi il file e incollassi lo stesso file non infetto proveniente da un mio altro pc in luogo di quello eliminato ed infetto?
Credete che potrei ovviare al problema? o non si risolverebbe niente in quanto i file non sono identici? Troppo "brute force" come intervento?

Vi ringrazio anticipatamente.

il file identificato non è di certo c:\windows\system32\svchost.exe bensì in altro percorso o eventualmente il virus ha sostituito il corretto file con una copia ma appositamente realizzata per l'infezione quindi quello reale sarebbe nel percorso c:\windows\system32\bak\svchost.exe
devi dare corso a quello che ti chiede.

comunque kaspersky viene dopo malwarebytes e a-squared, sicuro di aver fatto anche queste prima?
Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti

se i virus fossero stupidi e innoqui non sareste qui a supplicare il nostro aiuto, se vuoi perdere tempo puoi anche dare sfogo a tutte le tue idee più creative ma dubito che otterresti risultati soddisfacenti a sostituire degli exe..
comunque se non hai voglia o tempo esiste la procedura veloce che prevede il solo PrevxCSI e di seguire le poche e semplici indicazioni a video

[xcdegasp]

Originariamente inviato da goma76

Ciao, della scaletta sono riuscito ad eseguire solo A-squared ed HijackThis
Quindi ho solo i due logs relativi:
http://www.fileqube.com/file/ZgzecNiEd139570
Non so dove postare, lo faccio qui per non inquinare il forum.
Ringrazio tutti coloro che mi daranno una mano per risolvere questo problema.

ottimo riprova ora a scaricare malwarebytes e gli altri software, altrimenti vedrò si shararteli in qualche modo

[goma76]

Originariamente inviato da xcdegasp

ottimo riprova ora a scaricare malwarebytes e gli altri software, altrimenti vedrò si shararteli in qualche modo

Sono riuscito a scaricare Malwarebytes e dopo aver lanciato una scansione, mi ha trovato dei processi infetti e dopo aver proceduto all'eliminazione, ora il problema di reindirizzamento in google è sparito. Allego il file di log.
Ora cosa dovrei fare? Procedere con la scaletta comunque?
Rinnovo i miei ringraziamenti al moderatore xcdegasp.