TR/Crypt.XPACK.Gen su csrssc.exe

[barbapapa84]

Aiuto.
Ho questo virus che mi ha infettato un processo critico di Windows, ovvero csrssc.exe
Stessa cosa su mss32[1].exe

AntiVir me lo rileva, ma non me lo rimuove. Ogni scansiuone che faccio me lo ritrova da capo. Il computer è diventato lento, ogni tanto si riavvia, si blocca nello startup. Non so che cosa fare.

[lolloclat]

segui la guida di disinfezione per infetti postando i log in ordine come ti dice lì
hai scaricato avira antivir quando? in questo sito c'è un'ottima guida per configurarlo al meglio.
facci sapere
ciao

[barbapapa84]

Ho seguito. Non tutti programmi funzionano.
Comunque AntiVir me li ha rilevati correttamente. Sta di fatto che non so come procedere, se eliminarli o meno.

Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Documents and Settings\xp\Impostazioni locali\Temp\TDSSeea1.tmp
[FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen
[HINWEIS] Die Datei wurde gelöscht.
C:\WINDOWS\system32\TDSScfub.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.adb
[HINWEIS] Die Datei wurde gelöscht.
C:\WINDOWS\system32\TDSSfpmp.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.acs
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feaf7.qua' verschoben!
C:\WINDOWS\system32\TDSShrxm.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.adb
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48f181c0.qua' verschoben!
C:\WINDOWS\system32\TDSSnmxa.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.KD
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feaf9.qua' verschoben!
C:\WINDOWS\system32\TDSSnmxh.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.acs
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48f181c2.qua' verschoben!
C:\WINDOWS\system32\TDSSnrsr.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.KD
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feaf8.qua' verschoben!
C:\WINDOWS\system32\TDSSoeqh.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.adb
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48f181c1.qua' verschoben!
C:\WINDOWS\system32\TDSSoexh.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.adb
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feafa.qua' verschoben!
C:\WINDOWS\system32\TDSSosvd.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.acs
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48f181c3.qua' verschoben!
C:\WINDOWS\system32\TDSSrhym.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.KD
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feafb.qua' verschoben!
C:\WINDOWS\system32\TDSSvkql.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.acs
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48f181c4.qua' verschoben!
C:\WINDOWS\system32\TDSSxfum.dll
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.KD
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feafd.qua' verschoben!
C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\WINDOWS\system32\drivers\TDSSmqlt.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\WINDOWS\Temp\TDSSe14a.tmp
[FUND] Ist das Trojanische Pferd TR/Rootkit.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feb3c.qua' verschoben!
C:\WINDOWS\Temp\TDSSe416.tmp
[FUND] Enthält Erkennungsmuster des Rootkits RKIT/TDss.G.22
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48f18005.qua' verschoben!
C:\WINDOWS\Temp\TDSSe474.tmp
[FUND] Enthält Erkennungsmuster des Rootkits RKIT/TDss.G.22
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feb3d.qua' verschoben!
C:\WINDOWS\Temp\TDSSe6c8.tmp
[FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48f18006.qua' verschoben!
C:\WINDOWS\Temp\TDSSea60.tmp
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.JW
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feb3f.qua' verschoben!
C:\WINDOWS\Temp\TDSSea6f.tmp
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.JW
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48f18078.qua' verschoben!
C:\WINDOWS\Temp\TDSSef51.tmp
[FUND] Enthält Erkennungsmuster des Rootkits RKIT/TDss.G.22
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '498feb3e.qua' verschoben!
C:\WINDOWS\Temp\TDSSf4cf.tmp
[FUND] Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/TDSS.JW
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48f18007.qua' verschoben!

[wizard1993]

a) i log vanno allegati e vanno eseguiti tutti nell'ordine richiesto
b) il tedesco non lo digerisco

[holsen1982]

Ciao a tutti..ragazzi,ho estremo bisogno del vostro aiuto..credo che il pc della mia cuginetta sia ridotto abbastanza maluccio..partiamo dal fatto che dovevo semplicemente configurare una connessione adsl..e una volta acceso il pc,all'avvio mi è comparsa questa schermata:
http://www.fileqube.com/file/FYMTDdEEV196534
ho deciso di disinstallare mcafee e installare avira..nel frattempo,altra schermata:
http://www.fileqube.com/file/bTMnfSgTv196535
dopo esser riuscito ad installarlo,sebbene con qualche problemino,ho deciso di intraprendere la guida alla disinfezione..durante le scansioni di malwarebytes e a-squared,avira mi ha senalato ben 4 virus:
http://www.fileqube.com/file/oQnjQCV196536
http://www.fileqube.com/file/oQnjQCV196536
http://www.fileqube.com/file/HxDAbHknV196538
http://www.fileqube.com/file/iwMlDU196539
vi riporto di seguito i logs e le problematiche riscontrate per ogni programma:
malwarebytes:mbam-log-2002-01-01 (00-42-28).txt
problematica:http://www.fileqube.com/file/coLPHTv196546

a-squared:http://wikisend.com/download/903066/...101-001600.txt
problematica:http://www.fileqube.com/file/KmXcJXs196547

f-secure:f-secure.txt

drweb: problematica per la quale non posso eseguirlo:
http://www.fileqube.com/file/MoFIZHa196550


eset:SysInspector-RENATA-6EVXN2C6-011231-2306.xml

hijackthis:hijackthis.txt

gmer:gmer.txt-nessuna voce in rosso anche soapetto di un suo crash..

prevx:la stampa dello schermo risultava "clean"..ecco il log:
prevx.txt

in attesa al più presto di vostre procedure,vi ringrazio in anticipo per la vostra gentile e continua collaborazzione..

[wjmat]

Originariamente inviato da holsen1982

Ciao a tutti..ragazzi,ho estremo bisogno del vostro aiuto..credo che il pc della mia cuginetta sia ridotto abbastanza maluccio..partiamo dal fatto che dovevo semplicemente configurare una connessione adsl..e una volta acceso il pc,all'avvio mi è comparsa questa schermata:
http://www.fileqube.com/file/FYMTDdEEV196534
ho deciso di disinstallare mcafee e installare avira..nel frattempo,altra schermata:
http://www.fileqube.com/file/bTMnfSgTv196535
dopo esser riuscito ad installarlo,sebbene con qualche problemino,ho deciso di intraprendere la guida alla disinfezione..durante le scansioni di malwarebytes e a-squared,avira mi ha senalato ben 4 virus:
http://www.fileqube.com/file/oQnjQCV196536
http://www.fileqube.com/file/oQnjQCV196536
http://www.fileqube.com/file/HxDAbHknV196538
http://www.fileqube.com/file/iwMlDU196539
vi riporto di seguito i logs e le problematiche riscontrate per ogni programma:
malwarebytes:mbam-log-2002-01-01 (00-42-28).txt
problematica:http://www.fileqube.com/file/coLPHTv196546

a-squared:http://wikisend.com/download/903066/...101-001600.txt
problematica:http://www.fileqube.com/file/KmXcJXs196547

f-secure:f-secure.txt

drweb: problematica per la quale non posso eseguirlo:
http://www.fileqube.com/file/MoFIZHa196550


eset:SysInspector-RENATA-6EVXN2C6-011231-2306.xml

hijackthis:hijackthis.txt

gmer:gmer.txt-nessuna voce in rosso anche soapetto di un suo crash..

prevx:la stampa dello schermo risultava "clean"..ecco il log:
prevx.txt

in attesa al più presto di vostre procedure,vi ringrazio in anticipo per la vostra gentile e continua collaborazzione..

ciao

non possiamo capire che hai fatto con le infezioni trovate da Malwarebytes' Anti-Malware
se li hai eliminati dopo aver salvato il log fai
Start -> Esegui -> Copia ed incolla %appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs (invio)
e carica l'ultimo log in ordine di tempo
altrimenti riesegui la scansione completa, elimina tutto e carica il nuovo log


Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio ()

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O4 - HKLM\..\Run: [Windows Config System] config.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Programmi\File comuni\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [RoxioDragToDisc] "C:\Programmi\Roxio\Easy CD Creator 6\DragToDisc\DrgToDsc.exe"
O4 - HKLM\..\Run: [RoxioAudioCentral] "C:\Programmi\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [NBJ] "C:\Programmi\Ahead\Nero BackItUp\NBJ.exe"
O4 - Global Startup: Alice ti aiuta.lnk = C:\Programmi\Alice ti aiuta\bin\matcli.exe
O4 - Global Startup: Picture Package Menu.lnk = C:\Programmi\Sony Corporation\Picture Package\Picture Package Menu\SonyTray.exe
O4 - Global Startup: Picture Package VCD Maker.lnk = C:\Programmi\Sony Corporation\Picture Package\Picture Package Applications\Residence.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site .cab?1171740472607
O16 - DPF: {C237A80A-4C55-4C68-BAA9-CBE4408D12B2} (F-Secure Online Scanner 4.0 Launcher) - http://download.sp.f-secure.com/ols/f-secure-rtm/resources/fslauncher.cab

se antivir non era configurato adeguatamente configuralo come indicato qui, fai una scansione completa e carichi il log/report

dovrai aggiornare
Windows al service pack 3
Explorer alla versione 8

[holsen1982]

Originariamente inviato da wjmat

ciao

non possiamo capire che hai fatto con le infezioni trovate da Malwarebytes' Anti-Malware
se li hai eliminati dopo aver salvato il log fai
Start -> Esegui -> Copia ed incolla %appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs (invio)
e carica l'ultimo log in ordine di tempo
altrimenti riesegui la scansione completa, elimina tutto e carica il nuovo log


Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio ()

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O4 - HKLM\..\Run: [Windows Config System] config.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Programmi\File comuni\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [RoxioDragToDisc] "C:\Programmi\Roxio\Easy CD Creator 6\DragToDisc\DrgToDsc.exe"
O4 - HKLM\..\Run: [RoxioAudioCentral] "C:\Programmi\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [NBJ] "C:\Programmi\Ahead\Nero BackItUp\NBJ.exe"
O4 - Global Startup: Alice ti aiuta.lnk = C:\Programmi\Alice ti aiuta\bin\matcli.exe
O4 - Global Startup: Picture Package Menu.lnk = C:\Programmi\Sony Corporation\Picture Package\Picture Package Menu\SonyTray.exe
O4 - Global Startup: Picture Package VCD Maker.lnk = C:\Programmi\Sony Corporation\Picture Package\Picture Package Applications\Residence.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site .cab?1171740472607
O16 - DPF: {C237A80A-4C55-4C68-BAA9-CBE4408D12B2} (F-Secure Online Scanner 4.0 Launcher) - http://download.sp.f-secure.com/ols/f-secure-rtm/resources/fslauncher.cab

se antivir non era configurato adeguatamente configuralo come indicato qui, fai una scansione completa e carichi il log/report

dovrai aggiornare
Windows al service pack 3
Explorer alla versione 8

grazie wjmat per la tua pronta risposta.. appena ho l'occasione di andare dalla mia cuginetta(ahimè dista 10 km da casa mia),eseguirò i tuoi consigli.. nel frattempo..la mia cuginetta ha 11 anni e diciamo che sarà l'unica ad usufruire veramente del pc..domanda forse banale..può iscriversi al forum o deve essere maggiorenne?ulteriore domanda tecnica e poi chiudo..ho visto che l'orario e la data del pc sono sempre sballati..per quel poco di esperienza personale,dovrebbe trattarsi della batteria..o ci sono altre ipotesi?ti ringrazio nuovamente.. a presto..

[wjmat]

non è necessario essere maggiorenni

per il problema dell'ora direi anche io che si dovrebbe trattare della batteria

[holsen1982]

Originariamente inviato da wjmat

non è necessario essere maggiorenni

per il problema dell'ora direi anche io che si dovrebbe trattare della batteria

eccomi..riguardo malwarebytes ho trovato questo:
mbam-log-2002-01-01 (00-43-14).txt
spero sia l'ultimo in ordine di tempo,altrimenti rieseguirò di nuovo tutto...
con hijackthis tutto ok..passiamo ad avira,che l'avevo già configurato come da guida..il problema che avevo riscontrato era durante l'installazione..per sicurezza,l'ho fatto comunque girare in modalità provvisoria e questo è il log:
AVSCAN-20020101-000958-1BC19928.LOG..
finchè attendo tue risposte,aggiorno il sistema operativo..a presto

[Chill-Out]

Avira non è configurato coma da Guida

[holsen1982]

Originariamente inviato da Chill-Out

Avira non è configurato coma da Guida

strano..eh si che ho seguito passo passo tutte le procedure..scusa chill,ma come hai fatto a scoprire che non è configurato come da guida? ..per wj mat..finito di aggiornare il sistema operativo,devo togliere qualche altra voce che malwarebytes o a-squared mi hanno segnalato oppure per la pulizia è a posto cosi?

[Chill-Out]

Originariamente inviato da holsen1982

strano..eh si che ho seguito passo passo tutte le procedure..scusa chill,ma come hai fatto a scoprire che non è configurato come da guida? ..per wj mat..finito di aggiornare il sistema operativo,devo togliere qualche altra voce che malwarebytes o a-squared mi hanno segnalato oppure per la pulizia è a posto cosi?

Leggendo il log

[holsen1982]

Originariamente inviato da Chill-Out

Leggendo il log

perfetto..ho effettuato pure l'upgrade,passandolo alla nuova versione in italiano..installato,configurato e lanciata la scansione in modalità provvisoria..ecco il responso:
AVSCAN-20090518-191921-474C532A.LOG
resto in attesa se devo procedere con qualche altra operazione per la pulizia.. altrimenti se il pc risulta pulito,proseguo con il trattamento post-disinfezione..grazie

P.S.
Sto scrivendo dal pc della mia cuginetta e non mi da la possibilità di inserire le faccine..se ci vado sopra con il mouse,non compare la fatidica mano..come mai?

[Chill-Out]

Originariamente inviato da holsen1982

perfetto..ho effettuato pure l'upgrade,passandolo alla nuova versione in italiano..installato,configurato e lanciata la scansione in modalità provvisoria..ecco il responso:
AVSCAN-20090518-191921-474C532A.LOG
resto in attesa se devo procedere con qualche altra operazione per la pulizia.. altrimenti se il pc risulta pulito,proseguo con il trattamento post-disinfezione..grazie

P.S.
Sto scrivendo dal pc della mia cuginetta e non mi da la possibilità di inserire le faccine..se ci vado sopra con il mouse,non compare la fatidica mano..come mai?

Puoi proseguire col trattamento, ciao

[holsen1982]

scusa chill o wjmat..ma updatechecker non mi lascia fare un aggiornamento della scheda ati..se provo a farlo,mi compare questa schermata:
problema driver.JPG
ho utilizzato wikisend poichè fileqube è temporaneamente fuori servizio..attendo vostre soluzioni..

[Chill-Out]

Originariamente inviato da holsen1982

scusa chill o wjmat..ma updatechecker non mi lascia fare un aggiornamento della scheda ati..se provo a farlo,mi compare questa schermata:
problema driver.JPG
ho utilizzato wikisend poichè fileqube è temporaneamente fuori servizio..attendo vostre soluzioni..

Ciao chiedi nel 3D dedicato alla tua scheda