Di nuovo Conficker!

[andrea.ippo]

Dopo essermelo beccato durante la prima epidemia (fine dicembre, con tanto di 2 gennaio passato a formattare...), oggi scopro di averlo ancora (o forse è meglio dire "di nuovo").

Il defense+ (modulo HIPS) di Comodo mi ha avvisato di aver isolato svchost perché soggetto a (o causa di, non ricordo) un attacco shellinjection buffer overflow (non chiedetemi cosa sia )

Se gli faccio terminare il processo, mi scompare il tema di win e mi viene quello bruttissimo stile win2000, mi si disconnette il pc dalla rete ecc (insomma tutti i servizi dipendenti da quell'istanza di svchost vengono terminati)
Se lo faccio continuare, esce subito fuori un popup del Guard di Antivir (free, v.9) che mi rileva come infetto il file C:\WINDOWS\system32\x
Lo invio prontamente a Virustotal, e questo è il responso, disastroso:

https://www.virustotal.com/it/analis...1b7a19ca078a88

Ditemi da dove devo iniziare, per ora scrivo da ubuntu e mi tengo le parate

Grazie

[Chill-Out]

Ciao segui questa procedura:


1 Disabilita il ripristino configurazione sistema -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

2 Fai pulizia con ATF Cleaner -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

3 Scarica questo Tool f-downadup sul DeskTop scompattalo direttamente nella Directory C:\
Da Start - Esegui - digita f-downadup.exe --disinfect e clicca su OK
Attendi pazientemente ed al termine riavvia il PC, il log per il controllo lo trovi in C:\Windows\temp

4 Fai girare questo tool -> Download e Info

5 Fai girare questo tool http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

6 Scansione completa con A-Squared come indicato qui -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737 al Punto 3


NB: è assolutamente consigliato scaricare i tool sopra indicati e seguire la procedura offline

*** REGOLE di SEZIONE - obbligatoria la lettura!! *** --> dove troverai le modalità per allegare i log

[andrea.ippo]

Allora:

Originariamente inviato da Chill-Out

Ciao segui questa procedura:


1 Disabilita il ripristino configurazione sistema -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

2 Fai pulizia con ATF Cleaner -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

fatto

3 Scarica questo Tool f-downadup sul DeskTop scompattalo direttamente nella Directory C:\
Da Start - Esegui - digita f-downadup.exe --disinfect e clicca su OK
Attendi pazientemente ed al termine riavvia il PC, il log per il controllo lo trovi in C:\Windows\temp

fatto, in modalità non interattiva (quindi solo scansione senza disinfezione). Mi ha detto che il pc è pulito. Ecco il log:

Ok Loading BitDefender Engines
State 0
Sleeping 3 seconds...
Found so far : 0x0 files/regs
Searching for Downadup file .... 
   - System folder 
   - Temporary folder 
tkown -> C:\DOCUME~1\Andrea\IMPOST~1\Temp\ICACHE-14B5B6BB.tmp
tkown -> C:\DOCUME~1\Andrea\IMPOST~1\Temp\ILIST-28CAE025.tmp
tkown -> C:\DOCUME~1\Andrea\IMPOST~1\Temp\pxvC.tmp
tkown -> C:\DOCUME~1\Andrea\IMPOST~1\Temp\pxvD.tmp
tkown -> C:\DOCUME~1\Andrea\IMPOST~1\Temp\pxvE.tmp
   - Program Files 
   - Application Data 
Found so far : 0x0 files/regs
No Traces of Downadup Worm were found

4 Fai girare questo tool -> Download e Info

5 Fai girare questo tool http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

Log:
ComboFix_1237827793759_61.txt

Non sono riuscito a disattivare del tutto Antivir (ho disattivato il guard ma il processo avguard.exe era ancora in esecuzione e non posso terminarlo a mano).

6 Scansione completa con A-Squared come indicato qui -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737 al Punto 3

Fallisce l'installazione nella creazione della cartella per la quarantena

NB: è assolutamente consigliato scaricare i tool sopra indicati e seguire la procedura offline

*** REGOLE di SEZIONE - obbligatoria la lettura!! *** --> dove troverai le modalità per allegare i log

Fatto anche questo, tutto offline

Grazie

[Chill-Out]

Allega su uno dei Server Remoti indicati nelle Regole di sezione in firma un log di Gmer -> Punto 8 http://www.hwupgrade.it/forum/showthread.php?t=1599737

[andrea.ippo]

Originariamente inviato da Chill-Out

Allega su uno dei Server Remoti indicati nelle Regole di sezione in firma un log di Gmer -> Punto 8 http://www.hwupgrade.it/forum/showthread.php?t=1599737

http://www.mediafire.com/?sharekey=6...4e75f6e8ebb871

l'ultima riga (***hidden***) veniva segnalata in rosso e il menu contestuale non mi permetteva di fare nulla per tale oggetto

[wjmat]

di asquared prova questa versione senza installazione
http://download1.emsisoft.com/a2usb.zip

[andrea.ippo]

Ho risolto (spero) formattando, ma ti ringrazio lo stesso.
Anzi ora che ho una versione no install magari lo uso, anziché tenere il setup in disparte e non chiamarlo mai in causa salvo casi disperati