worm conficker

[fulgab]

da qualche giorno l'antivirus (nod32) mi segnala questo worm con variante a /aa / ai a volte oltre la segnalazione dell'antivirus compare anche un messaggio di windows dove è segnalato un problema su svchost dopodichè il pc non si connette più e si blocca, ho provato a fare parecchie scansioni con tools aggiornati ma non viene rilevato nulla apparte cockie.
grazie per l'aiuto.

[Chill-Out]

Ciao segui questa procedura:


1 Disabilita il ripristino configurazione sistema -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

2 Fai pulizia con ATF Cleaner -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

3 Scarica questo Tool f-downadup sul DeskTop scompattalo direttamente nella Directory C:\
Da Start - Esegui - digita f-downadup.exe --disinfect e clicca su OK
Attendi pazientemente ed al termine riavvia il PC, il log per il controllo lo trovi in C:\Windows\temp

4 Fai girare questo tool -> Download e Info

5 Fai girare questo tool http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

6 Scansione completa con A-Squared come indicato qui -->> http://www.hwupgrade.it/forum/showthread.php?t=1599737 al Punto 3


NB: è assolutamente consigliato scaricare i tool sopra indicati e seguire la procedura offline

*** REGOLE di SEZIONE - obbligatoria la lettura!! *** --> dove troverai le modalità per allegare i log

[fulgab]

log f-secure http://www.fileqube.com/file/TWGHafztT182868
http://www.fileqube.com/file/RsdNMe182869
log combofix http://www.fileqube.com/file/LqZwCV182870
log hijackthis http://www.fileqube.com/file/tFgSXQ182871

grazie,saluti.

ho dimenticato di fare la scansione con A-Squared, anche se già fatta un paio di giorni fa senza che avesse rilevato nulla, provvedo in giornata
ancora grazie.

[Chill-Out]

Originariamente inviato da fulgab

log f-secure http://www.fileqube.com/file/TWGHafztT182868
http://www.fileqube.com/file/RsdNMe182869
log combofix http://www.fileqube.com/file/LqZwCV182870
log hijackthis http://www.fileqube.com/file/tFgSXQ182871

grazie,saluti.

ho dimenticato di fare la scansione con A-Squared, anche se già fatta un paio di giorni fa senza che avesse rilevato nulla, provvedo in giornata
ancora grazie.

Se non erro manca il Punto 4

[fulgab]

si scusa ma stamattina dormivo!
provvedo nel mezzogiorno.

[fulgab]

ho rifatto tutto:

f-secure-engine http://www.fileqube.com/file/YiuCIdPn183361
f-secure-scan http://www.fileqube.com/file/wjoMYZUe183362
Win32.Worm.Downladup.Gen http://www.fileqube.com/file/CDpzBLnz183363
ComboFix http://www.fileqube.com/file/ekMsUMVQB183364
a2scan_090324-190958 http://www.fileqube.com/file/XGlBqboVD183367
hijackthis http://www.fileqube.com/file/ODjYSaNJ183369

spero di aver fatto tutto!

grazie.

[Chill-Out]

Bene, riscontri ancora problemi?

[fulgab]

in effetti è da ieri sera ch il pc è connesso e per ora non ho più riscontrato il problema inoltre mi semra di aver capito che il problema non fosse "conficker", che veniva segnalato e terminato dal nod32, ma quella voce segnalata da a-squared "backdoor.win32.rbot.kos!a2". correggimi se sbaglio (non sono molto esperto di queste problematiche).
il fatto di aver disinstallato outpost e ripristinato il firewall di windows potrebbe aver creato il problema?
ora sto usando comodo mi sembra più intuitivo, posso continuare ad usare questo?
un consiglio meglio nod32 o avast?
grazie mille dell'aiuto, saluti.

[Chill-Out]

Ti suggerisco di leggere questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1726383 dove trovera le indicazione su come aggiornare il SO (devi aggiornare al SP3) i software complementari e migliorare la sicurezza del PC
Fra Avast e Nod32 io personalmente scelgo Nod32 senza ombra di dubbio per quanto concerne la scelta del Firewall fai riferimento alla Guida, ciao

[fulgab]

ciao chill! dopo aver aggiornato windows al sp3 mi si presenta un nuovo problema alla rete che non so se sia dovuto all'infezione o all'aggiornamento, i due pc in rete (entrambe con winxp sp3 - nod32 - online armor) si vedono a fasi alterne, il server non vede il client ma il client vede il server, a volte condividono la connessione (senza però riuscire ad aprire il browser ie) e a volte no; ho però notato una strana cosa sul pc dove ho avuto l'infezione (che fa da client) aprendo la finestra del firewall di win lo da attivo quando clicco per impostralo mi da un messaggio di errore del tipo:
"impossibile visualizzare le in formazioni di windows firewall il relativo servizio non è avviato. avviare il servizio di win firewall / condivisione connessione internet ics?" scegliendo "si" il firewall si disattiva e la condivisione funziona (scarica e si aggiorna l'antivirus ma non riesco comunque a navigare) il problema è che comunque il tutto è molto instabile a volte riesco ad accedere alla rete locale e a volte no inoltre al riavvio il problema firewall sopracitato è lo stesso . per il resto il pc funziona perfettamente.

grazie della pazienza. saluti

[Chill-Out]

Cioa il FW di Win dovrebbe essere disattivato in fuzione del fatto che usi OA

[juninho85]

è possibile trovare un backup dei file rimossi da f-downadup?:

[Chill-Out]

Originariamente inviato da juninho85

è possibile trovare un backup dei file rimossi da f-downadup?:

No

[juninho85]

Premessa:effettuate rimozioni sia con downuap,combifix e cleaner microsoft...il malware viene rimosso(dll,servizi e chiave di registro) ma prontamente al successivo riavvio si rigenera la dll con lo stesso nome e il servizio e le chiavi di registro con nomi random....presenti ads su svchost.exe e ntkrnlpa.exe,anch'essi si rigenerano.
la dll viene bloccata dal servizio svchost.exe,per cui qualsiasi azione sullo stesso è consentita solo con unlocker...nemmeno avenger riesce a schiodarlo.
il malware genera una mole infinita di file temporanei con estensione exe travisata in gif,bmp o jpg
non vi è nessuna manomissione dell'mbr,almeno per ora
log di gmer:http://mio.discoremoto.alice.it/juninho85/log.log

per me c'è qualche .sys che mi sfugge

[Chill-Out]

Fai girare il Removal Tool targato BitDefender http://www.bdtools.net/how-to-remove-downadup.php e successivamente ancora ComboFix, allega entrambi i log su http://fileqube.com/

[juninho85]

il tool bitdefender non rileva nulla
combofix:http://mio.discoremoto.alice.it/juninho85/ComboFix.txt
notare questa riga:

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"6317:TCP"= 6317:TCP:qeyckt

i servizi sotto svchost non ci sono in quanto già eliminati manualmente,o comunque non son visibili

aggiornamenti:ora avira rileva un c:\windows\system32\x...stesso MD5 della dll...presumo sia il file da cui si rigeneri...elimini entrambi ma comunque tutto si rigenera

...e stesso MD5 di un altra DLL infetta in un altro pc in rete...

[Chill-Out]

Allega il log su http://fileqube.com/

Errore

Si è verificato un errore e non è stato possibile effettuare l’operazione richiesta.
Ti preghiamo di riprovare più tardi.

[juninho85]

ho corretto

[wjmat]

Originariamente inviato da juninho85

i servizi sotto svchost non ci sono in quanto già eliminati manualmente,o comunque non son visibili

questi non erano quindi visibili "ad occhio nudo"?

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
ebhzbjapc
asrxo
dmibz
wwsdhnup
gyzcv

[juninho85]

no...li avevo già rimossi manualmente