Virus w32.randex.gen

[Iceblink666]

Salve a tutti, ho un problema con il virus w32.randex.gen

Ho win2000 e il Norton Antivirus 2003, tutto tranquillo fino all'altro giorno quando viene rilevato questo virus. L'antivirus dice che automaticamente lo ha già rimosso, ma ogni tanto questo messaggio ricompare (spesso )

Ieri allora, dopo aver fatto scansioni con Adaware6 e Spybot, ho fatto una scansione completa con Norton in modalità provvisoria, e aveva trovato un paio di file infetti.

Ma oggi il virus ancora è ricomparso , qualcuno ha avuto a che fare con questo virus ed ha risolto il problema? Dubito che un firewall possa risolvere il problema....non esiste un tool di Norton a parte per rimuovere il virus? Sono costretto a formattare?

[Tjherg]

Ti ho trovato delle informazioni sul sito della Trend micro
il virus che hai preso è un worm che si autocarica all'avvio di windows:

This worm arrives through network shares. It copies itself to the shared folder, C$\WINNT\System32, as the file MSMONK32.EXE. It also drops copies of itself, then modifies the Windows registry so that it runs at every system startup.
It is able to perform Denial of Service (DoS) attacks against locations specified by the remote attacker. This malware also has backdoor capabilities, enabling it to perform several malicious (and also non-malicious) actions on the affected system.

It runs on Windows NT, 2000 and XP.



Solution:
Terminating the Malware Program

This procedure terminates the running malware process from memory.

Open Windows Task Manager. Press
CTRL+SHIFT+ESC, and click the Processes tab.
In the list of running programs, locate the process:
MSDEVDLL32.EXE
Select the malware process, then press either the End Task or the End Process button, depending on the version of Windows on your system.
To check if the malware process has been terminated, close Task Manager, and then open it again.
Close Task Manager.
Removing Autostart Entries from the Registry

Removing autostart entries from the registry prevents the malware from executing during startup.

To remove the malware autostart entries:

Open Registry Editor. To do this, click Start>Run, type Regedit, then press Enter.
In the left panel, double-click the following:
HKEY_LOCAL_MACHINE>Software>Microsoft>
Windows>CurrentVersion>Run
In the right panel, locate and delete the entry or entries:
Microsoft Windows Runtime DLL Services=msdevdll32.exe
In the left panel, double-click the following:
HKEY_LOCAL_MACHINE>Software>Microsoft> Windows>
CurrentVersion>RunServices
In the right panel, locate and delete the entry or entries:
Microsoft Windows Runtime DLL Services=msdevdll32.exe
Close Registry Editor.

[Iceblink666]

Thx delle info, ma purtroppo ho controllato ora e questi valori non sono compresi, nè nel registro, nè nell'elenco dei processi

Il file che sembra essere sempre infettato (ed eliminato) è "C:\WINNT\system32\netd32.exe"

Ora magari l'antivirus riesce sempre a fermarlo, ma l'avviso che compare continuamente è abbastanza fastidioso

L'unica causa che mi viene in mente (anche perchè non scarico mai programmi sospetti o vado in certi siti) è l'installazione molto recente di un pacchetto codec Kazaalite (con BSPlayer incluso).

[Pola]

Spostato nella sezione Antivirus & Sicurezza.

[MrOZ]

Randex.Gen significa ke il virus-worm fa parte della famiglia generica di Randex, quindi quello da te preso potrebbe essere 1 variante o 1 mutazione.

Si diffonde tramite la condivisione di reti, P2P, chat, etc... quindi quando fai la scan anke in modalità provvisoria assicurati di aver isolato il pc dalla rete casalinga (se hai altri pc in lan con esso). Disattiva anke ripristino config di sistema.

Il worm ha anke capacità di backdoor, apre diverse porte quindi è necessario disporre di 1 firewall x proteggersi.

Se Norton nn lo debella completamente prova con altri AV oppure con antitrojan specifici come a2 free (w*w.a-2.org) o TrojanHunter (trovi la ver trial al sito w*w.misec.net).

Qui http://www.nod32.it/home/home.htm c'è 1 tool di rimozione x Randex.E. Provalo in modalità provvisoria col System Restore disattivato.

Ciao.

[Iceblink666]

Va bene ora provo. Thx

[Iceblink666]

Non ha rilevato nulla purtroppo...spero che l'avviso del virus non venga più

[Iceblink666]

Il virus è ancora nel computer

[MrOZ]

Cosa hai provato a fare finora e ke prog hai usato???


Hai disattivato system restore e provato Norton in modalità provvisoria????


Symantec ad es. dice questo:

- If any files are detected as W32.Randex.gen, note the path and file names, and then click Delete.

- Navigate to the key:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

and in the right panel, delete any values that refer to the worm files.

[MrOZ]

Se Norton lo riconosce come .gen, significa ke il virus è individuato dall'euristica dell'AV e ke quella variante nn è ancora compresa nelle firme virali... quindi, come sottolineato anke dalla symantec nel suo sito, dovresti inviarlo a loro (o a qualke altro sviluppatore di software AV o AT) in modo ke venga sottoposto ad analisi ed aggiunto al DB delle definizioni.

Questa procedura dovrebbe essere seguita da tutti coloro ke scoprono nel loro pc 1 virus nuovo o 1 nuova variante ke nn viene riconosciuta o killata da qualke software AV specifico.
In questo modo si contribuirà allo sviluppo di questi prodotti ke tutelano la sicurezza del pc e si eviterà ke altri utenti abbiano in futuro gli stessi problemi.


Ciao.

[Iceblink666]

Nessuna delle key citate sono presenti nel registro, anche questo mi ha lasciato perplesso.

Attualmente ho usato Panda (uno scan online), Etrust Antivirus, Trojan hunter e anche qualche altro appz x trojan di cui non ricordo il nome, ma ancora niente.

Non avevo pensato alla quarantena, ma attualmente ho 75 file (sempre lo stesso file cmq) file messi in "Backup", anzichè nella quarantena, sembra che da li nè posso spostarli in quarantena, nè posso inviarli alla Symantec

In giro nel frattempo ho letto di altra gente che con questo virus ha avuto problemi, forse a breve nel Norton aggiorneranno le definizioni anche per questo virus.