Trojan Horse BackDoor.Agent.BA ( X ESPERTI)

[Faby82]

ciao a tutti
questo trojan mi sta facendo letteralmente impazzire....

AVG continua a segnalarmi un file infetto:
C:\WINDOWS\SYSTEM32\log.dll

il fatto è che il file praticamente non esiste (anche attivando la visualizzazione dei file nascosti e protetti dal sistema)!!!!
infatti una la scansione completa di AVG non mi trova nulla,
sembra che ogni volta che apro internet explore, notepad ,calc, word e altri programmi si formi questo file e poi scompare immediatamente....

Ho provato praticamente di tutto, CWShredder , HijackThis , housecall della trendmicro, spybot, adaware.... ma nulla, ogni volta che apro quei programmi l'AVG mi avvisa della comparsa del file log.dll infetto.

L'unico riferimento sul registro è:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

cè una chiave AppInit_DLLs = "C:\WINDOWS\System32\log.dll"

anche qui se provo a cancellare la chiave , ricompare immediatamente.
Nella Task manager i processi in esecuzione sono "normali" di sistema, pero' ho notato che Explorer.exe consuma + memoria del solito.


Su internet ho trovato queste informazioni:

Ci viene in aiuto un articolo di Microsoft (Q197571, in bibliografia) che ci indica una ennesima (poco documentata) voce di registro di NT (ancora utilizzata su 2000, penso anche su XP) tramite la quale si indica alla USER32.DLL, quando caricata da un qualsiasi processo, di caricare a sua volta un elenco di DLL utente specificate nella AppInit_DLLs; tale valore è presente in

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows

È quanto cercavamo. Infatti Explorer, sicuramente utilizza la USER32.DLL e quindi può caricare una DLL scritta appositamente per gestire la creazione della memoria condivisa.

Qualcuno mi sa aiutare????

[MrOZ]

scarica hijackthis, fai uno scan e copia-incolla un log.

[eraser]

non sempre tutti i programmi sono elencati nel task manager...c'è modo di nasconderli

[Faby82]

ragazzi ho risolto.

la procedura che ho usato per eliminare questo fastidiosissimo trojan è la seguente:

1) scaricate da internet i programmi:
CWShredder , HijackThis , Spybot, Ad-aware e Winfile.exe

e installateli

aprire regedit e andare su :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Windows

2) rinominare "WINDOWS" in "noWINDOWS"

3) modificare la chiave:
AppInit_DLLs = "C:\WINDOWS\System32\log.dll"

in

AppInit_DLLs = ""


4)Riavviare il computer in modalità provvisoria
5)Usate i programmi CWShredder , HijackThis , Spybot e Ad-aware in modo da pulire per benino tutto.
6)Aprite Winfile e andate sull'indirizzo della chiave precedentemente cancellata cioè:
C:\WINDOWS\System32

magicamente compare il file LOG.dll, andate su security , in permissions e modificate il tipo di accesso del file in "controllo totale", cancellate il file.

7)Riavviate e usate ancora CWShredder , HijackThis , Spybot e Ad-aware per sicurezza.