Trojan-Bionet.404 e ntdll.exe

[danyel175]

Buongiorno a tutti, scrivo per esporre il mio problema.............. e per cercare aiuto .
Ho trovato questo Trojan su 2 Pc e come da istruzioni trovate in giro ho rimosso la voce ntdll.exe dal registro, il problema è che non riesco a cancellare il file nella system32 neanche dalla modalità provvisoria il file sembra in esecuzione (ripeto ho cancellato la voce dal registro), tutto sembra funzionare correttamente , l'unica cosa e mi ritrovo a non poter fare accesso nessun sito di antivirus (ho provato Symantec e McAfee) e oltretutto ho il motore di aggiornamento del mio antivirus bloccato (uso AVG), qualcuno ha qualche idea o suggerimento per risolvere sto problemino?

Grazie a tutti.

[bluepix]

Sicuramente è protetto dalla cancellazione.

Controlla le proprietà del file.

[danyel175]

già fatto...non risulta!!!
grazie comunque

[bluepix]

è anche hidden

[danyel175]

si lo sò che è hidden infatti l'ho trovato e cerco di rimuoverlo, il fatto è che mi dice che potrebbe essere in uso seppur cancellato dal registro e in mod. provv.

[bluepix]

prova ad usare killbox

http://www.bleepingcomputer.com/files/killbox.php

[danidest]

Ti allego le istruzioni x la rimozione da sito Symantec:








Discovered on: November 04, 2003
Last Updated on: November 05, 2003 10:03:15 AM



Disable System Restore (Windows Me/XP).
Update the virus definitions.
Run a full system scan and delete all the files detected as Backdoor.Bionet.404.
Delete the value that was added to the registry.
Click Start, and then click Run. (The Run dialog box appears.)
Type regedit

Then click OK. (The Registry Editor opens.)


Navigate to the key:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run


In the right pane, delete the value:

"ntdll"="ntdll.exe"


Exit the Registry Editor.

Consigliano di updatare l'AV, tu non puoi farlo ma si pensa che, dato che si tratta di un vecchio trojan, il tuo AV lo abbia già in database.
In bocca al lupo.

[danyel175]

Originariamente inviato da bluepix
prova ad usare killbox

http://www.bleepingcomputer.com/files/killbox.php

This file could not be deleted neanche con la procedura che lo cancella dopo un riavvio....mi stà facendo venire i nervi.

Comunque è un tool molto interessante

[danyel175]

Originariamente inviato da danidest
cut

Grazie dani ma sono le prime cose che ho provato a fare

[SkunkWorks 68]

...Adesso non so se sia possibile...E tentare di farsi scaricare lo Stinger di McAfee da qualcuno d'altro e lanciarlo sul tuo PC????....è solo un'idea.....ciao...la tua è una bella bega....

[danidest]

lo avrai fatto sicuramente ma chiedo lo stesso:
ti sei ricordato di disabilitare system restore?

[SkunkWorks 68]

Originariamente inviato da danidest
lo avrai fatto sicuramente ma chiedo lo stesso:
ti sei ricordato di disabilitare system restore?

...Eh,sì....bella osservazione....

[danidest]

http://regfreeze.net/

elencano anche il Bionet.404 tra i malaware etc che sono in grado di eliminare (compresi gli effetti sul registro di sistema), dato che puoi downlodare il software demo, se vuoi provare......

[danyel175]

Originariamente inviato da danidest
lo avrai fatto sicuramente ma chiedo lo stesso:
ti sei ricordato di disabilitare system restore?

LOL

ariquote

lo avrai fatto sicuramente

[bluepix]

una domandina:

Chi sono gli utenti che possono accedere al file?

[danyel175]

administrator con pieno controllo e user con con pieno controllo.
regfreeze inefficace.....tra l'altro mi ha segnalato google in home page come possibile trojan....

[bluepix]

Prova ad aggiungere l'utente System e rifar girare killbox

[danyel175]

ok ho delle novità mi sono reso conto che l'infame và a modificare il file hosts, adesso al riavvio se lo modifico a manina riesco a connettermi a tutti i siti antivirus (erano tutti elencati gran bast**do ).
Ora però ad ogni riavvio si rimodifica il file hosts e viene creata una cartella in c:\ chiamata "!submit", all'interno c'è una copia del ntdll.exe e lo cancello ma quello in system32 ancora non ne vuole sapere di essere cancellato, ho dato accesso sia a system che a everyone con controllo completo ad entrambi ma niente invece sull'altro pc tutto ok, nessuna modifica ai riavii solo la presenza del ntdll, il che mi storce ma a sto punto non è un problema.
Credo che l'unica possibilità sia diventata quella di staccare gli hard disk e montarli slave su di un'aòtra macchina

[danidest]

Se sono "C" l'altra macchina rischia di non avviarsi, i 2 C si danno fastidio (a me è capitato), ho risolto usando un pc datato.

[danyel175]

Originariamente inviato da danidest
Se sono "C" l'altra macchina rischia di non avviarsi, i 2 C si danno fastidio (a me è capitato), ho risolto usando un pc datato.

Bè non sarebbe la prima volta che faccio un'operazione simile