Olimpo Informatico

[whitesquall]

Mia mamma cliccato su uno di quei banner pubblicitari che pubblicizzano le emoticon per messenger e ha scaricato un fantomatico Messenger Skinner, che durante l'installazione si è rivelato essere un virus (avast ha dato l'avviso di virus, a quel punto mi ha chiamato e io ho scelto l'opzione "Sposta nel cestino")

Al mio arrivo inoltre Spy Bot chiedeva se effettuare 2 modifiche al registro ma ho negato l'autorizzazione.
Dando un'occhiata nel taskmanager ho terminato un processo "strano" e solo dopo ho lanciato Hijackthis...
Ho aiutato il virus a rendersi non rilevabile?

Dopo una breve ricerca ho trovato questo, da cui sembra che il programma installi un rootkit..

Intanto posto un log di Hijackthis, cos'atro serve? (Gmer, Combofix?)
Un grazie anticipato

ps: il computer si connette wi-fi tramite router assieme ad altri due (un'altro wi-fi e uno ethernet)... Non ho mai creato una rete, c'è comunque il rischio di diffusione del malware?

[whitesquall]

[chemicalbit]

Posta il log di HijackThis effettuato subito dopo aver avviato Windows in modalità normale.


Poi:

• Disabilita il ripristino di sistema.
  
• Pulisci i files temporanei con ATF-Cleaner e/o
• Segui le istruzioni di questo topic per eseguire combofix.
  
• Riferisci con un nuovo messaggio in questa discussione dell'esito: se ci sono stati problemi particolari, ecc. ecc. E riporta:
  
  
  
  • Il log di Combofix generalmente non è molto lungo, quindi postalo direttamente nel messaggio

Questo è un controllo più abbreviato,
visto che forse il tuo antivirus ha bloccato il malware prima che s'installasse.

Se hai tempo fai invece questo controllo un po' più completo

• Disabilita il ripristino di sistema.
  
• Pulisci i files temporanei con ATF-Cleaner e/o CCleaner
  
• Fai una scansione cone Norman Malware Cleaner.
  
  • Scarica il programma
    
  • Avvia il pc in modalità provvisoria.
    
  • Avvia Norman Malware Cleaner e fagli fare la scansione completa.
    
  • Alla fine della scansione viene generato un log sul desktop chiamato NFix_2008-MM-gg_hh-mm-ss.log.
  
  
• Riavvia il computer in modalità normale
  
• Segui le istruzioni di questo topic per eseguire combofix.
  
• Riferisci con un nuovo messaggio in questa discussione dell'esito: se ci sono stati problemi particolari, ecc. ecc. E riporta:
  
  • Carica il log di Norman Malware Cleaner su FreeFileHosting come indicato qui e posta il link che ti viene assegnato
    
  • Il log di Combofix generalmente non è molto lungo, quindi postalo direttamente nel messaggio

E potrebbe essere utile fare anche un controllo anti-rootkit. Combofix ne integra uno ma non so quanto completo. Vediamo se i più esperti ti consigliano di farne anche uno con GMER o con System scan.

[whitesquall]

Ciao Chem

il log vecchio di Hijackthis è nel post precedente, allego il log di Norman Malware Cleaner.

NFix_2008-05-11_09-48-32.log

Non ho capito una cosa di Combofix...
Per antivirus e antispy basta disattivare la protezione in tempo reale o devo proprio terminare i vari processi?

Perché nel caso debba proprio terminare i processi Comodo si chiude tranquillamente dalla traybar, per Avast e Spy Bot ho qualche dubbio su come fare

[ste_95]

Posso... Intromettermi? L'ho provato sulla mia pelle, e installa una variante di CiD mascherata da un rootkit, qui trovi un mio articolo per l'occasione:

edit by bdoriano: link rimosso.

bastava dire che si tratta di un'infezione di NaviPromo (risolvibile facilmente con Combofix).

[bdoriano]

Per disabilitare il tuo antivirus, clicca con il tasto destro sull'icona di avast! nella system tray e seleziona Ferma la protezione all'avvio e poi procedi con la scansione con combofix.

[whitesquall]

[whitesquall]

ecco il log

ComboFix 08-05-09.1 - Angelica 2008-05-11 14.52.02.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1040.18.1641 [GMT 2:00]
Eseguito da: C:\Documents and Settings\Angelica\Desktop\ComboFix.exe
* Creato nuovo punto di ripristino

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\system32\nvs2.inf
D:\Autorun.inf

.
((((((((((((((((((((((((( Files Creati Da 2008-04-11 al 2008-05-11 )))))))))))))))))))))))))))))))))))
.

2008-05-11 10:20 . 2008-05-11 10:20 552 --a------ C:\WINDOWS\system32\d3d8caps.dat

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-04-25 13:46 --------- d-----w C:\Programmi\File comuni\Adobe
2008-04-14 20:19 --------- d-----w C:\Documents and Settings\Angelica\Application Data\AdobeUM
2008-04-01 08:28 --------- d-----w C:\Programmi\Windows Live
2008-03-26 14:00 --------- d-----w C:\Programmi\Microsoft CAPICOM 2.1.0.2
2008-03-25 13:34 --------- dcsh--w C:\Programmi\File comuni\WindowsLiveInstaller
2008-03-25 13:22 --------- d-----w C:\Documents and Settings\All Users\Dati applicazioni\WLInstaller
2008-03-20 08:06 1,845,248 ----a-w C:\WINDOWS\system32\win32k.sys
2008-03-20 08:06 1,845,248 ------w C:\WINDOWS\system32\dllcache\win32k.sys
2008-03-01 16:28 3,591,680 ------w C:\WINDOWS\system32\dllcache\mshtml.dll
2008-02-29 08:57 70,656 ------w C:\WINDOWS\system32\dllcache\ie4uinit.exe
2008-02-29 08:57 625,664 ------w C:\WINDOWS\system32\dllcache\iexplore.exe
2008-02-22 10:00 13,824 ------w C:\WINDOWS\system32\dllcache\ieudinit.exe
2008-02-20 06:50 282,624 ----a-w C:\WINDOWS\system32\gdi32.dll
2008-02-20 06:50 282,624 ------w C:\WINDOWS\system32\dllcache\gdi32.dll
2008-02-20 05:33 45,568 ----a-w C:\WINDOWS\system32\dnsrslvr.dll
2008-02-20 05:33 45,568 ------w C:\WINDOWS\system32\dllcache\dnsrslvr.dll
2008-02-20 05:33 148,992 ------w C:\WINDOWS\system32\dllcache\dnsapi.dll
2008-02-15 05:44 161,792 ------w C:\WINDOWS\system32\dllcache\ieakui.dll
2007-12-21 05:47 76,672 ----a-w C:\Documents and Settings\Angelica\Application Data\GDIPFONTCACHEV1.DAT
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* i valori vuoti & legittimi/default non sono visualizzati.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-20 06:00 15360]
"swg"="C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe" [2007-09-20 17:38 171448]
"SpybotSD TeaTimer"="C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe" [2007-08-31 17:46 1460560]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 02:11 132496]
"hpWirelessAssistant"="C:\Programmi\hpq\HP Wireless Assistant\HP Wireless Assistant.exe" [2006-02-15 01:49 454656]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-04-16 03:26 7561216]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2006-04-16 03:26 86016]
"nwiz"="nwiz.exe" [2006-04-16 03:26 1519616 C:\WINDOWS\system32\nwiz.exe]
"High Definition Audio Property Page Shortcut"="CHDAudPropShortcut.exe" [2006-04-18 20:29 61952 C:\WINDOWS\system32\CHDAudPropShortcut.exe]
"SynTPEnh"="C:\Programmi\Synaptics\SynTP\SynTPEnh.exe" [2006-03-04 14:46 761948]
"QPService"="C:\Programmi\HP\QuickPlay\QPService.exe" [2006-04-11 22:54 102400]
"HP Software Update"="C:\Programmi\Hp\HP Software Update\HPWuSchd2.exe" [2005-02-17 00:11 49152]
"QlbCtrl"="C:\Programmi\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe" [2006-03-07 14:38 131072]
"Cpqset"="C:\Programmi\HPQ\Default Settings\cpqset.exe" [2006-02-22 09:03 40960]
"RecGuard"="C:\Windows\SMINST\RecGuard.exe" [2005-10-11 11:23 1187840]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2008-03-29 19:37 79224]
"COMODO Firewall Pro"="C:\Programmi\Comodo\Firewall\CPF.exe" [2007-09-22 19:50 1115728]
"Easy-PrintToolBox"="C:\Programmi\Canon\Easy-PrintToolBox\BJPSMAIN.exe" [2004-01-14 03:10 409600]
"Adobe Reader Speed Launcher"="C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 22:16 39792]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-20 06:00 15360]

C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\
Avvio rapido HP Photosmart Premier.lnk - C:\Programmi\Hp\Digital Imaging\bin\hpqthb08.exe [2005-09-24 16:39:30 73728]
Device Detector 3.lnk - C:\Programmi\Olympus\DeviceDetector\DevDtct2.exe [2008-02-23 16:44:51 118784]
Microsoft Office.lnk - C:\Programmi\Microsoft Office\Office10\OSA.EXE [2001-02-13 10:01:04 83360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.YV12"= yv12vfw.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

R1 aswSP;avast! Self Protection;C:\WINDOWS\system32\drivers\aswSP.sys [2008-03-29 19:31]
R2 aswFsBlk;aswFsBlk;C:\WINDOWS\system32\DRIVERS\aswFsBlk.sys [2008-03-29 19:35]
S3 VNUSB;VN Series Device;C:\WINDOWS\system32\DRIVERS\VNUSB.sys [2006-04-07 18:06]

*Newly Created Service* - CATCHME
.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-11 14:53:13
Windows 5.1.2600 Service Pack 2 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Cpqset = C:\Programmi\HPQ\Default Settings\cpqset.exe?????????? ???@???????????????@?????hV??????(?@???????@

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
Ora fine scansione: 2008-05-11 14.53.38
ComboFix-quarantined-files.txt 2008-05-11 12:53:36

8 Directory 92,448,698,368 byte disponibili
11 Directory 92,696,068,096 byte disponibili

102 --- E O F --- 2008-04-09 06:00:42

[whitesquall]

finita la scansione sono comparse varie richieste di permesso da parte di SpyBot (che avevo disattivato! ) per la modifica di alcune chiavi del registro...

ho negato la prima e consentito le altre (non chiedetermi perché... comportamento logico sarebbe stato o negarle tutte o acconsentire a tutte )

ps: ecco il nuovo log di Hijackthis

[bdoriano]

1. Scarica navilog
   
2. Disconnettiti da internet e disattiva l'antivirus e i vari moduli HIPS (del firewall o di Spybot o di SpywareTerminator, etc...)
   
3. esegui Navilog1
   
4. Digita 1 e premi invio per confermare
   
5. incolla qui il risultato della scansione

[whitesquall]

[bdoriano]

[whitesquall]

disattivando il Tea Timer ho trovato il log di quelle famose modifiche al registro fatte ieri...

lo copio qui

[whitesquall]

ecco il log

[bdoriano]

Ok, bloccando quelle impostazioni e terminando quel servizio, hai bloccato il virus!

Ora riesegui navilog1 e scegli l'opzione 2 - Automatic cleaning.
Posta il nuovo log che ti verrà creato.

[whitesquall]

ecco il nuovo log

[chemicalbit]

Pure a me da inespero pare che abbia funzionato.

Come va ora?

Fai una nuova scansione con combofix,
posta il log
e già che ci sei anche un nuovolog di Hijackthis (da modalità normale).

[bdoriano]

Dovresti essere a posto.

Per sicurezza, fai questa scansione con VirIT.

[whitesquall]

intanto ho fatto la scansione con VirIT, ha trovato qualcosa nella cartella di Navilog

[chemicalbit]

Non conosco il programma, per cui non posso dirti niente di più preciso,

ma capita a volte che un programma antivirus (o un tool di analisi abbstanza "profonda") venga visto come un malware (erroneamente: falso positivo) da un altro antivirus.