Olimpo Informatico

[Silent Runner]

Salve ragazzi, un amico mi ha telefonato un po' allarmato perché AVG ha trovato questo worm. I-Worm.Nulprot.W

Prima di prendere qualsiasi provvedimento perché il mio amico ha detto che il file è finito in una specie di "white list" (mi ha detto tutto per telefono, non ho capito molto bene che cosa sia questa white list) c'è qualcosa da fare o AVG ha già ripulito tutto?

Chiedo questo perché ad una seconda scansione mi ha detto (sempre per telefono, non ho visto le schermate) che non era segnalato più nessun worm.

Siamo in presenza di Win XP aggiornato e con tutti i controlli di sicurezza attivi.

[bdoriano]

Ciao Silent,

purtroppo, senza un log, è difficile poter assicurare il tuo amico che tutto sia a posto.

Dovresti chiedergli di fare almeno questi controlli:

• Scansione con MBAM.
  
• log di HiJackThis

[Silent Runner]

Grazie, appena vado a trovarlo scarico i programmi e loggo i risultati.
Ciao.

[Silent Runner]

Rieccomi:
questi sono irisultati delle scansioni.

Hijackthis:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12.00.08, on 15/12/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Programmi\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe
C:\WINDOWS\System32\svchost.exe
c:\programmi\pinnacle\shared files\programs\mediaserver\pmshost.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\Windows Defender\MSASCui.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\D-Link\AirPlus G\AirGCFG.exe
C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe
C:\Programmi\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\Programmi\File comuni\Ahead\Lib\NMIndexStoreSvr.exe
C:\documents and settings\proprietario\impostazioni locali\dati applicazioni\eeksysi.exe
C:\Programmi\Windows Media Player\WMPNSCFG.exe
C:\Programmi\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
C:\Programmi\Logitech\SetPoint\KEM.exe
C:\Programmi\VIA\RAID\raid_tool.exe
C:\WINDOWS\RtlWake.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Logitech\SetPoint\KHALMNPR.EXE
C:\Programmi\Skype\Plugin Manager\skypePM.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\AVG\AVG8\aAvgApi.exe
C:\Programmi\Malwarebytes' Anti-Malware\mbam.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Documents and Settings\Proprietario\Desktop\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll (file missing)
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programmi\AVG\AVG8\avgssie.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll
O4 - HKLM\..\Run: [mmtask] c:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Windows Defender] "C:\Programmi\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Programmi\D-Link\AirPlus G\AirGCFG.exe
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\FILECO~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programmi\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\\PSDrvCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programmi\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [LDM] C:\Programmi\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [eeksysi] "c:\documents and settings\proprietario\impostazioni locali\dati applicazioni\eeksysi.exe" eeksysi
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programmi\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programmi\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Programmi\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programmi\Logitech\SetPoint\KEM.exe
O4 - Global Startup: VIA RAID TOOL.lnk = C:\Programmi\VIA\RAID\raid_tool.exe
O4 - Global Startup: WG111v2 Smart Wizard Wireless Setting.lnk = C:\WINDOWS\RtlWake.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.libero.it
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1202047566203
O18 - Protocol: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - C:\Programmi\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programmi\AVG\AVG8\avgpp.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: avgrsstx.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Wireless Service - C:\Programmi\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: Pinnacle Systems Media Service (PinnacleSys.MediaServer) - Pinnacle Systems - c:\programmi\pinnacle\shared files\programs\mediaserver\pmshost.exe

--
End of file - 9961 bytes

_______________________


l'altro programma ha trovato solo questa chiave di registro infetta:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\asc3550p (Rootkit.Agent) -> No action taken.

Scusami se non ti ho messo il log di HiJack in un link esterno ma sono veramente di corsa, sto proprio scappando...

Ciao e grazie.

[bdoriano]

Ok, vedo che qualche schifezzuola c'è...

Segui le istruzioni di questo topic per postare il log di combofix.

ps: vado di fretta anch'io...

[Silent Runner]

Grazie Bdo, di schifezzuole, il pc del mio "sciagurato" amico deve averne parecchie visto come spesso, in tutta buona fede e fiducia incrollabile nell'umanità, si tende a navigare allegramente in acque limacciose...

Appena ripasso dal mio amico, setaccio il pc con Combofix e poi ne riparliamo.

Rigrazie di nuovo, sempre gentilissimo.

[Silent Runner]

Ciao, finalmente ho qui il log realizzato con combofix...log-combofix.txt

più sotto ti invio un altro log di hijackthis...

hijackthis-03-01-2009.log

Ti ringrazio in anticipo e ti ri-auguro un buon 2009

[bdoriano]

Ciao Silent,

Combofix ha eliminato il virus NaviPromo (apertura di pagine pubblicitarie) e, inoltre, ha evidenziato ed eliminato la presenza di un rootkit.

Al prossimo giro, esegui queste operazioni:

1. Fai questa scansione con Kaspersky.
   
   
2. Secondo me, conviene fargli cambiare antivirus e puntare sul più efficace AntiVir (purtroppo solo in inglese).
   
   • Scarica AntiVir
     
   • Disinstalla AVG
     
   • Installa e configura AntiVir come indicato nei documenti seguenti:
     Documento in formato OpenOffice
     Documento in formato Microsoft Word
     
   • Fai una scansione completa con Antivir e posta il log che verrà generato.
   
   
   
3. Apri il Blocco note e crea un file di testo con le seguenti istruzioni:
   

   Codice:

   Driver:: autorun

   
   Salva il file sul desktop con il nome CFScript.txt e trascinalo sull'icona di ComboFix, come indicato in seguito:
   
   Attendi pazientemente la fine dei lavori senza toccare tastiera, mouse o altro.
   Posta i log aggiornati di combofix e hijackthis.
   
   
4. • Installa il service pack3 di Windows XP
     
     
   • Scarica e installa tutti gli altri aggiornamenti di Windows (escludendo quelli riferiti al Genuine Advantage, che non servono a nulla):
     
     • Clicca sul bottone Personalizzato
       
     • Clicca su Priorità alta
       
     • De-seleziona (togli il segno di spunta) gli aggiornamenti riferiti al Genuine Advantage
       
     • Clicca su Verifica e installa aggiornamenti
       
     • Clicca su Installa aggiornamenti
       
     • segui il resto delle istruzioni a video

Ancora auguri anche a te!

[Silent Runner]

Grazie, appena possibile vado dall'amico e provo a vedere che succede..
Ma ho notato un curioso effetto collaterale: il mio amico mi ha detto che il cestino di Windows è stato svuotato non in modo automatico, dopo la pulizia del programma.
Però devo dire che ho dovuto riavviare il pc con un reset dal pulsante di reset perché si era bloccato durante una operazione di chiusura di alcuni programmi e mi chiedo se non sia stato questo a cancellare i file nel cestino anche se ritengo la cosa un po' improbabile. Che sai dirmi a riguardo?

[bdoriano]

Sia MBAM che ComboFix non eliminano files dal cestino (a meno che siano virus).

Ha, per caso, installato CCleaner?
Se l'ha installato e utilizzato con la configurazione automatica, vengono cancellati tutti i files del cestino.

Al momento, mi viene in mente solo questo.

[Silent Runner]

Mmh.. può darsi ma non l'ho utilizzato quando gli ho fatto la scansione...
Controllerò.

[Riverside]

[Silent Runner]

Grazie Riv, lo farò poi vi dico che è successo.

[Riverside]

Silent, ho dimenticato una cosa: prima di procedere con la disinstallazione di AVG, mi raccomando, arresta l'esecuzione dell'Antivirus dalla icona presente sulla traybar (altrimenti restano residui e finisce che ci crea un problema con un messaggio di errore su una bella schermata blu).
Tra l'altro, vedi se è possibile disinstallarlo, se presente, dal uninstall proprietario, quindi fai la verifica del caso:
> Start
> tutti i programmi
> cerca il riferimento ad AVG
> ti posizioni con il mouse sulla voce di riferimento
> si apre un menu a tendina: guarda se è presente la voce Uninstall; se è presente, lo disinstalli da li, altrimenti, con la normale procedura da Installazione Applicazioni

Poi, esegui un controllo nel registro, quindi:
> Start
> Esegui
> nella casella di dialogo digita Regedit e conferma con Ok
> naviga e localizza le seguenti chiavi:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\AVG7Uninstall

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\AVG6INSTALL

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\AVG8Uninstall

HKEY_LOCAL_MACHINE\SOFTWARE\AVG\Avg8

Se fossero presenti, eliminale.

Infine esegui una pulizia dei problemi con CCleaner, riavvia il sistema ed installa e configura Avira

[Silent Runner]

E' sorto un fatto curioso. Dopo aver installato Avira il mio amico mi ha segnalato quanto segue:

[chemicalbit]

[Silent Runner]

Come si rimedia?

[Riverside]

[Silent Runner]

Molte grazie, sei un vero salva-utonti!
Grazie davvero!

[Riverside]