Olimpo Informatico

[daelia83]

:edit by freemind - la prossima volta il titolo scrivolo in minuscolo; non ho lucchettato perchè l'ho visto ora e River si era già sbattuto:

Ciao a tutti....credo di essermi imbattuta nel worm bagle..
Nel tentativo di installare un programma... ho beccato un virus con un'icona a forma di rettangolo ed una "e" nel centro.
Questo programma che si è ridotto a icona, a nulla è valso il tentativo di eliminarlo subito dopo avast mi segnala che un pragramma sta tentando di chiuderlo e il pc si è riavviato. Niente più connessione, nè è stato possibile aprire antivirus si apriva una finestra "applicazione win 32 con valida" o qualcosa di simile.

Guardando qualche post su internet ho scansionato con fxbagle ma non ha trovato nulla, elibagla mi ha creato un log,combox non lo apre (nemmeno rinominandolo)malware ha creato un log e ha trovato 4 virus tra trojan e bagle li ho eliminati, ma diceva che 1 o 2 non era riuscito a rimuoverli..poi ho pulito con atf cleaner e ho aperto avenger (solo rinominandolo..) e nel note ho scritto:

Drivers to disable:
%SystemDrive%\WINDOWS\system32\drivers\hidr.exe
%SystemDrive%\WINDOWS\system32\drivers\srosa.sys
%SystemDrive%\WINDOWS\system32\drivers\pci32.sys
%SystemDrive%\WINDOWS\system32\drivers\hldrrr.exe
%SystemDrive%\WINDOWS\system32\drivers\mdelk.exe

Files to delete:
%SystemDrive%\WINDOWS\system32\drivers\hidr.exe
%SystemDrive%\WINDOWS\system32\drivers\srosa.sys
%SystemDrive%\WINDOWS\system32\wintems.exe
%SystemDrive%\WINDOWS\system32\hldrrr.exe
%SystemDrive%\WINDOWS\system32\trusted.exe
%SystemDrive%\WINDOWS\system32\drivers\pci32.sys
%UserProfile%\Dati applicazioni\hidires\hidr.exe
%UserProfile%\Dati applicazioni\hidires\rosa.sys
%UserProfile%\Dati applicazioni\m\list.oct
%UserProfile%\Dati applicazioni\m\data.oct
%UserProfile%\Dati applicazioni\m\flec006.exe
%UserProfile%\Dati applicazioni\m\svrlist.oct
%SystemDrive%\system32\re_file.exe
%SystemDrive%\elist.xpt
%UserProfile%\Dati applicazioni\hidires\m_hook.sys
%SystemDrive%\WINDOWS\system32\drivers\hldrrr.exe
%SystemDrive%\WINDOWS\system32\drivers\hldrrr.ex_
%SystemDrive%\WINDOWS\system32\mdelk.exe
%SystemDrive%\WINDOWS\system32\drivers\mdelk.exe
%SystemDrive%\WINDOWS\system32\drivers\pci32.sys
%SystemDrive%\WINDOWS\system32\edlm.exe
%SystemDrive%\WINDOWS\system32\edlm2.exe
%SystemDrive%\Windows\system32\ldR64.dll
%SystemDrive%\WINDOWS\system32\german.exe
%SystemDrive%\WINDOWS\system32\drivers\srosa.sys.XXX
%SystemDrive%\WINDOWS\system32\mdelk.exe.XXX
%SystemDrive%\WINDOWS\system32\wintems.exe.XXX
%SystemDrive%\WINDOWS\system32\1.exe

Folders to delete:
%SystemDrive%\WINDOWS\exefqd
%SystemDrive%\WINDOWS\exefnd
%SystemDrive%\WINDOWS\exefld
%UserProfile%\Dati applicazioni\hidires
%UserProfile%\Dati applicazioni\hidn
%UserProfile%\Dati applicazioni\m\shared
%UserProfile%\Dati applicazioni\m
%SystemDrive%\WINDOWS\System32\drivers\down
%SystemDrive%\WINDOWS\system32\drivers\downld
%SystemDrive%\WINDOWS\temp\
%UserProfile%\Impostazioni locali\Temporary Internet Files\Content.IE5
%UserProfile%\Impostazioni locali\Temporary Internet Files
%UserProfile%\Impostazioni locali\Temp

Registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
HKLM\SYSTEM\CurrentControlSet\Services\pci32
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32
HKLM\SYSTEM\CurrentControlSet\Services\rosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_rosa
HKLM\SYSTEM\CurrentControlSet\Services\m_hook
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK
HKLM\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA
HKLM\SYSTEM\ControlSet002\Enum\Root\LEGACY_SROSA
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ldr64

Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | hldrrr
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | drvsyskit
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | german.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\Run |drv_st_key

replace with dummy:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

L'ho fatto 2 volte ma mi ha salvato solo il 2° log Poi scansione con panda antiroot kit ma non ha trovato nulla.
E la connessione non parte e non riesco a ripristane il sevizio zero configuration, non apre antivirus, però parte l'autoplay per i dischi rimovibili
Allora altra scansione con trojan remover che ha creato un log.
beagle bagle remover non ho connessione quindi non me lo fa fare
kill box non parte

Ho tutti i log, ma non so come postarli, faccio un altro giro in internet per vedere come fare.
Spero che nel frattempo qualcuno mi risponda!!!!!!!!!!!!!!!!
Grazie in anticipo!!!!!!!!!!!!!!!!!!!

[Riverside]

Tutta la pappardella che hai pubblicato si può riassumere cosi:
1) hai fatto di testa tua, seguendo linee guida che non sono di questo forum;
2) nel mare di parole, manca la parolina magica (quella che ci permette di capire come prodere): sistema operativo in uso?

[daelia83]

Vero....javascript:emoticon(''). cmq windows xp...

[daelia83]

Ha credo di aver trovato il modo di inserire i log

http://wikisend.com/download/461574

[Riverside]

[daelia83]

Come richiesto:

NORMAN1.log
NORMAN2.log
combofix.txt
hijackthis.log

La cosa positiva è che sono riuscita ad accedere in modalità provvisoria, la cosa negativa è che mi ha disinstallato la connessione in wireles poichè non la trovo più in connessioni di rete!!

Cmq, ho seguito la prima guida che mi è capitata su internet.

[Riverside]

[daelia83]

[Riverside]

[daelia83]

Innanzitutto, si ti confermo avast anche se potrebbe risultare anche avg antispyware perchè avevo installato anche quello per riuscire a eliminare il virus

Quindi se ho capito bene, solo dopo aver disinstallato adobe ecc..
devo rilanciare Hijackthis... è corretto?????

[Riverside]

[daelia83]

Operazione compiuta!!!!!!!
Ecco il log..

hijackthis.log

Alcune voci da fixare non c'erano.

Ma una curiosità.... questo comando "combofix /u" può essere usato per disinstallare quei programmi che non creano il file unistal?: es ccleaner /u

Grazie ancora...

[Riverside]

Vedo un programma chiamato Torjan Remover: è roba che hai installato e non disinstallato?.
Se di, disinstalla anche quello.

[daelia83]

Sinceramente non ricordo se l'ho disinstallato.....
Stasera guardo e se è ancora presente lo disinstallo.

Dopo di che rilancio Hijackthis?

[Riverside]

Tu controlla e fammi sapere.

[daelia83]

ok!!!!
In effetti il programma c'era...
L'ho disinstallato e ha richiesto il riavvio del sistema!!!!
Quindi ho riavviato!!

[Riverside]

8) Ottimo: nuovo lo di hijackthis, adesso.

[daelia83]

eccolo....

hijackthis3.txt

[Riverside]

Ok, proseguiamo con il resto.
Intanto partiamo dall'antivirus:
Scarica il setup di Avira Antivir Personal Free (ITA): clicca qui per il download

Prima di installarlo, leggi attentamente le istruzioni indicate in questa Guida (parti dal punto 3 della Guida): clicca qui per la Guida di Avira

Le voci indicate nella prima immagine a pagina 11 della Guida, spuntale tutte (nell'immagine non lo sono).

Terminata la configurazione, esegui una scansione completa del sistema ed allega il log che verrà rilasciato al termine della scansione.

[daelia83]

eccomi...
AVSCAN-20091016-151144-4E7DB516.LOG