Trojano Backdoor.SDBot impossibile da cancellare

[luigi931]

Ciao a tutti, innanzitutto complimenti per il forum!
Avrei un problema da sottoporre, se possibile: in pratica, ho un trojan chiamato

Backdoor.SDBot.AA7485AD

che non riesco a rimuovere!
Il file infetto è

C:\WINDOWS\system32\dxdmain.exe ,

ma nella cartella System32 non c'è! Il mio antivirus (Avast 4.6) non lo individua, l'unico è stato BitDefender, che però non riesce a cancellarlo, e non mi parte in modalità provvisoria
Il sito della Symantec non parla esplicitamente di questo trojan, ma se ho capito bene è una variante del Backdoor.SDBot.AA.

Dal log di Hijackthis me pare di capire che il file dxdmain.exe si riferisce al DirectX Graphics, e mi è successa anche una cosa strana (che temo sia collegata): è scomparsa l'interfaccia Luna di XP! Cioè non è più disponibile
tra le proprietà dello schermo, posso solo selezionare l'interfaccia classica di Windows (che funziona meglio, ok, però...).

Mi permetto di approfittare del vostro tempo e postare il log di Hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 2.18.21, on 28/07/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Sygate\SPF\smc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Logitech\iTouch\iTouch.exe
C:\Programmi\Java\jre1.5.0_04\bin\jusched.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Softwin\BitDefender Free Edition\bdmcon.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\MSMSGS.EXE
C:\Programmi\Logitech\MouseWare\system\em_exec.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\dxdmain.exe
C:\WINDOWS\system32\slserv.exe
C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\TerraTec\DMX 6fire\DMX6Fire.exe
C:\WINDOWS\system32\wuauclt.exe
E:\Applicazioni utili\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programmi\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Programmi\File comuni\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [BDMCon] C:\Programmi\Softwin\BitDefender Free Edition\\bdmcon.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programmi\Softwin\BitDefender Free Edition\\bdnagent.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [KASP] "C:\Programmi\Kaspersky Lab\Kaspersky Security Suite\Kaspersky Anti-Spam Personal\OESpamTest.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\MSMSGS.EXE" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-l ... cfscan.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: DirectX Graphics (dxdmain) - Unknown owner - C:\WINDOWS\System32\dxdmain.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programmi\Sygate\SPF\smc.exe
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

La stringa

O23 - Service: DirectX Graphics (dxdmain) - Unknown owner - C:\WINDOWS\System32\dxdmain.exe

non si fixa, al riavvio si ripresenta come prima!

Grazie in anticipo e scusate la prolissità!

[Dylan666]

non si fixa, al riavvio si ripresenta come prima

Leva il valore da modalità provvisoria.

[luigi931]

non si fixa, al riavvio si ripresenta come prima

Leva il valore da modalità provvisoria.

Avevo già tentato, cmq scaricando la demo di Ewido e facendola partire in modalità provvisoria l'ho eliminato , ora il log è questo:

Logfile of HijackThis v1.99.1
Scan saved at 11.56.46, on 28/07/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Sygate\SPF\smc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Logitech\iTouch\iTouch.exe
C:\Programmi\Java\jre1.5.0_04\bin\jusched.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\MSMSGS.EXE
C:\Programmi\Logitech\MouseWare\system\em_exec.exe
C:\Programmi\TerraTec\DMX 6fire\DMX6Fire.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\slserv.exe
C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\wuauclt.exe
E:\Applicazioni utili\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programmi\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Programmi\File comuni\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programmi\Softwin\BitDefender Free Edition\bdnagent.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\MSMSGS.EXE" /background
O4 - Global Startup: DMX 6fire 2496 ControlPanel.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-l ... cfscan.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: DirectX Graphics (dxdmain) - Unknown owner - C:\WINDOWS\System32\dxdmain.exe (file missing)
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programmi\Sygate\SPF\smc.exe
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

Adesso mi dice che la stringa

C:\WINDOWS\System32\dxdmain.exe (file missing)

è un file missing, e l'ho fissata, però temo di non aver capito come eliminare del tutto le stringhe , perché riavviando il computer questa stringa ritorna

[Dylan666]

devi capire cosa riscrive quella riga

[luigi931]

devi capire cosa riscrive quella riga

Ehm... sai come si fa a capire questo?
Grazie!

[Dylan666]

Prova con questo:
http://www.sysinternals.com/utilities/regmon.html

[luigi931]

Prova con questo:
http://www.sysinternals.com/utilities/regmon.html

Mi pare un po' complesso, non saprei come impostare il filtro

[Dylan666]

Lo imposti col nome del processo dxdmain.exe, e mentre è attivo il Regmon levi la chiave che si ricrea.

[luigi931]

Lo imposti col nome del processo dxdmain.exe, e mentre è attivo il Regmon levi la chiave che si ricrea.

Cacchio, sai che così facendo non trova niente?

[Dylan666]

se viene ricreata pure in modalità provvisoria prova a non mettere alcun filtro

[luigi931]

se viene ricreata pure in modalità provvisoria prova a non mettere alcun filtro

Allora, se ho capito bene:
- faccio partire RegMon in modalità provvisoria
- imposto dxdmain.exe nel filtro
però sono rimasto ancora indietro: la chiave di registro dovrebbe comprendere questa voce, e dovrebbe ricrearsi, se non la trovo con il filtro, provo senza (sempre in modalità provvisoria)... Giusto?

[Dylan666]

Non so se il filtro controlla solo i processi col nome che imposti o anche le chiavi contenenti quella parola.

Ma in modalità provvisoria il problema quasi non si pone, perché i processi in esecuzione sono talmente pochi che anche senza filtro dovremmo vedere ciò che ricrea la chiave dopo che l'hai cancellata.

[luigi931]

Purtroppo non riesco a caricare RegMon in modalità provvisoria

[luigi931]

Ciao!
Ho trovato un sito in francese, e da quel poco che ho capito il file dxdmain.exe si trova qui:

[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dxdmain]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\dxdmain]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\dxdmain]

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\dxdmain]

Selezionando ciascun percorso, sulla finestra di sinistra del regedit, alla voce "description", dice:
"Allows you to disable Direct Draw, Direct 3D, and AGP Texture Acceleration"

Sapete darmi qualche consiglio? Devo cancelare le chiavi in modalità provvisoria?
Non è che possa essere questa la causa della sparizione dell'interfaccia Luna di XP, che da quando ho preso quel maledetto Trojan non riesco più a selezionare?

Grazie mille!

[tanuki]

Anche io ho il problema di alcuni virus che non si cancellano e hanno l'estensione .cpy e si trovano nella cartella c/restore/temp. L'antivirus li trova ma li classifica come undeletable. Cosa posso fare???
Ciao.

[Dylan666]

http://support.microsoft.com/kb/263455/it

[Paolo_R]

Se hai come Sistema operativo Windows ME oppure Windows XP

Disabilita il system restore come indicatoal seguente link


http://vil.nai.com/vil/SystemHelpDocs/D ... estore.htm

prova con il tuo antiviruse, se fallisce

scarica questo tool gratuito da :

http://vil.nai.com/vil/stinger

e lancialo
Ad operazione ultimata non dimenticare di riattivare il System restore

Ciao

Ps. Facci sapere come è andata

[Dylan666]

Non lo disattivare, fai come dice il link della Microsoft

[Paolo_R]

Ciao Dylan,
ho letto la tua risposta e, come faccio sempre, sono andato a documentarmi presso il linkche suggerisci.

Cosa ho trovato?
Che per il metodo manuale dice la stessa cosa che dice il mio link (che manda al sito della McAfee, specializzata in antivirus), MASENZALE IMMAGINI DELLE VIDEATE DEI VARI PASSAGGI. (in calce riporterò quanto indicato dalla MicroSoft preciso che in italiano il "Ripristino configurazione di sistema" corrisponde al System restore inglese)

Fra i due metodi suggeriti da MS (automatico e manuale) è SICURAMENTE da preferire il metodo manuale in quanto alcuni trojan disattivano le procedure automatiche e, soprattutto con Windows XP ogni PC può presentare una configuarazione delle procedure automatiche diversa.

Quanto sopra non per contestare ma solo per ampliare il discorso di collaborazione.

Grazie da Paolo

--------------------------------------
estratto dal link proposta da Dylan:

"........omissis
Pulitura manuale dell'archivio dati
Per rimuovere completamente e immediatamente i file infetti dall'archivio dati, disattivare e riattivare la funzione Ripristino configurazione di sistema:

AVVISO: la procedura descritta di seguito consente di rimuovere completamente tutti i punti di ripristino dall'archivio dati. Non utilizzare questo metodo, se ciò potrebbe creare problemi. Quando si attiva nuovamente la funzione Ripristino configurazione di sistema, verrà creato un nuovo punto di ripristino e il computer verrà nuovamente monitorato.
1. Fare clic sul pulsante Start, scegliere Impostazioni, quindi Pannello di controllo.
2. Fare doppio clic sull'icona Sistema, quindi fare clic sulla scheda Prestazioni.
3. Fare clic su File System, quindi scegliere la scheda Risoluzione dei problemi.
4. Selezionare la casella di controllo Disattiva Ripristino configurazione di sistema, scegliere Applica, deselezionare la casella di controllo Disattiva Ripristino configurazione di sistema, scegliere Applica, quindi OK.
5. Riavviare il computer quando richiesto. Al riavvio del computer l'archivio dati viene ripulito e la funzione Ripristino configurazione di sistema inizia il monitoraggio del sistema.

[toni84]

ciao dylan ha indicato il modo + facile dato che propio quello specifico ma è un po complicato per chi non usa il pc da molto il modo un + preciso è questo
http://support.microsoft.com/default.aspx?scid=kb;it;309531
ciao a tutti!!