Sul marciapiede o nel tuo pc... comunque trojan

[albocuomo]

Ecco il report di Ewizo dell'ultima scansione:

---------------------------------------------------------
ewido anti-malware - Report de exploración
---------------------------------------------------------

+ Creado en: 16:35:45, 11/04/2006
+ Report-Checksum: 7367133A

+ Scan result:

[3500] C:\WINDOWS\system32\kaboom.dll -> Downloader.Bomka.k : Error durante limpieza
C:\WINDOWS\system32\__delete_on_reboot__kaboom.dll -> Downloader.Bomka.k : Limpio con backup
F:\Djembe.it\Web\FTP_11Feb06\modules\webmailfx\attachments\received\Frances.zip/S3700020.exe -> Worm.Bagle.ex : Limpio sin backup
F:\Djembe.it\Web\FTP_11Feb06\modules\webmailfx\attachments\received\new__price.zip/06.exe -> Worm.Bagle.dt : Limpio sin backup
F:\Djembe.it\Web\FTP_11Feb06\modules\webmailfx\attachments\received\price2.zip/09.exe -> Worm.Bagle.ds : Limpio sin backup


::Fin Report

[Luke57]

Ciao, sembra che abbia eliminato kaboom. Posta un log intero di hiajckthis.

[albocuomo]

Già, ma i problemi di lentezza nella connessione rimangono. Come posso risolverli?

Ecco il log:
Logfile of HijackThis v1.99.1
Scan saved at 11:34:17, on 12/04/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe
C:\Archivos de programa\ewido anti-malware\ewidoctrl.exe
C:\Archivos de programa\ewido anti-malware\ewidoguard.exe
C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE
C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe
C:\Archivos de programa\QuickTime\qttask.exe
C:\Archivos de programa\Siemens\Gigaset WLAN Adapter 54\WLANMonitor2003.exe
C:\ARCHIV~1\WINZIP\winzip32.exe
C:\Documents and Settings\Albo\Configuración local\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.it
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = https=127.0.0.1:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll
O4 - HKLM\..\Run: [ShStatEXE] "C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe"
O4 - HKLM\..\Run: [Zone Labs Client] C:\Archivos de programa\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKCU\..\Run: [ccleaner] "C:\Archivos de programa\CCleaner\ccleaner.exe" /AUTO
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: Gigaset WLAN Adapter Monitor.lnk = C:\Archivos de programa\Siemens\Gigaset WLAN Adapter 54\WLANMonitor2003.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Similar Pages - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmtrans.html
O9 - Extra button: Organizzatore ricerche - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promot ... r37710.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe
O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido anti-malware\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

E pochi minuti fa l'antivirus McAfee ha trovato i due file, già precedentemente denunciati:
input[1].php.Vir
input[1].php.Vir.0
rilevati come JS/Exploit-DragDrop.b.gen
trovati nella cartella C:\QUARANTINE

[Alexsandra]

svuota la quarantena e disattiva il proxy

[fabrizius]

Ciao,
in quale quarantena li trova?comunque ti basta svuotarla..
Per il log se non hai impostato tu questo proxy dovresti assolutamente fixare questa voce:
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = https=127.0.0.1:8080
e anche questa se non la conosci
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Vínculos
poi per la connessione
prova a fare un fix con WinSock XPFix
Prima di usarlo:
-Chiudi tutti i programmi compreso i browser
-Disconnetiti da internet
-Crea un punto di ripristino del sistema:
(Start-->>tutti i programmi-->>Accessori-->>Utilità di sistema-->>Ripristino configurazione di sistema-->>Scegli di creare un nuovo punto di ripristino dagli un nome e crealo)
-Fai anche un backup del registro al limite
-Poi avvia Winsock XP Fix e clicca su Fix
-Alla fine della procedura ti verra chiesto di riavviare

[Alexsandra]

La connessione è lenta perchè ha impostato il proxy,basta toglierlo andando in opzioni del suo browers e la quarantena ha messo questo nel suo ultimo post

E pochi minuti fa l'antivirus McAfee ha trovato i due file, già precedentemente denunciati:
input[1].php.Vir
input[1].php.Vir.0
rilevati come JS/Exploit-DragDrop.b.gen
trovati nella cartella C:\QUARANTINE

Prima di usare utility non convieni che è meglio toglierlo dalle opzioni del browers???

[albocuomo]

Ho fixato quelle due voci.
Ho disattivato il proxy.
Ho cercato di eliminare a mano (comando "elimina") dalla quarantena i file infetti, ma la cosa incredibile è che NON è possibile eliminare dalla cartella C:/QUARANTINE i due file:
input[1].php.Vir
input[1].php.Vir.0
Come mi libererò di loro?
Ho cercato info sul web e nel sito della McAfee, ma nessuna novità rilevante.

[fabrizius]

Prima di usare utility non convieni che è meglio toglierlo dalle opzioni del browers???

Ma lo hai letto bene il mio post???Poi quando in un sistema ci sono passati un sacco di infezioni un fix con Winsock non fà mai male...

Te l'ho detto anche ieri,spesso pecchi di presunzione,dalle parti mie sai come si dice?
Tu vuo fà lu prufessore e prufessore nun si
(che un proxy rallenti la navigazione non é una scoperta )

Buona giornata

[albocuomo]

Vorrei riportare l'attenzione sul mio ultimo problema, ovvero:

Ho cercato di eliminare a mano (comando "elimina") dalla quarantena i file infetti, ma la cosa incredibile è che NON è possibile eliminare dalla cartella C:/QUARANTINE i due file:

input[1].php.Vir
input[1].php.Vir.0

Come mi posso liberare di loro?

[fabrizius]

Ciao
Fai una cosa scaricaStinger
-Disconnetiti da Internet
-Riavvia in modalità provvisoria ed eseguilo

PS:io al posto tuo subito prima di avviare la scansione ripristinerei anche i due file rimasti nella quarantena di norton in modo che Stinger possa eliminarli correttamente

[fabrizius]

PS:io al posto tuo subito prima di avviare la scansione ripristinerei anche i due file rimasti nella quarantena di norton in modo che Stinger possa eliminarli correttamente

Ops McAfee

[Alexsandra]

Vorrei riportare l'attenzione sul mio ultimo problema, ovvero:
Ho cercato di eliminare a mano (comando "elimina") dalla quarantena i file infetti, ma la cosa incredibile è che NON è possibile eliminare dalla cartella C:/QUARANTINE i due file:
input[1].php.Vir
input[1].php.Vir.0
Come mi posso liberare di loro?

Io non mi preoccuperei dei 2 file la quarantena e una sezione apposita di tutti gli AV in cui vengono spostati i file infetti e vengono disattivati.Ovvio che se fai una scansione con un altro AV diverso da quello che te li ha messi in quaratena te li segnala ma puoi stare tranquillo sulla non nocività dei file.
Molto pericoloso invece è ripristinarli perchè non sai cosa facciano,come sono stati programmati e come agiscono.

[fabrizius]

Io non mi preoccuperei dei 2 file la quarantena e una sezione apposita di tutti gli AV in cui vengono spostati i file infetti e vengono disattivati.Ovvio che se fai una scansione con un altro AV diverso da quello che te li ha messi in quaratena te li segnala ma puoi stare tranquillo sulla non nocività dei file.
Molto pericoloso invece è ripristinarli perchè non sai cosa facciano,come sono stati programmati e come agiscono.

Io invece non sono d'accordo,
1/non sono virus ma sono trojan
2/i rischi dell'infezione sono bassi
3/Stinger é fatto apposta per eliminare quel tipo di infezione
4/per sapere come agiscono e cosa facciano non devi fare altro che ricercare il nome dell'infezione JS/Exploit-DragDrop.b.gen

[Alexsandra]

E lo vieni a dire a mè ?? non ho mica fatto io L'AV e la quarantena,fai un esposto ai produttori di AV.

[fabrizius]

io stavo rispondendo a te non a AV Te l'ho già detto:per ribbattere ci vogliono argomenti interessanti,e soprattutto bisogna esserne all'altezza..
bye-bye

[albocuomo]

E' la storia infinita. Sono stremato, non ne posso più.

Dopo aver riavviato in modalità sicuro come administrator e aver eliminato a mano i 2 file infetti dalla cartella QUARANTINE, ho fatto svariate scansioni con i seguenti anti-virus-spyware-trojan:

- McAfee
- AntiVir
- Ewido
- Lavasoft
- CCleaner
- Stinger (in modalità sicura)

Ora, al riavvio in modalità normale, mi compaiono vari avvisi di AntiVir, che pare abbia pescato ancora nuovi trojan:

Nome dei Files infetti: ietool[1].exe; tmpx24.exe; tmpx118.exe
Posizione: nella cartella di file temporanei di Internet
Tipo trojan: DR/Dldr.Bomka.K

[Anche questi è impossibile eliminarli, ho potuto solo negare al l'accesso all'utilizzo di tali files, ma basterà?]
Cosa devo/posso fare ancoraaaaa????

Ecco il log di HijackThis, fatto un secondo prima che mi venissero segnalati questi nuovi trojan:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\AntiVir PersonalEdition Classic\sched.exe
C:\Archivos de programa\AntiVir PersonalEdition Classic\avguard.exe
C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe
C:\Archivos de programa\ewido anti-malware\ewidoctrl.exe
C:\Archivos de programa\ewido anti-malware\ewidoguard.exe
C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE
C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe
C:\Archivos de programa\AntiVir PersonalEdition Classic\avgnt.exe
C:\Archivos de programa\Siemens\Gigaset WLAN Adapter 54\WLANMonitor2003.exe
C:\Archivos de programa\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.google.it
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\archivos de programa\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\archivos de programa\google\googletoolbar1.dll
O4 - HKLM\..\Run: [ShStatEXE] "C:\Archivos de programa\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Archivos de programa\Network Associates\Common Framework\UpdaterUI.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Archivos de programa\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [ccleaner] "C:\Archivos de programa\CCleaner\ccleaner.exe" /AUTO
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: Gigaset WLAN Adapter Monitor.lnk = C:\Archivos de programa\Siemens\Gigaset WLAN Adapter 54\WLANMonitor2003.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Archivos de programa\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google Search - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Similar Pages - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\archivos de programa\google\GoogleToolbar1.dll/cmtrans.html
O9 - Extra button: Organizzatore ricerche - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Archivos de programa\Messenger\msmsgs.exe
O16 - DPF: {5F0C30E4-1E72-4DCC-85E5-57810F1CA97B} (McUpdatePortalFactory Class) - http://www.amiuptodate.com/vsc/bin/1,0, ... Portal.cab
O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promot ... r37710.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\ARCHIV~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Archivos de programa\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Archivos de programa\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Archivos de programa\Archivos comunes\EPSON\EBAPI\SAgent2.exe
O23 - Service: ewido security suite control - ewido networks - C:\Archivos de programa\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Archivos de programa\ewido anti-malware\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Archivos de programa\Archivos comunes\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Archivos de programa\Network Associates\VirusScan\VsTskMgr.exe

Buona Pasqua! Albo

[albocuomo]

E' da circa 3 giorni che non ricevo più nessun avviso dai vari anti-spyware e antivirus che ho sul mio pc...forse ho sconfitto il nemico?
cmq la presenza di ewizo, mcafee, antivir mette a dura prova il mio processore e il pc ora si avvia lentissimo ed è lento nell'apertura di programmi easy quali perfino le pagine di ie!
come posso ovviare al problema?

[albocuomo]

Continuo a ricevere questi avvisi da AntiVir, che pesca questi trojan:

Nome dei Files infetti: ietool[1].exe; tmpx24.exe; tmpx118.exe
Posizione: nella cartella di file temporanei di Internet
Tipo trojan: DR/Dldr.Bomka.K

Che posso fare?