Trojan Clicker Agent.NBW

[simonoir]

Ho questo Trojan trovato nella memoria operativa. Qualcuno mi sa dire come posso eliminarlo? Non ho trovato un trojan simile nei post precedenti... se qualcuno puiò aiutarmi

[edo_aol]

Ciao, vai qui:
http://www.suspectfile.com/forum/viewtopic.php?t=466
scarica systemscan, decomprimilo sul desktop, con le applicazioni chiuse e antivirus disattivatro, apri il programma, spunti tutte le opzioni, premi scan now.
Al termine della scansione ti sarà rilasciato un report (report.txt) nella cartella C:\suspectfile.
Allega tale file in un prossimo post, se le dimensioni fossero troppo imponenti per essere allegato, vai qui:
http://www.easy-share.com/
inseriscilo il file e poi indica in un post il link che ti sarà fornito (il primo) per scaricarlo

[simonoir]

http://w13.easy-share.com/2000271.html

Ecco il link: ho seguito le tue istruzioni; in più, come avevo scritto in un altro post di cui non ho però risposta, il pc spesso si riavvia e dice che "l'arresto è stato iniziato da NT AUTHORITY/SYSTEM" poi c'è c/windows/system32/service.exe codice di stato 1073741819
Comunque sull'altro post ho linkato il logfile di Hijackthis: può esserti utile?

E ancora, il NOD all'avvio mi da un virus in quarantena legato a Firefox (e prima ancora da Explorer)

Un casino, insomma...

Grazie per l'aiuto, comunque!

[Luke57]

Ciao, il report è illeggibile, carica nel sito la cartella zip che trovi in C.\suspectfile.

[simonoir]

link del file zip caricato su easyshare:

http://w13.easy-share.com/2000841.html

va bene così?

[simonoir]

Ho trovato anche il link del forum dove ho postato il logfile di Hijackthis (se può essere utile):

http://www.pc-facile.com/forum/viewtopi ... ht=#371362

[Luke57]

Scarica The Avenger
http://swandog46.geekstogo.com/avenger.zip
Avvia il programma,clicca su Input Script Manually
clicca sulla icona con la lente di ingrandimento
si aprirà una nuova finestra con scritto View/edit script

In quella finestra bianca copia e incolla (ctrl+v) le scritte in neretto:


Folders to delete:
C:\DOCUME~1\F&A\IMPOST~1\Temp
C:\Windows\temp

Files to delete:
C:\WINDOWS\svchost.dll
C:\WINDOWS\svchost.exe
C:\WINDOWS\system32\xpdx.sys
C:\WINDOWS\system32\~.exe


Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run | 5T19I3B27A

Clicca sul pulsante Done
Adesso clicca sul semaforo con la luce verde
Rispondi Yes 2 volte
Il pc si dovrebbe riavviare,se non si riavvia,riavvialo manualmente

Al riavvio collegati e posta il contenuto del file C:\Avenger.txt

[simonoir]

Fatto. Per cronaca, al riavvio si è aperta una finestra dos che dice c/windows/system32/cmd.exe : c/avenger/1.reg - 1 file copiati.

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\qsalghah

*******************

Script file located at: \??\C:\nsgrorqf.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Folder C:\DOCUME~1\F&A\IMPOST~1\Temp deleted successfully.
Folder C:\Windows\temp deleted successfully.
File C:\WINDOWS\svchost.dll deleted successfully.
File C:\WINDOWS\svchost.exe deleted successfully.


File C:\WINDOWS\system32\xpdx.sys not found!
Deletion of file C:\WINDOWS\system32\xpdx.sys failed!

Could not process line:
C:\WINDOWS\system32\xpdx.sys
Status: 0xc0000034

File C:\WINDOWS\system32\~.exe deleted successfully.
Registry value HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run|5T19I3B27A deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

[alexgermy]

Ho lo stesso problema !
Dopo ke mi spunta l'avviso !
si spegne il pc...!
vorrei sapere cosa devo fare !
spiegatemi passo x passo tutto cio ke devo fare!
help me!
grazie e ciao!

[simonoir]

Eh, purtroppo ho seguito le istruzioni ma il pc continua a riavviarsi.
Che facciamo, adesso?

[alexgermy]

Non posso scaricare SYSTEMSCAN da suspectfile!

[Luke57]

Eh, purtroppo ho seguito le istruzioni ma il pc continua a riavviarsi.
Che facciamo, adesso?

esegui un'altra scansione con system scan e colloca il report nel sito di hosting.

[Luke57]

Non posso scaricare SYSTEMSCAN da suspectfile!

Ciao, prelevalo da qui:
http://www.sendmefile.com/00550922
eseguilo come spiegato nei post precedenti.

[simonoir]

http://w13.easy-share.com/2211651.html
Il file del nuovo report.
La finestra di cui ti accennavo sopra continua ad aprirsi ad ogni riavvio.
Fammi sapere se il file è leggibile.
Grazie!

[Luke57]

Ciao, non è leggibile, inserisci la cartella zip.

[simonoir]

http://w13.easy-share.com/2251311.html

Pardon, ecco la cartella zip.

[Luke57]

Ciao, riutilizza Avenger con questo script:


Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | qpfvndby
HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run | isamonitor.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run | none
HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run | isamini.exe

Registry keys to delete:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SAcc
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SideFind
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Video ActiveX Object

Folders to delete:
C:\windows\temp
C:\Documents and Settings\F&A\Impostazioni locali\Temp
C:\Programmi\Video ActiveX Object
C:\Programmi\Sidefind


Files to delete:
C:\dwjdvpoo.bat


Posta poi il report.

[simonoir]

Fatto. Continua ad aprirsi la cartella del prompt, ma stavolta sono comparsi tutte scritte tipo avenger1 avenger2, ecc...


//////////////////////////////////////////
Avenger Pre-Processor log
//////////////////////////////////////////

Error: could not create zip file.
Error code: 0


//////////////////////////////////////////


Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\mvcraraf

*******************

Script file located at: \??\C:\WINDOWS\klolyxaa.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Folder C:\windows\temp deleted successfully.
Folder C:\Documents and Settings\F&A\Impostazioni locali\Temp deleted successfully.


Folder C:\Programmi\Video ActiveX Object not found!
Deletion of folder C:\Programmi\Video ActiveX Object failed!

Could not process line:
C:\Programmi\Video ActiveX Object
Status: 0xc0000034

Folder C:\Programmi\Sidefind deleted successfully.
File C:\dwjdvpoo.bat deleted successfully.
Registry value HKLM\Software\Microsoft\Windows\CurrentVersion\Run|qpfvndby deleted successfully.
Registry value HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run|isamonitor.exe deleted successfully.
Registry value HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run|none deleted successfully.
Registry value HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run|isamini.exe deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SAcc deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SideFind deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Video ActiveX Object deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

[Luke57]

Ciao, da start>esegui>msconfig (lo digiti nello spazio)>OK
nella finestra che si apre premi il tab. Avvio, poi deselezioni qualsiasi riferimento ad Avenger>applica>OK.

[simonoir]

Ho controllato ma nell'avvio non ho trovato file relativi ad Avenger.
Ho notato che se il pc non è connesso, non avviene l'errore in service.exe che lo fa riavviare. Con la conessione il tempo prima del riavvio si aggira intorno ai 10 minuti.
Che faccio, passo alla canna del gas?