trojan dialer + crash di task manager, windows explorer ecc.

[Luke57]

Ciao, in questo mod non va bene perchè il report ha dimensioni colossali, devi inserire la cartella nel sito di hosting. Per adesso fai così:

Scarica AVGPfix da qui (è un cleaner puro):
http://www.nod32.it/cgi-bin/mapdl.pl?tool=Agent.VP
(mettilo sul desktop)


2)apri il taskmanager, se tra i processi trovi toshibaspeed.exe lo evidenzi e premi termina processo
Come hai già tentato di fare, poi nel percorso HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:USERINIT in Dati valore elimini c:\windows\system32\toshibaspeed.exe", virgola compresa
lasciando inalterato (occhio a non eliminare userinit.exe, il computer non si riavvierebbe)
c:\windows\system32\userinit.exe, virgola compresa.

3)avvii Avgpfix
(premi start, individui il file:
c:\windows\system32\toshibaspeed.exe
premi OK per eliminare il file).

4) Infine, in questo percorso del registro di sistema
HKEY_LOCAL_MACHINE
SOFTWARE
Microsoft
Windows NT
CurrentVersion
Image File Execution Options
verifica che stoo l'ultima voce non vi sia
explorer.exe
Se c'è controlli che cosa è riporatto al suo interno, te lo segni, poi
click tasto dx su explorer.exe>Autorizzazioni>Avanzate>premi il tab.Proprietario>autorizza l'Utente del computer>OK. Torni alla pagina principale, metti la spunta a Controllo completo e In lettura>OK. A questo punto, click tasto dx sulla voce e scegli Elimina.
Chiudi il registro

4)Informami delle operazioni fatte.

[gallico]

Ciao, in questo mod non va bene perchè il report ha dimensioni colossali, devi inserire la cartella nel sito di hosting.

Ho provato a fare l'upload sul sito di hosting, ma se cerco di creare l'account mi dà errore "Impossibile trovare la pagina" (http://www.easy-share.com/cgi-bin/owner.cgi), e se cerco di fare l'upload senza creare l'account mi dà "403-forbidden".
Per questo ho postato il contenuto non puoi dargli un'occhiata lo stesso? Ho visto diversi altri topic con log lunghissimi spezzati su più post...
mi rendo conto che non è il massimo, ma non riesco a fare diversamente..

Per adesso fai così:

Scarica AVGPfix da qui (è un cleaner puro):
http://www.nod32.it/cgi-bin/mapdl.pl?tool=Agent.VP
(mettilo sul desktop)


2)apri il taskmanager, se tra i processi trovi toshibaspeed.exe lo evidenzi e premi termina processo

Task Manager non riesco proprio a lanciarlo...oppure parli di un taskmanager che fa parte di AVGPfix?

AVGPfix l'ho scaricato, appena posso ti posto tutto il resto....

[Pao1o]

Puoi provare anche questo
http://www.pc-facile.com/download/start ... skmanager/

L'hai provato questo?

[gallico]

Puoi provare anche questo
http://www.pc-facile.com/download/start ... skmanager/

L'hai provato questo?

Sì, l'avevo scritto in un post precedente, va in crash anche lui.

Con Advanced System Optimizer, che mi avevi pure consigliato, ho visto invece che in System Tools c'è una scheda "Memory" che mi mostra i processi attivi in memoria tipo taskmanager, con consumo di cpu ecc, ma è solo in visualizzazione, non permette di killare i processi!

[gallico]

Scarica AVGPfix da qui (è un cleaner puro):
http://www.nod32.it/cgi-bin/mapdl.pl?tool=Agent.VP
(mettilo sul desktop)

fatto

2)apri il taskmanager, se tra i processi trovi toshibaspeed.exe lo evidenzi e premi termina processo
Come hai già tentato di fare, poi nel percorso HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:USERINIT in Dati valore elimini c:\windows\system32\toshibaspeed.exe", virgola compresa
lasciando inalterato (occhio a non eliminare userinit.exe, il computer non si riavvierebbe)
c:\windows\system32\userinit.exe, virgola compresa.

fatto con killbox, unico programma che mi ha permesso di killare i processi, ho killato anche un altro file sospetto (segnalato da virit):
C:\Documents and Settings\stefi\Impostazioni locali\Temp\softpoikl.exe

3)avvii Avgpfix
(premi start, individui il file:
c:\windows\system32\toshibaspeed.exe
premi OK per eliminare il file).

fatto, anche con l'altro file

4) Infine, in questo percorso del registro di sistema
HKEY_LOCAL_MACHINE
SOFTWARE
Microsoft
Windows NT
CurrentVersion
Image File Execution Options
verifica che stoo l'ultima voce non vi sia
explorer.exe
Se c'è controlli che cosa è riporatto al suo interno, te lo segni, poi
click tasto dx su explorer.exe>Autorizzazioni>Avanzate>premi il tab.Proprietario>autorizza l'Utente del computer>OK. Torni alla pagina principale, metti la spunta a Controllo completo e In lettura>OK. A questo punto, click tasto dx sulla voce e scegli Elimina.
Chiudi il registro

4)Informami delle operazioni fatte.

la chiave non c'era

A questo punto, molti dei prg bloccati si sono messi a funzionare.

Virit ha trovato (e rimosso) il Trojan.Win32.Agent.AVT
Riavviando più volte il PC, non viene più rilevato.
Viene invece rilevato un rootkit e un linkoptimizer.

Ecco il log di viritexplite:
VirIT eXplorer Lite Log
--------------------------------------------------------
11/10/2007 - 02:17:36

[SCANSIONE DELLA MEMORIA]
VIRUS ATTIVO IN MEMORIA: Trojan.Win32.RootKit.G

[SCANSIONE DEL REGISTRO]
OK

[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK

C:\WINDOWS\13.tmp Infetto da BHO.LinkOptimizer.N
* * * RIMOSSO * * *

Chiavi Registro infette: 0.
Files Infetti: 1.
Files Sospetti: 0.
Files Analizzati: 131574.
Files Totali: 131574.
Chiavi Registro rimosse: 0.
Virus Rimossi: 1.
--------------------------------------------------------

Se riavvio, virit ritrova il rootkit, e il linkoptimizer in un altro file...

[SCANSIONE DELLA MEMORIA]
OK
--------------------------------------------------------
11/10/2007 - 02:44:52

[SCANSIONE DEL REGISTRO]
OK

[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK

C:\WINDOWS\ohrda1.dll Infetto da BHO.LinkOptimizer.N
* * * RIMOSSO * * *

Chiavi Registro infette: 0.
Files Infetti: 1.
Files Sospetti: 0.
Files Analizzati: 18601.
Files Totali: 18601.
Chiavi Registro rimosse: 0.
Virus Rimossi: 1.

Ogni volta lo rimuove, e lo ritrova al riavvio successivo...
_____________________________________________________

Sono riuscito anche a lanciare HiJackthis!
Ecco il log:
=====================hijackthis.log=====================

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 1.52.52, on 11/10/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\system32\cisvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\UAService7.exe
C:\DATI\VIRITEXPLITE\viritsvc.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmi\Microsoft IntelliPoint\point32.exe
C:\DATI\VIRITEXPLITE\MONLITE.EXE
C:\Programmi\Unlocker\UnlockerAssistant.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Panasonic\LUMIXSimpleViewer\PhLeAutoRun.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\cidaemon.exe
E:\MyDownloads\systemscan.exe
C:\DOCUME~1\papi\IMPOST~1\Temp\nsh51.tmp\runme.exe
C:\hijackthis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://GLOBAL.ACER.COM/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {346D8699-DAC7-DD78-5CD4-CA50A929983C} - (no file)
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [EPSON Stylus Photo R220 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAIE.EXE /P30 "EPSON Stylus Photo R220 Series" /O6 "USB001" /M "Stylus Photo R220"
O4 - HKLM\..\Run: [EPSON Stylus Photo R220 Series (Copia 1)] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAIE.EXE /P40 "EPSON Stylus Photo R220 Series (Copia 1)" /O6 "USB002" /M "Stylus Photo R220"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [IntelliPoint] C:\Programmi\Microsoft IntelliPoint\point32.exe
O4 - HKLM\..\Run: [VIRIT LITE MONITOR] C:\DATI\VIRITEXPLITE\MONLITE.EXE
O4 - HKLM\..\Run: [Svcs: Dnscache] C:\WINDOWS\system32\svchost.exe
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programmi\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Startup Manager] "C:\Dati\Advanced System Optimizer\startUp manager.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVGFRE~1\avgw.exe /RUNONCE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: LUMIX Simple Viewer.lnk = C:\Programmi\Panasonic\LUMIXSimpleViewer\PhLeAutoRun.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://GLOBAL.ACER.COM/
O16 - DPF: DownloadInformation -
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SysWvn - Unknown owner - \\?\C:\Programmi\File comuni\System\com5.exe (file missing)
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe
O23 - Service: Virit eXplorer Lite (viritsvclite) - TG Soft Sas http://www.tgsoft.it - C:\DATI\VIRITEXPLITE\viritsvc.exe

--
End of file - 5382 bytes

==========================================
Scan completed in 11,5 minutes
End of report


Alcune ulteriori informazioni:
nonostante la presenza del rootkit, Windows Explorer non crasha più, altrettanto per Taskmanager. Inoltre, non sono più residenti in memoria le varie versioni di IEXPLORE.exe, e non compaiono le continue finestre di tentativo di connessione a internet.

Volevo poi chiedere se è normale che sotto Document and Settings ci sia un utente tOb che io non ho mai creato...

Ho anche il log di systemscan, ma ho sempre il problema che non riesco a fare upload sul sito di sharing.

Prossimo passo?
Stiamo andando molto meglio....

grazie per ora

[Luke57]

Ciao, l'utenza nuova è aggiunta dal trojan.
Scarica questi 2 files sul desktop (removal tools per linkoptimizer)
http://info.prevx.com/gromozon.asp
(clicca sul pulsante verde "Download gromozon removal tool")
http://securityresponse.symantec.com/av ... inkopt.exe

Esegui il file scaricato dal primo link, ti chiederà di riavviare, al riavvio parte la scansione, attendi la fine della scansione e riavvia il pc in modalità provvisoria, adesso lancia il secondo tool, riavvia normalmente e incolla questi report in un post:
-FixLinkopt.log (lo trovi sul desktop)
-C:\gromozon_removal.txt

[gallico]

Ciao, l'utenza nuova è aggiunta dal trojan.
Scarica questi 2 files sul desktop (removal tools per linkoptimizer)
http://info.prevx.com/gromozon.asp
(clicca sul pulsante verde "Download gromozon removal tool")
http://securityresponse.symantec.com/av ... inkopt.exe

Esegui il file scaricato dal primo link, ti chiederà di riavviare, al riavvio parte la scansione, attendi la fine della scansione e riavvia il pc in modalità provvisoria, adesso lancia il secondo tool, riavvia normalmente e incolla questi report in un post:
-FixLinkopt.log (lo trovi sul desktop)
-C:\gromozon_removal.txt

Ciao,grazie.

Volevo chiederti: all'avvio mi parte automaticamente la scansione di virit, devo prima disabilitarla?

[Luke57]

Ciao, start>esegui>msconfig (lo digiti nello spazio)>OK
Nella finestra che si apre vai in Avvio togli il segno di spunta a Virit>applica>OK, riavvii.

[gallico]

Ciao, l'utenza nuova è aggiunta dal trojan.
Scarica questi 2 files sul desktop (removal tools per linkoptimizer)
http://info.prevx.com/gromozon.asp
(clicca sul pulsante verde "Download gromozon removal tool")
http://securityresponse.symantec.com/av ... inkopt.exe

Esegui il file scaricato dal primo link, ti chiederà di riavviare, al riavvio parte la scansione, attendi la fine della scansione e riavvia il pc in modalità provvisoria, adesso lancia il secondo tool, riavvia normalmente e incolla questi report in un post:

fatto, ecco i report:

-FixLinkopt.log (lo trovi sul desktop)

Symantec Trojan.Linkoptimizer Removal Tool 1.0.8

C:\Programmi\File comuni\System\com5.exe: (deleted)

Trojan.Linkoptimizer has been successfully removed from your computer!

Here is the report:

The total number of the scanned files: 131607
The number of deleted threat files: 1
The number of threat processes terminated: 0
The number of threat threads terminated: 0
The number of registry entries fixed: 0

The tool initiated a system reboot.

registry: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (cleared)

-C:\gromozon_removal.txt

Removal tool loaded into memory
Gromozon rootkit component not detected - searching for other components
Scanning: C:\WINDOWS
Scanning: C:\Programmi\File comuni


Trojan.Gromozon does not exist - your system is clean.

[Luke57]

Ciao, adesso fai una scansione con systemscan e cerca di inserire il famigerato file .zip in un sito di hosting,ad es.qui:
http://rapidshare.com/
(generalmente il trojan lascia residui che il programma suddetto individua)

[gallico]

Ciao, adesso fai una scansione con systemscan e cerca di inserire il famigerato file .zip in un sito di hosting,ad es.qui:
http://rapidshare.com/
(generalmente il trojan lascia residui che il programma suddetto individua)

Ecco il link:
http://rapidshare.com/files/62662197/13 ... t.zip.html

[Luke57]

Ciao,non ho scorto niente di che.
Apri hijackthis, premi "do a system scan only", cerca e spunta le voci seguenti:
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {346D8699-DAC7-DD78-5CD4-CA50A929983C} - (no file)

premi fix checked.

[gallico]

Ciao,non ho scorto niente di che.
Apri hijackthis, premi "do a system scan only", cerca e spunta le voci seguenti:
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {346D8699-DAC7-DD78-5CD4-CA50A929983C} - (no file)

premi fix checked.

Fixato.

Riassumo la situazione:
- log e scan vari sembrano dare tutto pulito, tranne:
1) utente nascosto tOb (rilevato solo da systemscan, ha funzioni di admin, non ha cartelle perché le ho cancellate, gestione utenti di windows non me lo fa vedere)
2) ASO continua a dire che svchost.exe non è quello genuino ma un hi-jacker, anche se ho cancellato quello che c'era sotto la cartella system32/1 e quello che compare sotto system32 ha dimensione giusta (14.336) e data giusta (14-08-2004): può essere una segnalazione errata?

-comportamento del sistema:
tutto ok per tutti i problemi che avevo segnalato legati a internet connection, crash di programmi ecc, riscontro solo due comportamenti strani, che però non so valutare se possano essere legati all'infezione o ad altro:
1) screensaver non parte mai
2) audio scompare dopo alcuni secondi se ascolto mp3 o vedo video wmv (sia con WMP sia con altri lettori: ho installato WMP10 dopo avere riscontrato il problema, prima avevo 9 che ho disinstallato, sembrava funzionasse ma si è ripresentato, non ricordo però se il problema è precedente all'infezione oppure no); l'audio in altri programmi (giochi, exe..) funziona regolarmente

[Luke57]

Ciao, non avevo visto l'utenza nascosta, da start>esegui>control userpasswords2 (lo digiti nello spazio)>OK, nella finestra che si apre>Utenti, selezioni l'utenza nascosta e la rimuovi.

Per eliminare Internetconnection scarica myunistaller da qui:
http://www.nirsoft.net/utils/myuninst.zip
lo scompatti, avvii l'eseguibile, appena completato l'elenco delle applicazioni, evidenzi la voce da elminare, click con il tasto dx del mouse e scegli Delete.

[gallico]

Ciao, ho aspettato un po' a rispondere per monitorare il comportamento del PC.

Ciao, non avevo visto l'utenza nascosta, da start>esegui>control userpasswords2 (lo digiti nello spazio)>OK, nella finestra che si apre>Utenti, selezioni l'utenza nascosta e la rimuovi.

Fatto, l'utenza nascosta non è più ricomparsa.
Sembra tutto ok, ho navigato un po' in internet senza problemi, i log sembrano tutti puliti....

Se pensate che il problema dello screensaver che non si attiva non abbia nulla a che fare con delle possibili infezioni, ringrazio moltissimo tutti quelli che mi hanno aiutato, e magari apro un post nella sezione "Windows"