Windows Vista infetto da virus Bagle

[brixianum]

Salve
da qualche giorno ha notato che l'antivirus non funziona più ed è impossibile installarne altri, inoltre windows defender e il firewall si disattivano con lo spegnimento del pc. Mentre provavo a installare un antivirus il pc si e spento. Dopo averlo acceso il sistema operativo mi ha inviato questo messaggio:
Virus alert: Microsoft detected the WinNT / Bagle.gen virus on your computer
This problem was caused by WinNT / Bagle.gen, a known computer virus.
WinNT / Bagle.gen is also known by the following names:
Win32/Ursnif
Trojan-Downloader.Win32.Bagle.cu
W32.Beagle.GM
Troj/BagleDl-DB
Troj/Bagle-TH

Anche Spyware Soctor conferma che ho dei virus Bagle nel pc ma non riesce ad eliminarli
Ho letto cgesarebbe stato utile ha fare la scansione online con Kaspersky, il quale ha individuato dei virus Backdoor.Win32.Rbot.cqi, Trojan.Java.ClassLoader.as (sono altri nomi del virus Bagle o diversi??)
Comunque questo è il link con il report della scansione.
http://www.wikifortio.com/627928/Scansione Kaspersky Online.html://http://www.wikifortio.com/627928/Sc...sky Online.html

Qualcuno, gentilmente, puo darmi una mano per rimuovere questi virus?
Vi ringrazio in anticipo
Ciao a tutti.

[Seedorf]

Vai sul motore di ricerca e digita FXBEAGLE. Scarica il programma che ti rimuove sto caspita di virus ( io lo consco bene ). se riesci ad eliminarlo, in seguito devi disinstallare l'antivirus, eliminare ogni cartella che questo ha creato ed reinstallarlo. Ok?

[Luke57]

Ciao, nel report non si notano file caratteristici del bagle, forse è in quelli temporanei. comunquedisattiva il ripristino configurazione di sistema (nel forum trovi come fare ,se non lo sai già)
inoltre scarica avenger da qui:
http://www.wikifortio.com/945436/pele86.rar


Decomprimi l'archivio
individua "pele86.exe", lo avvii.


All'interno del box bianco,copia e incolla le scritte seguenti:

Files to delete:
C:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\hldrrr.exe
C:\WINDOWS\system32\drivers\pci32.sys
C:\WINDOWS\system32\drivers\hldrrr.exe
C:\WINDOWS\System32\mdelk.exe
C:\Windows\System32\bpghxzqim.exe
C:\Windows\System32\eiegqopve.exe
C:\Windows\System32\pfsxdwlhs.exe
C:\Windows\System32\qjvwhlhno.exe
C:\woot.wink

folders to delete:
C:\WINDOWS\exefnd
C:\WINDOWS\exefld
C:\WINDOWS\system32\drivers\down
C:\WINDOWS\temp
C:\WINDOWS\Tasks
C:\Users\user\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5
C:\Users\user\AppData\Local\Temp
C:\Users\user\Downloads\eMule\Temp
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5

registry keys to delete:
HKEY_LOCAL_MACHINE\system\ControlSet003\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
HKLM\SYSTEM\CurrentControlSet\Services\pci32
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32


Registry values to replace with dummy:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs


Clicca sul pulsante Execute

Il pc dovrebbe riavviarsi da solo, se così non fosse riavvialo manualmente.
Allega poi il log generato da avenger, lo trovi in C:\avenger.txt è un file di testo.

Al riavvio, inoltre, Scarica ATF Cleaner
http://www.atribune.org/ccount/click.php?id=1
Avvia ATF Cleaner.exe con un doppio click
- clicca sul menu main
- seleziona la casella Select All
- clicca sul pulsante Empty selected
- aspetta l'avviso Done Cleaning.
(se non vuoi eliminare le password togli la spunta)
(se usi opera o firefox,spunta anche le loro sezioni)

Poi riattiva il ripristino.

[brixianum]

Ciao e grazie per le risposte!!
ho fatto copia e incolla (piu volte) su Avenger ma mi dice: Invalid Script. A valid script must begin witha a command directive???? ho copiato o tralasciato qualcosa? sono stato attento a selezionare bene il testo da incollare

[Luke57]

Ciao, boh, prova così (controlla che non vi siano spazi fra la direttiva e l'elenco seguente):



Registry values to replace with dummy:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

Files to delete:
C:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\hldrrr.exe
C:\WINDOWS\system32\drivers\pci32.sys
C:\WINDOWS\system32\drivers\hldrrr.exe
C:\WINDOWS\System32\mdelk.exe
C:\Windows\System32\bpghxzqim.exe
C:\Windows\System32\eiegqopve.exe
C:\Windows\System32\pfsxdwlhs.exe
C:\Windows\System32\qjvwhlhno.exe
C:\woot.wink

folders to delete:
C:\WINDOWS\exefnd
C:\WINDOWS\exefld
C:\WINDOWS\system32\drivers\down
C:\WINDOWS\temp
C:\WINDOWS\Tasks
C:\Users\user\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5
C:\Users\user\AppData\Local\Temp
C:\Users\user\Downloads\eMule\Temp
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5

registry keys to delete:
HKEY_LOCAL_MACHINE\system\ControlSet003\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
HKLM\SYSTEM\CurrentControlSet\Services\pci32
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32

[brixianum]

Anche in questo caso Avenger ma mi dice: Invalid Script
comunque sono riuscito a risolvare in altra maniera:
-ho fatto la scansione con ATFCleaner e con ELIBAGLA
- ho scaricato OTMoveIT (http://up.sur-la-toile.com/iadW): ha spostato o eliminato C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS
- infine ho usato Combofix
http://www.steven.altervista.org/files/ ... tml#tools1

Risultato: Spyware Doctor non ha trovato nessun virus ma cosa piu importante sono a riuscito ad installare AVG anti virus (scansione OK!!) e questa dovrebbe essere la miglior prova che il pc adesso è pulito perche prima nessun antivirus poteva essere installato.

Grazie mille per l'attenzione!!! Ciao

[Luke57]

Ciao, complimenti per l'iniziativa. In effetti, una volta eliminato il rootkit con otmoveit2, combofix parte e debella l'infezione.