Trojan.Win32.Pakes.jyv

[SiriodeJaneiro]

Ciao a tutti. Negli ultimi giorni ho notato un rallentamento generale del sistema e facendo una scansione con Kaspersky mi è uscito fuori questo trojan. Un aiuto per toglierlo in maniera corretta? Posto il report di Kaspersky:

--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7 REPORT
Tuesday, October 14, 2008
Operating System: Microsoft Windows XP Professional Service Pack 2 (build 2600)
Kaspersky Online Scanner 7 version: 7.0.25.0
Program database last update: Monday, October 13, 2008 21:18:51
Records in database: 1309394
--------------------------------------------------------------------------------

Scan settings:
Scan using the following database: extended
Scan archives: yes
Scan mail databases: yes

Scan area - My Computer:
A:\
C:\
D:\
E:\

Scan statistics:
Files scanned: 41549
Threat name: 1
Infected objects: 8
Suspicious objects: 0
Duration of the scan: 05:31:36


File name / Threat name / Threats count
C:\Programmi\Creative\Shared Files\CAMTRAY.EXE1531385355 Infected: Trojan.Win32.Pakes.jyv 1
C:\Programmi\CyberLink\PowerDVD\Language\Language.exe607191016 Infected: Trojan.Win32.Pakes.jyv 1
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe2544549385 Infected: Trojan.Win32.Pakes.jyv 1
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe29716307 Infected: Trojan.Win32.Pakes.jyv 1
C:\Programmi\Mozilla Firefox\dslagent.exe USB Infected: Trojan.Win32.Pakes.jyv 1
C:\Programmi\Mozilla Firefox\GSICON.EXE Infected: Trojan.Win32.Pakes.jyv 1
C:\Programmi\Mozilla Firefox\SOUNDMAN.EXE Infected: Trojan.Win32.Pakes.jyv 1
C:\WINDOWS\system32\NeroCheck.exe856635586 Infected: Trojan.Win32.Pakes.jyv 1

The selected area was scanned.


Grazie.

[shel]

per togliere le infezioni che kaspersky ti ha trovato, esegui questa procedura

scarica Avenger

http://swandog46.geekstogo.com/avenger.zip

lo installi e lo lanci

Copi e incolli nella finestra: "Input script here" il testo in rosso così come lo vedi scritto:


files to delete:
C:\Programmi\Creative\Shared Files\CAMTRAY.EXE1531385355
C:\Programmi\CyberLink\PowerDVD\Language\Language.exe607191016
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe2544549385
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe29716307
C:\Programmi\Mozilla Firefox\dslagent.exe USB
C:\Programmi\Mozilla Firefox\GSICON.EXE
C:\Programmi\Mozilla Firefox\SOUNDMAN.EXE
C:\WINDOWS\system32\NeroCheck.exe856635586

Spunta "Automatically disable any rootkits found"

clicca sul pulsante "Execute"

Ora il pc dovrebbe riaviarsi - se cosi' non fosse, fallo tu

posta il log di avenger che trovi in c:\


Posta un log di hijackthis appena finito

[SiriodeJaneiro]

Ciao shel, intanto grazie della risposta, ora sono in ufficio appena torno a casa ci provo.

2 domande:
1. Avenger elimina direttamente quei file o li disinfetta? E in caso, non è che il trojan resta nel pc e dopo un po si ripresenta?
2. "scan for rootkits" devo lasciarlo spuntato?

[shel]

ciao

si avenger con quel comando elimina i file infetti

se vuoi essere piu' sicuro inviami un log di hijackthis cosi' vediamo se ci sono delle chiavi di registro legate a quei file

http://www.trendsecure.com/portal/en-US ... kthis.php#

ricorda di mettere hjt in C:\Programmi per eventuali ripristini


>>>>>


"scan for rootkits lascialo cosi'

[Luke57]

Ciao, il problema è che se cancelli quei file i relativi programmi non funzioneranno più, scarica findawf da qui:
http://noahdfear.geekstogo.com/FindAWF.exe
lo avvii, nella finestra dos che si apre premi 1 e poi invio; alla fine dello scan copia e incolla il report rilasciato.

[shel]

luke 57 ma sono comunque infetti

[shel]

ho capito luke

quelli potrebero essere copie infette del Trojan.win32

[SiriodeJaneiro]

ciao Luke, ecco il report di findAWF:


Find AWF report by noahdfear ©2006
Version 1.40



bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\MSNMES~1\BAK

0 File 0 byte
2 Directory 156.814.872.576 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\WINDOWS\SYSTEM32\BAK

0 File 0 byte
2 Directory 156.814.872.576 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\CREATIVE\SHARED~2\BAK

0 File 0 byte
2 Directory 156.814.868.480 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\CYBERL~1\POWERDVD\BAK

0 File 0 byte
2 Directory 156.814.868.480 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\GRISOFT\AVG7\BAK

0 File 0 byte
2 Directory 156.814.868.480 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\CYBERL~1\POWERDVD\LANGUAGE\BAK

0 File 0 byte
2 Directory 156.814.868.480 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\JAVA\JRE15~1.0_1\BIN\BAK

15/12/2006 04.23 75.520 jusched.exe
1 File 75.520 byte
2 Directory 156.814.868.480 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\ADOBE\PHOTOS~1\3.0\APPS\BAK

0 File 0 byte
2 Directory 156.814.868.480 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~

75520 15 Dec 2006 "C:\Programmi\Java\jre1.5.0_11\bin\bak\jusched.exe"


end of report

[Luke57]

Ciao, sembra che nellem cartelle bak non vi siano file, intanto disistalla la versione antidiluviana della java,
poi riapri findawf, questa volta premi l'opzione 2, il tool eseguirà una operazione di scansione
● al termine della scansione, verrà generato ed aperto un file di testo chiamato files.txt
incolla all'interno del file di testo questo script:

Codice: Seleziona tutto

"C:\PROGRA~1\CYBERL~1\POWERDVD\BAK"
"C:\PROGRA~1\CYBERL~1\POWERDVD\LANGUAGE\BAK"
"C:\Programmi\Mozilla Firefox\bak\dslagent.exe USB
"C:\Programmi\Mozilla Firefox\bk\GSICON.EXE"
"C:\Programmi\Mozilla Firefox\bak\SOUNDMAN.EXE"
"C:\WINDOWS\system32\bak\NeroCheck.exe"

chiudere il file di testo e, alla richiesta, salvare le modifiche apportate.

sarà aperto un nuovo file di testo, copialo e incollalo in un post.

[SiriodeJaneiro]

ciao Luke, ho messo il java nuovo, questo è il nuovo report di findawf:


Find AWF report by noahdfear ©2006
Version 1.40
Option 2 run successfully



bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\MSNMES~1\BAK

0 File 0 byte
2 Directory 156.733.657.088 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\WINDOWS\SYSTEM32\BAK

0 File 0 byte
2 Directory 156.733.657.088 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\CREATIVE\SHARED~2\BAK

0 File 0 byte
2 Directory 156.733.652.992 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\CYBERL~1\POWERDVD\BAK

0 File 0 byte
2 Directory 156.733.652.992 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\GRISOFT\AVG7\BAK

0 File 0 byte
2 Directory 156.733.652.992 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\CYBERL~1\POWERDVD\LANGUAGE\BAK

0 File 0 byte
2 Directory 156.733.652.992 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\JAVA\JRE15~1.0_1\BIN\BAK

15/12/2006 04.23 75.520 jusched.exe
1 File 75.520 byte
2 Directory 156.733.652.992 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 50C1-9008

Directory di C:\PROGRA~1\ADOBE\PHOTOS~1\3.0\APPS\BAK

0 File 0 byte
2 Directory 156.733.652.992 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~

144784 10 Jun 2008 "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe"
75520 15 Dec 2006 "C:\Programmi\Java\jre1.5.0_11\bin\bak\jusched.exe"


end of report

[Luke57]

Ciao, a questo punto elimina i file individuati da Kaspersky

[SiriodeJaneiro]

Dici di eliminarli a mano proprio? Non crea qualche problema?