VIRUS NELLA MEMORIA

[annonio]

Salve a tutti, sono un ricercatore universitario e metre facevo la mia solita scansione con Avast 4.8 Home Edition (aggiornato!!) mi e' comparsa una schermata che dice:

"Attenzione Trovati file sospetti (usando il metodo euristico).Potrebbe essere un segnale d'infezione virus.Si prega di inviare i file al nostro laboratorio virus per ulteriori analisi."

tipologia: Rootkit:file nascosti

Adesso, ho provato sia ad eliminarli sia ad ignorare il segnale....in entrambi i casi subito dopo mi compare un'altra schermata di Avast in cui mi si dice che Avast HA TROVATO UN VIRUS NELLA MEMORIA OPERATIVA e mi si consiglia di riavviare e scansionare al riavvio il pc.
Ho seguito questo consiglio,ma al riavvio la scansione non trova nulla.
Il problema resta pero' , sono preoccupato perche' in questo pc ho molti dati importanti facendo appunto il ricercatore in universita'.
PER FAVORE , QUALCUNO PUO' INDICARMI COME PROCEDERE PER ELIMINARE QUESTO VIRUS?

Confido come sempre nel Vs. aiuto.

Un abbraccio.


Antonio

[SkunkWorks 68]

Esegui una scansione di controllo qui:http://www.kaspersky.com/kos/eng/partner/us/languages/english/check.html?n=1227522319890
Le euristiche non sempre sono affidabili.
Ciao

[annonio]

Ciao, grazie anzitutto!!!
Ho provato a fare la scansione col tuo link ...ma come funziona?
Ho provato a fare una scansione con Hijackthis....spero sia uguale...questo e' il risultato:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 11.40.21, on 24/11/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programmi\Launch Manager\LaunchAp.exe
C:\Programmi\Launch Manager\HotkeyApp.exe
C:\Programmi\Launch Manager\OSDCtrl.exe
C:\Programmi\Launch Manager\Wbutton.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Programmi\Acer\OrbiCam\CameraAssistant.exe
C:\WINDOWS\system32\ElkCtrl.exe
C:\WINDOWS\Samsung\PanelMgr\ssmmgr.exe
C:\Programmi\HP\HP Software Update\HPWuSchd2.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
c:\programmi\file comuni\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programmi\Samsung\Samsung PC Studio 3\Launcher.exe
C:\Programmi\Samsung\Samsung PC Studio 3\ConMgr.exe
C:\Programmi\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\File comuni\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Documents and Settings\JONIOSIDER\Desktop\HiJackThis_v2.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://it.rd.yahoo.com/customize/ycomp/ ... .yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://it.rd.yahoo.com/customize/ycomp/ ... .yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://it.intl.acer.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AzMixerSel] C:\Programmi\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ntiMUI] C:\Programmi\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [LaunchAp] "C:\Programmi\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [LManager] "C:\Programmi\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [CtrlVol] "C:\Programmi\Launch Manager\CtrlVol.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Programmi\Launch Manager\OSDCtrl.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Programmi\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [eLockMonitor] C:\Acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 0
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechCameraAssistant] C:\Programmi\Acer\OrbiCam\CameraAssistant.exe
O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Programmi\Acer\OrbiCam\InstallHelper.exe /inspect
O4 - HKLM\..\Run: [LogitechCameraService(E)] C:\WINDOWS\system32\ElkCtrl.exe /automation
O4 - HKLM\..\Run: [Samsung PanelMgr] C:\WINDOWS\Samsung\PanelMgr\ssmmgr.exe /autorun
O4 - HKLM\..\Run: [HP Software Update] "C:\Programmi\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{11AE47A0-1DF6-4E9D-AE3F-B46B3B9D2224}: NameServer = 193.70.152.25
O17 - HKLM\System\CS1\Services\Tcpip\..\{11AE47A0-1DF6-4E9D-AE3F-B46B3B9D2224}: NameServer = 193.70.152.25
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: eLock Service (eLockService) - - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\programmi\file comuni\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programmi\WinPcap\rpcapd.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Utilità di pianificazione di LiveUpdate automatico - Symantec Corporation - C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/JONIOS~1/IMPOST~1/Temp/msoclip1/01/clip_image002.jpg

--
End of file - 10464 bytes


Spero davvero di riuscire a rimuovere questo virus perche' nel pc ho il lavoro di una vita!!

Saluti

Antonio

[SkunkWorks 68]

Il log non mi sembra mostrare nulla di che...
XP sarebbe da aggiornare al SP 3.
La scansione on-line di Kaspersky ti installa un controllo active-X,clicca su accept,aggiorna poi il database pacchetti delle firme virali e quando tutto è finito clicchi su scan my computer(ci vorrà un po' di tempo).Ti verrà rilasciato un report di scansione.
Ciao

[SkunkWorks 68]

Hai un back-up dei dati importanti?.Io ricordo sempre di eseguirlo periodicamente
Ciao

[annonio]

Nulla, il mio computer mi blocca l'istallazione del tuo scanner on line....solo la scansione con Hijackthis riesco a fare....tu dunque non ci trovi nulla?
Strano pero'.....il messaggio di virus mi ricompare ad ogni nuova scansione e appena trova il virus devo per forza riavviare il pc ...un casino!!



Vabe'...se ci sono sviluppi....fammi sapere!!


Debitore!


Antonio

[SkunkWorks 68]

In che senso ti blocca l'installazione?
Compare qualche avviso?
Strano...a me funziona...
Ciao

[annonio]

Ti spiego esattamente:
se clicco sul link mi si apre la schermata principale dove in alto (forse per un blocco attivato dei popup) mi dice che il pc blocca l'istallazione dell'active x.....
Anche se provo ad istallare l'active x( togliendo la spunta dal blocco dei popup)....mi esce un'altra scermata dove mi si dice: il programma ha un autore sconosciuto, pertanto e' stato bloccato! (forse e' qualche protezione di Windows? mah!)


Per favore spiegami bene perche' non sono un asso col pc (come sicuramente avrai capito)

[SkunkWorks 68]

Uhm,hai Java?
E' aggiornatissima,nel caso?
Java:http://java.com/it/download/index.jsp
Ciao

[annonio]

Perdonami ma non ho Java...ascolta:
mi daresti il tuo indirizzo msn? ne hai uno?
il mio e' annonio@hotmail.it


Se ti e' possibile e se lo usi potremmo chiacchierare in tempo reale
che vista la mia ignoranza forse e' l'unica soluzione

[SkunkWorks 68]

Ma secondo me è meglio se rimaniamo sul Forum(non è mancanza di fiducia,credimi),vai tranquillo
1)Può servire anche ad altri.
2)Qualcuno d'altro può subentrare con altre idee utili...
E' lo spirito di tutti i Forums della rete
Ciao

[annonio]

Certo...capisco!!

Dai resto in attesa di sviluppi!


P.S.=ma nel mio caso l'uso la scansione conHijackthis non va bene uguale??


Saluti

[annonio]

Accidenti il pc inizia adesso a funzionare in modo strano....sembra rallentato...le pagine si aprono in maniera moooolto piu' rallentata.....molto strano...

[MIKI68]

Scarica avenger e segui queste istruzioni:
http://www.steven.altervista.org/files/avenger.html

[SkunkWorks 68]

Hai un back-up del tuo lavoro-fallo al più presto(visto che dici che è importantissimo)?
Io temo sempre le noie hardware...
Ciao

[annonio]

Ma sono sul link relativo ad Avenger....ma dove clicco per scaricare il programma??
Ma questo programma che fa esattamente? Produce un altro log come Hijackthis??
Sono molto confuso



Saluti

[SkunkWorks 68]

Occhio ad Avenger,(non ne sono pratico nemmeno io nell'uso,Luke 57 è invece molto abile,aspetta lui che è preparatissimo)è per utenti piuttosto esperti.
Si rischia di combinare gravi danni,quello che penso.
Qui,alla voce download:http://swandog46.geekstogo.com/avenger2/avenger2.html
Ciao

[Luke57]

Ciao, facciamo un controllo più approfondito con Gmer

http://www.gmer.net/gmer.zip

Scarica il file .zip sul desktop e scompatta, sempre sul desktop, il file gmer.zip.
Esegui gmer.exe
Clicca sul Tab "Rootkit"
Clicca su "Scan"
finita la scansione clicca su "Copy"
Apri il Blocco Note, incollaci il contenuto, salva il file in formato testo ed allegalo in un post

2) Esegui nuovamente gmer.exe
Clicca sul Tab "Autostart"
Clicca su "Scan"
finita la scansione clicca su "Copy"
Solita procedura con il blocco note, incollaci il testo, salva il file in formato testo ed allegalo in un post

(Puoi anche eseguire la prima scansione, salvare il file di testo, eseguire, la seconda scansione, incollareb sotto il pimo testo il risultato della seconda scansione e, quindi, allegare un solo file testo)

[annonio]

Madonnina mia!!
eheheh
Vabe'....proviamo a vedere se riesco a fare quest'ultima operazione....dunque...
Ma che significa "scompatta"??
P.S.=scusa ma con me occorre parlare in modo molto semplice....non ci capisco molto di linguaggi informatici...


Vabe'...dai...provo a seguire questi 2 passi e ti posto tutto!
Speriam bene!


Grazie tanto!!

Anto

[MIKI68]

Scompatta significa aprire un file compresso con winzip o winrar ( giusto per avere una idea)