Bagle rimosso ma .....

[lansbishop]

Salve A tutti,
- Ho da poco finito di rimuovere virus, bagle, trojan e quant'altro dal mio PC (OS WinXp SP3), che non mi facevano partire ne' l'AntiVir Xp, ne' il Jetico Firewall, ne tanto meno la modalità provvisoria.
- Ho disinfettato (almeno spero) l'hard disk facendo partire la macchina con un altro mio disco e poi utilizzando combofix da start > esegui, "%userprofile%\desktop\abc.exe" /killall , come da un precedente vostro post.
- Ho reinstallato AntivirXP in modalità provvisoria (in quella normale mi dava problemi, file mancanti), ma purtroppo non mi parte al riavvio del PC. Inoltre mi è impossibile reisntallare Jetico Firewall.
- Altro cosa che mi preoccupa è il "trova problemi" di ccleaner, mi da sempre circa 2000 problemi da riparare in dll condivise (HKLM/windows/ecc. Shared Dll mancante).

Credo in effetti che i virus e il bagle, abbiano cambiato qualche valore nel registro di sistema, ma non so come metterci mano.
Se mi potreste gentilmente aiutare , ve ne sarei davvero grato.

[Luke57]

Ciao, Scarica SystemScan, disconnetti il pc da internet => disattiva l'antivirus => esegui systemscan => clicca su "Scan Now".
http://www.suspectfile.com/systemscan
Finita la scansione, riattiva l'antivirus, carica il rapporto (file .zip) che trovi sul desktop su wikifortio e posta il link ottenuto.
http://www.wikifortio.com/
Nota: systemscan viene riconosciuto come infetto per il tipo di scansione effettuata, ovviamente non lo è.

[lansbishop]

Scusami se rispondo con un po' di ritardo, ma i virus hanno colpito anche me. Comunque se ho ben capito è questo il link che devo postare?
09_11_2009_14_42_report.zip

oppure questo?
http://www.wikifortio.com//upload/detai ... 8c7eb30f52

[Luke57]

Ciao, apri un file di testo al cui interno copia e incolla il seguente script:

Codice: Seleziona tutto

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"drvsyskit"=-
"mule_st_key"=-
"german.exe"="-
;

salvalo in C:\ con il nome di fix.reg (cambiando ovviamente l'estensione da .txt a .reg.


Poi scarica Avenger da qui

http://swandog46.geekstogo.com/avenger.zip

estrai il file avenger.exe sul desktop, chiudi programmi e applicazioni. Lo avvii,

Copi e incolli nella finestra: "Input script here" il seguente script :

Codice: Seleziona tutto

Files to delete:
C:\WINDOWS\system32\wfsintwq.sys
C:\WINDOWS\system32\Selfupdate.exe
C:\WINDOWS\system32\Webupdate2.dll     

Folders to delete:
C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp

Registry values to delete:
HKLM\SOFTWARE\Microsoft\windows\currentversion\policies\explorer\run | Mpk.exe

Registry keys to delete:
HKLM\system\currentcontrolset\services\srosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet005\Services\srosa

Programs to launch on reboot:
C:\fix.reg

Fatto ciò spunta "Automatically disable any rootkits found"

clicca sul pulsante "Execute"
Il pc dovrebbe riavviarsi da solo,se così non fosse riavvialo manualmente

posta il log di avenger che trovi in c:\


P.s. se non conosci questa cartella:
C:\Programmi\KGB

eliminala.

[lansbishop]

Ecco il log che mi hai richiesto, comunque tengo a precisare che avevo dapprima usato FindyKill dopo aver letto su un vostro post e tutto pare vada meglio (PARE!!!)

Per quanto riguarda la cartella KGB è tutto ok, la conosco bene

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "C:\WINDOWS\system32\wfsintwq.sys" deleted successfully.
File "C:\WINDOWS\system32\Selfupdate.exe" deleted successfully.
File "C:\WINDOWS\system32\Webupdate2.dll" deleted successfully.
Folder "C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp" deleted successfully.

Error: registry key "HKLM\system\currentcontrolset\services\srosa" not found!
Deletion of registry key "HKLM\system\currentcontrolset\services\srosa" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet005\Services\srosa" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet005\Services\srosa" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Registry value "HKLM\SOFTWARE\Microsoft\windows\currentversion\policies\explorer\run|Mpk.exe" deleted successfully.
Program "C:\fix.reg" successfully queued to run on reboot.

Completed script processing.

*******************

Finished! Terminate.