Win32.Bagle.SUQ@mm

[incontrocasa]

Intanto buongiorno a tutti, premetto che nn so se sto postando nella maniera piu corretta, ma leggendo alcuni topics, cercavo una soluzione al mio problema che ho riwscontrato comune ad altri utenti.
Infatti mi sono accorto che nn mi si avvia l'antivirus (Avira antivirus) nè tantomeno mi fa avviare tutto cio che riguarda antivirus e simili(nemmeno hijckthis, ccleaner, ed altri), l'unica risposta l'ho avuta facendo una scansione con Bitdefender quickscan (ho letto sul topic) e mi da il seguente log che posto:BitDefender QuickScan Beta 32-bit v0.9.8.2
------------------------------------------

Data Scansione: Wed Dec 16 10:09:39 2009
ID del PC: 84E306C3

Processi wintems.exe (184) - processi nascosti!
Processi winupgro.exe (4024) - processi nascosti!
Processi wintems.exe (184) - Win32.Bagle.SUQ@mm


Trovato 1 file infetto!
-------------------------
C:\WINDOWS\wintems.exe - Win32.Bagle.SUQ@mm


Processi
--------
<non contrassegnato> winupgro.exe 4024 C:\Documents and Settings\XPSP3VLGen\Dati applicazioni\drivers\winupgro.exe
<non contrassegnato> winampa.exe 128 C:\Programmi\Winamp\winampa.exe
<non contrassegnato> wintems.exe 184 C:\WINDOWS\wintems.exe

<verificato> mpbtn.exe 2120 C:\Programmi\Alice ti aiuta\bin\mpbtn.exe
<verificato> Bonjour Service 1768 C:\Programmi\Bonjour\mDNSResponder.exe
<verificato> Live! Cam Manager Application 3528 C:\Programmi\Creative\Creative Live! Cam\Live! Cam Manager\CTLCMgr.exe
<verificato> PowerDVD RC Service 848 C:\Programmi\CyberLink\PowerDVD8\PDVD8Serv.exe
<verificato> GoogleToolbarNotifier 2092 C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
<verificato> Java(TM) Quick Starter Service 2020 C:\Programmi\Java\jre6\bin\jqs.exe
<verificato> Firefox 3688 C:\Programmi\Mozilla Firefox\firefox.exe
<verificato> Skype 4040 C:\Programmi\Skype\Phone\Skype.exe
<verificato> Windows Live Messenger 2284 C:\Programmi\Windows Live\Messenger\msnmsgr.exe
<verificato> Esplora risorse 364 C:\WINDOWS\Explorer.EXE
<verificato> Realtek HD Audio Control Panel 380 C:\WINDOWS\RTHDCPL.EXE
<verificato> Client Server Runtime Process 892 C:\WINDOWS\system32\csrss.exe
<verificato> CTF Loader 2688 C:\WINDOWS\system32\ctfmon.exe
<verificato> LSA Shell (Export Version) 980 C:\WINDOWS\system32\lsass.exe
<verificato> NVIDIA Driver Helper Service, Version 178.24 520 C:\WINDOWS\system32\nvsvc32.exe
<verificato> Modulo di esecuzione DLL come applicazioni 820 C:\WINDOWS\system32\RUNDLL32.EXE
<verificato> Applicazione Servizi e Controller 968 C:\WINDOWS\system32\services.exe
<verificato> Windows NT Session Manager 664 C:\WINDOWS\System32\smss.exe
<verificato> Spooler SubSystem App 1556 C:\WINDOWS\system32\spoolsv.exe
<verificato> Generic Host Process for Win32 Services 1396 C:\WINDOWS\system32\svchost.exe
<verificato> Generic Host Process for Win32 Services 1504 C:\WINDOWS\system32\svchost.exe
<verificato> Generic Host Process for Win32 Services 1708 C:\WINDOWS\system32\svchost.exe
<verificato> Generic Host Process for Win32 Services 1200 C:\WINDOWS\system32\svchost.exe
<verificato> Generic Host Process for Win32 Services 1152 C:\WINDOWS\system32\svchost.exe
<verificato> Generic Host Process for Win32 Services 1344 C:\WINDOWS\System32\svchost.exe
<verificato> Servizio scheda WMI Performance 2128 C:\WINDOWS\system32\wbem\wmiapsrv.exe
<verificato> WMI 2204 C:\WINDOWS\system32\wbem\wmiprvse.exe
<verificato> Windows User Mode Driver Manager 736 C:\WINDOWS\system32\wdfmgr.exe
<verificato> Applicazione Accesso a Windows NT 924 C:\WINDOWS\system32\winlogon.exe
<verificato> Live! Cam Console Auto Launcher 896 C:\WINDOWS\V0470Mon.exe


Attività rete
-------------
Processi wintems.exe (184) connesso alla porta 80 (HTTP) - 62.210.183.2
Processi firefox.exe (3688) connesso alla porta 80 (HTTP) - 66.235.143.118
Processi firefox.exe (3688) connesso alla porta 80 (HTTP) - 74.125.43.113
Processi firefox.exe (3688) connesso alla porta 80 (HTTP) - 92.123.12.20

Processi wintems.exe (184) Ascolti alle porte: 17555
Processi svchost.exe (1200) Ascolti alle porte: 135 (RPC)


Autoruns e files critici
------------------------
<non contrassegnato> startup.exe C:\Documents and Settings\XPSP3VLGen\Desktop\Virus Removal Tool\is-9G10U\startup.exe
<non contrassegnato> Utilidad Anti-Virus C:\Documents and Settings\XPSP3VLGen\Documenti\Download\EliBaglA.exe
<non contrassegnato> Antivirus System Tray Tool C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
<non contrassegnato> NMBgMonitor.exe C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
<non contrassegnato> QuickTime Task C:\Programmi\QuickTime\QTTask.exe
<non contrassegnato> winampa.exe C:\Programmi\Winamp\winampa.exe

<verificato> Adobe Acrobat SpeedLauncher C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe
<verificato> Motive Chorus Command Line Interface C:\Programmi\Alice ti aiuta\bin\matcli.exe
<verificato> Apple Software Update C:\Programmi\Apple Software Update\SoftwareUpdate.exe
<verificato> Live! Cam Manager Application C:\Programmi\Creative\Creative Live! Cam\Live! Cam Manager\CTLCMgr.exe
<verificato> Language Application C:\Programmi\CyberLink\PowerDVD8\Language\Language.exe
<verificato> PowerDVD RC Service C:\Programmi\CyberLink\PowerDVD8\PDVD8Serv.exe
<verificato> Adobe CS4 Service Manager C:\Programmi\File comuni\Adobe\CS4ServiceManager\CS4ServiceManager.exe
<verificato> NeroCheck C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
<verificato> GoogleToolbarNotifier C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
<verificato> Google Installer C:\Programmi\Google\Update\GoogleUpdate.exe
<verificato> Java(TM) Platform SE binary C:\Programmi\Java\jre6\bin\jusched.exe
<verificato> GrooveMonitor Utility C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe
<verificato> GrooveShellExtensions Module c:\programmi\microsoft office\office12\grooveshellextensions.dll
<verificato> Skype C:\Programmi\Skype\Phone\Skype.exe
<verificato> Windows Live Messenger C:\Programmi\Windows Live\Messenger\msnmsgr.exe
<verificato> Realtek Azalia Audio - Event Monitor C:\WINDOWS\ALCMTR.EXE
<verificato> Realtek HD Audio Control Panel C:\WINDOWS\RTHDCPL.EXE
<verificato> Shell Browser UI Library C:\WINDOWS\system32\browseui.dll
<verificato> Crypto API32 C:\WINDOWS\system32\crypt32.dll
<verificato> Crypto Network Related API C:\WINDOWS\system32\cryptnet.dll
<verificato> Agente rete disconnessa C:\WINDOWS\system32\cscdll.dll
<verificato> CTF Loader C:\WINDOWS\system32\ctfmon.exe
<verificato> DIMS Notification Handler C:\WINDOWS\system32\dimsntfy.dll
<verificato> Configurazione Notifiche Windows Genuine Advantage C:\WINDOWS\system32\KB905474\wgasetup.exe
<verificato> Windows Logon UI C:\WINDOWS\system32\logonui.exe
<verificato> NVIDIA Display Properties Extension C:\WINDOWS\system32\NvCpl.dll
<verificato> NVIDIA Media Center Library C:\WINDOWS\system32\nvmctray.dll
<verificato> nwiz.exe C:\WINDOWS\system32\nwiz.exe
<verificato> DLL di notifica del Servizio di accesso secondario C:\WINDOWS\system32\sclgntfy.dll
<verificato> DLL comune della shell di Windows C:\WINDOWS\system32\shell32.dll
<verificato> Oggetto servizio shell Systray C:\WINDOWS\system32\stobject.dll
<verificato> Applicazione accesso Userinit c:\windows\system32\userinit.exe
<verificato> Utilità di monitoraggio siti Web C:\WINDOWS\system32\webcheck.dll
<verificato> DLL comune per ricevere le notifiche di Winlogon C:\WINDOWS\system32\wlnotify.dll
<verificato> Live! Cam Console Auto Launcher C:\WINDOWS\V0470Mon.exe


Browser plugins
---------------
<non contrassegnato> GEPlugin C:\Programmi\Google\Google Earth\plugin\npgeplugin.dll
<non contrassegnato> Java(TM) Quick Starter binary c:\programmi\java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
<non contrassegnato> wpidetector C:\Programmi\Microsoft\Web Platform Installer\\npwpidetector.dll
<non contrassegnato> The QuickTime Plugin allows you to view a wide var C:\Programmi\Mozilla Firefox\plugins\npqtplugin.dll
<non contrassegnato> The QuickTime Plugin allows you to view a wide var C:\Programmi\Mozilla Firefox\plugins\npqtplugin2.dll
<non contrassegnato> The QuickTime Plugin allows you to view a wide var C:\Programmi\Mozilla Firefox\plugins\npqtplugin3.dll
<non contrassegnato> The QuickTime Plugin allows you to view a wide var C:\Programmi\Mozilla Firefox\plugins\npqtplugin4.dll
<non contrassegnato> The QuickTime Plugin allows you to view a wide var C:\Programmi\Mozilla Firefox\plugins\npqtplugin5.dll
<non contrassegnato> The QuickTime Plugin allows you to view a wide var C:\Programmi\Mozilla Firefox\plugins\npqtplugin6.dll
<non contrassegnato> The QuickTime Plugin allows you to view a wide var C:\Programmi\Mozilla Firefox\plugins\npqtplugin7.dll

<verificato> Bonjour Namespace Provider C:\Programmi\Bonjour\mdnsNSP.dll
<verificato> Adobe PDF Helper for Internet Explorer c:\programmi\file comuni\adobe\acrobat\activex\acroiehelpershim.dll
<verificato> WindowsLiveLogin.dll c:\programmi\file comuni\microsoft shared\windows live\windowslivelogin.dll
<verificato> Google Toolbar c:\programmi\google\google toolbar\googletoolbar_32.dll
<verificato> GoogleToolbarNotifier C:\Programmi\Google\GoogleToolbarNotifier\5.4.4525.1752\swg.dll
<verificato> Google Update C:\Programmi\Google\Update\1.2.183.13\npGoogleOneClick8.dll
<verificato> Java(TM) Platform SE binary c:\programmi\java\jre6\bin\jp2ssv.dll
<verificato> Windows Messenger C:\Programmi\Messenger\msmsgs.exe
<verificato> GrooveShellExtensions Module c:\programmi\microsoft office\office12\grooveshellextensions.dll
<verificato> 1.0.30401.0 C:\Programmi\Microsoft Silverlight\npctrl.1.0.30401.0.dll
<verificato> NPRuntime Script Plug-in Library for Java(TM) Depl C:\Programmi\Mozilla Firefox\plugins\npdeploytk.dll
<verificato> Default Plug-in C:\Programmi\Mozilla Firefox\plugins\npnul32.dll
<verificato> Panda ActiveScan 2.0 Plugin for Firefox C:\Programmi\Panda Security\ActiveScan 2.0\npwrapper.dll
<verificato> Skype add-on for IE c:\programmi\skype\toolbars\internet explorer\skypeieplugin.dll
<verificato> SBSD IE Protection c:\programmi\spybot - search & destroy\sdhelper.dll
<verificato> Adobe® Flash® Player ActiveX Installer C:\WINDOWS\Downloaded Program Files\FP_AX_CAB_INSTALLER.exe
<verificato> Windows Presentation Foundation (WPF) plug-in for C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll
<verificato> Network Diagnostic for Windows XP C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
<verificato> NPSWF32.dll C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll
<verificato> Service Provider Microsoft Windows Sockets 2.0 C:\WINDOWS\system32\mswsock.dll
<verificato> Microsoft Windows Rsvp 1.0 Service Provider C:\WINDOWS\system32\rsvpsp.dll
<verificato> Shell Doc Object e Control Library C:\WINDOWS\system32\shdocvw.dll
<verificato> LDAP RnR Provider DLL C:\WINDOWS\system32\winrnr.dll


Scansione
---------
I seguenti file(s) devono essere inviati per una scansione da parte del server:
C:\Documents and Settings\XPSP3VLGen\Documenti\Download\EliBaglA.exe

Invio iniziato - 1 file(s)
Invio: C:\Documents and Settings\XPSP3VLGen\Documenti\Download\EliBaglA.exe - 73227 bytes, hash: 870c01c21a6788a830f3bd18051d0db0
Velocità invio - 15 KB/s
Invio terminato - 1 inviati, 0 falliti

Il/I file(s) inviato è risultato pulito.

Scan finished - communication took 7 sec
Total traffic - 0.10 MB inviati, 1.93 KB ricevuti
Scanned 919 files and modules - 25 seconds.

Premetto che ho fatto scansione con Elibagla(letto sempre sul topic), e che ho cercato di fare scansione con the Avenger(inserendo lo script consigliato) ma anche qui errore e non mi fa fare scansione dicendo che nmanca:C:/cleanup.exe.
Scusate se sono stato prolisso, ma nn riesco a risolvere e cosi faccio affidamento alla vs gentilezza e competenza.
Spero in una risposta.
Ringrazio anticipatamente ed invio i piu cordiali saluti.
Antonio.

n.b. non riesco ad avviare il pc in modalità provvisoria.

[shel]

ciao

scarica

http://dc108.4shared.com/download/75022 ... 1-de3379fb

Una volta installato chiudi tutte le applicazioni attive e disconnettiti dal internet, poi clicca sull'icona di FindyKill e nella finestra dos che si aprirà scrivi 2 e premi Invio. Attendi il termine della scansione e posta qui il log che trovi in C:\FindyKill.txt

[incontrocasa]

Ciao, intanto ti ringrazio per la risposta..gentilissimo....,
ho tentato di cliccare sul link che mi hai appena postato, ma succede che mi si chiude fierfox........nn so perche', ma nn me lo fa aprire....cosa potrebbe essere?
grazie ancora

[shel]

prova a rinominarlo prima di scaricrlo in abc e vedi se riesci a farlo partire

[incontrocasa]

Ciao shel,
niente da fare nn riesco nemmeno ad aprire la pagina a cui fa riferimento il link...come dicevo si chiude immediatamente firefox.....
nel frattempo ho cercato di fare scansioni conkaspersky che naturalmente nn mi fa installare.....con avenger nn mi fa fare nulla, come dicevo nel topic, mi da errore avvertendo che manca il file c:cleanup....
se rifromatto pensi si risolva il problema o pensi si possa risolvere eliminando il virus?
A proposito, nemmeno il findkill mi fa partire, infatti appare la finestra di dos inserisco 2 come mi hai detto...e sparisce la finestra dos....che rabbia....se prendessi tra le mani uno di quelli che mettono in giro sta roba......beh...
grazie

[shel]

proviamo a mano - se non te la senti, non farlo

apri il registro >>> start\esegui\regedit

segui il percorso di questa chiave

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

quando sei su Run un solo clic e sulla destra trovi questi valori che dovrai eliminare

tasto destro >>>elimina

hldrrr

drvsyskit

german.exe




Nello stesso modo, eliminate anche le seguenti chiavi:

HKEY_CURRENT_USER\Software\DateTime4

HKEY_CURRENT_USER\Software\FirstRRRun

[incontrocasa]

Ciao Shel,

ho appena lettoil tuo messaggio, e mi sono premurato di fare cio che mi hai consigliato, ebbene....:
nel regedita ho solo trovato dataTime4
del resto non c'è traccia e cioè
hldrrr

drvsyskit

german.exe

HKEY_CURRENT_USER\Software\FirstRRRun....
ho cancellato DataTime4.....
e adesso?... nulla naturalmente è cambiato.....spero tu possa trovare (ne sono certo) una strada..che nn sia quella di buittare tutto in aria naturalmente :-)
a presto...ti auguro una buona serata..ciaooo

[shel]

scusa ma elibagla lo hai eseguito?

fai in questo modo

Disattiva Ripristino configurazione di sistema

Codice: Seleziona tutto

tasto destro del mouse sull'icona Risorse del Computer
seleziona la voce Proprietà
apri la scheda Ripristino configurazione di Sistema
spunta la voce Disattiva ripristino configurazione di sistema
conferma, la modifica, con Applica e, poi Ok

scarica malwarebytes da qui

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

vai in modalita' provvisoria

Aggiorna il programma: clicca sulla scheda "aggiornamenti"== => "controlla aggiornamenti"
esegui una scansione completa del sistema e, una volta terminata la scansione, allega il log che verrà rilasciato

non rimuovere noente fino a quando non avro' controllato il log

[incontrocasa]

Buongiorno Shel,
in risposta al tuo messaggio, desideravo comunicareti che:
il pc non mi permette di partire in modalità provvisoria;
ho certamente fatto scansione con elbagla, ma nn risulta il ben che minimo virus;
ed ancora non mi fa installare nessun tipo di programma del tipo antivirus o removal tools....
un dramma praticamente...forse sarebbe meglio riformattare?.....mah...forse tu hai qualche altra soluzione...ne sono certo....
in attesa di una tua cortese risposta ti auguro una buona giornata... Ciao

[shel]

ciao

proviamo in questo modo, vediamo se si riesce a scovare qualcosa

scaricati questo file .bat ed eseguilo
http://wikisend.com/download/479422/1.bat
in C:\ dovresti rovare dei file .txt da 1 a 10 - se non ci sono tutti copia quelli che trovi in una cartella zippata e allegali a un post e caricali qu >>>>> www.wikisend.com

postali subito


vai sul sito di kaspersky e prova a fare una scansione online

http://www.kaspersky.com/virusscanner

clicca su "kaspersky online scanner"
clicca su "accept"
--- verrà eseguito il download dei componenti necessari alla scansione
quando è terminato clicca su "my computer" (finestra a sinistra)
avvia la scansione
--- da questo punto in poi, puoi anche disconnettere il pc da internet
quando finisce la scansione, salva e posta il rapporto.

[incontrocasa]

Ciao shel,
sono tornato adesso ed ho letto il tuo messaggio.
In C:/ ho trovato solo un file text(infosat.text) e niente altro.
Sono sul sito che mi hai consigliato per uplodare questo file text.
Volevo chiederti..e con quel file.bat che cosa faccio?
Aspetto cortese risposta, sono onlien come puoi vedere...ciao
a proposito, vado dul sito di Kaspersky per uno sca online, ma il sito dice che al momento non è possibile fare scanonline....:-)

[shel]

Volevo chiederti..e con quel file.bat che cosa faccio?

guarda, l'ho scritto qui

scaricati questo file .bat ed eseguilo
http://wikisend.com/download/479422/1.bat
in C:\ dovresti rovare dei file .txt da 1 a 10 - se non ci sono tutti copia quelli che trovi in una cartella zippata e allegali a un post e caricali qu >>>>> http://www.wikisend.com

postami anche il file infosat.text

[incontrocasa]

Ho eseguito il file bat ed ho trovato tutti e 10 file.tx, scusa l'ignoranza, ma che vuol dire allegarlo ad un post? come faccio....perdona ma sono quasi zero i materia....

[incontrocasa]

InfoSat.txt

[incontrocasa]

file1.zip

[incontrocasa]

gentile Shel, ti ho allegato i due file....spero di aver operato correttamente...
grazie per l'interessamento...a dopo..ciaooo

[shel]

scusa ma perche' dici cje elibagla non ha trovato niente? ci sono state delle eliminazioni a quanto pare

nel frattempo prova avenger se parte

Incolla il seguente spript nello spazio bianco sotto alla voce Input script here

Codice: Seleziona tutto

files to delete:
C:\DOCUMENTS AND SETTINGS\XPSP3VLGEN\DATI APPLICAZIONI\DRIVERS\WINUPGRO.EXE
C:\WINDOWS\SYSTEM32\WFSINTWQ.SYS

togli la spunta alla voce Scan for rootkits e clicca su Execute.

Il pc dovrebbe riavviarsi se non accade riavvialo tu e posta il report

[incontrocasa]

Coem temevo nn mi fa aprire il file zippato di avenger....
l'ho rinominato nella stessa cartella zippata, ma non me lo aprire ugualmente....

[Luke57]

Ciao, il problema è che i file già eliminati da elibagla si riformano al riavvio, se tutti i file del bagle non sono stati eliminati, compresi quelli tempoporanei, qualè il tuo sistema operativo? xp?

[incontrocasa]

si è xp professional.....
ho eliminato i file tempoarnei....semmai servisse....
ma nn c'è verso.....a proposito, ieri avevo fatto un tentativo con avenger(strano ma ieri sono riuscito a rinominare il file e frlo partire..oggi nn c'è verso...) cmq dicevo, che nemmeno avenger mi faceva fare nulla dicendomi che c'era un file mancante(ceanup.exe) e naturalmente mi dava errore...! ci saranno i fantasmi? :-)