sospetto trojan downloader nel pc

[eliderossi86]

ciao.. alcuni hanno già interagito con me tempo addietro per una serie di m***a che avevo preso nel vecchio pc (buttato..). Oggi a due mesi dall'acquisto di un nuovo pc scopro che mia sorella cerca le canzoni su google e le prende.. come le vengono.. *___*... (CAZZIATONE STORICO...)Ora collego i nuovi sintomi del pc...
Si riavvia da solo e spesso mi viene segnalata la presenza di un Troian... Downloader.gen..

vi posto il log di HIjackThis:

hijackthis.log

[m.paolo]

Cio capito poco! Come da regolamento, non usare abbreviazioni nè parolacce, ma cerca di essere chiaro!

[Luke57]

Ciao, per questa volta rispondo cambiando il titolo , ma un altro titolo così idiota e chiudo immediatamente la discussione.

scarica malwarebytes
http://download.cnet.com/Malwarebytes-A ... 04572.html
dopo averlo installato aggiornalo ed esegui la scansione completa del sistema. Elimina tutti gli oggetti identificati e salvail log della scansione (il file di log da allegare per il controllo si trova nel Tab "File di log").
Posta tale log.

[m.paolo]

Ciao, per questa volta rispondo cambiando il titolo , ma un altro titolo così idiota e chiudo immediatamente la discussione.

Sono daccordo con te!

[eliderossi86]

Oh cielo... chiedo scusa... e che sono esasperata... cmq il log è pulito... ma qualcosa c'è secondo me...

mbam-log-2010-12-06 (18-22-21).txt

[Luke57]

Scarica otl.exe da qui:
http://oldtimer.geekstogo.com/OTL.exe
Esegui il file OTL.exe
(Dopo aver eseguito OTL, sui sistemi Windows 7 e Windows Vista si dovrà rispondere in modo affermativo alla comparsa del messaggio di avviso di UAC.)
Metti la spunta nelle caselle:
sotto Outpout spunta "minimal" poi spunta:
"Scan all users"
Processes ---->Use safe list
Services ----> Use safe list
Standard Registry ----> All
Lop check
Purity check
Clicca sulla freccettina di File Age e seleziona 60 Days

Clicca su Run scan
Finita la scansione che potrebbe impiegare diverso tempo, OTL produrrà due file di log (OTL.txt ed Extras.txt), memorizzati nella medesima cartella del programma.

Zippali in un file e inseriscili su wikisend come hai fatto con l'altro report.

[eliderossi86]

Extras.Txt

OTL.Txt

Grazie mille e scusate ancora!

[Luke57]

Ciao, nel report non ho visto kinacce, fai controllare questo file, se presente
C:\Windows\SysWow64\F4031E5A7A.sys
su virustotal
http://www.virustotal.com/

e fai sapere l'esito

[eliderossi86]

Non è presente il file...

[Riverside]

Ciao Elisa

Si riavvia da solo ....

Hum .... Acer?

e spesso mi viene segnalata la presenza di un Troian... Downloader.gen..

Da Avira?

[eliderossi86]

Sì Acer, Sì Avira... il file - trojan 'downloader' diciamo che riuscivo a farlo fuori liberando la cronologia.. visto che vedevo che si trovava nei file temporanei.. ma proprio 3 minuti fa il pc si è riavviato da solo..

appare una schermata blu tipo BIOS o DOS con una serie di scritte che mi analizza il processore.. poi riavvio... scelta se avviare windows normalmente o in modalità provvisoria..

ho notato che avevo appena utilizzato un programma peer-to-peer... ci sono connessioni??

[Riverside]

appare una schermata blu tipo BIOS o DOS con una serie di scritte che mi analizza il processore.. poi riavvio... scelta se avviare windows normalmente o in modalità provvisoria..
ho notato che avevo appena utilizzato un programma peer-to-peer... ci sono connessioni??

dal log di Hijackthis sembrerebbe che la catena di Winsock sia interrotta:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 23:10:55, on 05/12/2010
Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16671)
Boot mode: Normal
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvlsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nvlsp.dll

però con Win 7 64Bit, il log va preso con le molle.

Fai una scansione completa con Avira, in modalità provvisoria ed allega il log rilasciato al termine della scansione.

[eliderossi86]

AVSCAN-20101207-224408-0A03E7E6.LOG

[Riverside]

Elisa, te lo avevo già detto la scorsa volta, fino a quando scarichi crack e keygen (in questo caso, il keygen per Corel Paint Shop Pro X2) ti infetterai sempre.

Ora:

> Start
> Pannello di Controllo
> Programmi
> nella maschera principale dovresti vedere l'icona di JAVA (32Bit): clicca sulla icona
> si aprirà il Panello di controllo di Java
> nel tab Generale, nella sezione File temporanei Internet clicca su Impostazioni
> nella maschera che si aprirà clicca su Elimina File
> nella finestra che si aprirà spunta (se non lo fossero) le voci Applicazioni e applet e File traccia e registro
> clicca su OK ed ancora su OK ed infine OK.

Riavvia il sistema, ripeti la scansione con Avira ed allega il nuovo log rilasciato al termine della scansione.

[eliderossi86]

Non mi sono ricordata di questa cosa... prometto che non lo faccio più!

Questo il log.. anche se la scansione l'ho dovuta ripetere.. a metà il pc ha di nuovo fatto uscire quella schermata blu di scansione del sistema...con il conseguente riavvio

diceva tipo ROBLEM 000000000001A

ho fatto in tempo a leggere solo questo.. tra le scritte

AVSCAN-20101208-100444-0805E965.LOG

[Riverside]

Ok Elisa, il log ora è a posto.
Per quanto riguarda la schermata blu (di solito appaiono quando ci sono conflitti di periferiche, però ultimamente e stranamente, ne vedo moltissime sugli Acer con Win7 64Bit):
1) hai per caso installato qualche periferica esterna (stampante, harddisk esterno, mouse/tastiera wireless)?
2) hai per caso impostato qualche screensever parrticolare (tipo lagoon?)

[eliderossi86]

AH ok... quindi non è un virus?

1) no... mouse e tastiera a filo.. quelle già comprese con il pc, hardisk esterno c'è però era staccato quando stavo facendo la scansione in mod. provvisoria e non l'ho installato.. lo apro direttamente con la cartella.. stampante c'è si è autoinstallata quando l'ho attaccata al nuovo pc..

2) no.. lo screensaver è uno di default di Windows 7..

Grazie di tutto cmq!

[Riverside]

AH ok... quindi non è un virus?

Il virus è stato rimosso: si era insinuato nella cache di Java (pensavo tu lo avessi capito )

stampante c'è si è autoinstallata quando l'ho attaccata al nuovo pc..

questo potrebbe essere un problema, quindi partiamo da qui: verifica sul sito del produttore della stampante se i driver di quella stampante sono, o meno, compatibili per win7 64bit.

[eliderossi86]

No che avevo tolto quel virus si! Torda si.. ma fino ad una certa!

Stavo arrivando a capire che questi riavvii non sono collegati a malware e/o virus di sorta..

l'ha fatto di nuovo cmq e dice: MEMORY_MANAGEMENT
poi sotto 000000000000000000001A

La stampante è Epson Stylus DX6000. Tra le caratteristiche tecniche c'è scritto: Mac OS 10.2.8 o successivi, Windows 2000, Windows 98ME, Windows 98SE, Windows XP, Windows XP x64 Edition

ma ricordo perfettamente che la stampante si è autoistallata.. senza che io mettessi il cd della Epson.. possibile che abbia preso i driver vecchi?

[Riverside]

La stampante è Epson Stylus DX6000. Tra le caratteristiche tecniche c'è scritto: Mac OS 10.2.8 o successivi, Windows 2000, Windows 98ME, Windows 98SE, Windows XP, Windows XP x64 Edition

come vedi, Elisa, non solo non compatibile con Win7 ma neppure con Vista.

ma ricordo perfettamente che la stampante si è autoistallata.. senza che io mettessi il cd della Epson.. possibile che abbia preso i driver vecchi?

Che si sia autoinstlallata non significa nulla (sono stati riconosciuti dei driver per sistemi 32 Bit, ma il discorso compatibilità è diverso);
Elisa, in ogni caso anche usando il CD, avresti il problema di driver non compatibili.
Fai cosi: disinstalla la stamapnte (e relativi driver) e, per un paio di giorni verifica che il pc non si impianti (se non lo fa (avremmo individuato il problema), se si riprenta, vediamo altro.