Aiuto Urgente problema virus

[Robert]

Ciao,
Ho un grosso problema. Deve essere passato attraverso mail un virus che mi disattiva l'antivirus. Il problema è grosso perchè sta diffondendosi agli altri computer della rete locale; ha cominciato col mio e con quello di un collega e ora lo sta facendo con una terza collega.
I sintomi: Non fa + il collegamento ad internet nonostante il router funzioni bene, ma il peggio è che mi disattiva l'antivirus se tento di lanciarlo va e poi si chiude senza terminare.
Ho fatto una scansione antivirus in modalità provvisoria ma non ha riconosciuto alcun virus.
Ho staccato i Pc che sembrano infetti dalla rete ed ora è sopravvissuto questo dal quale sto scrivendo.
Ho provato con un Pc a disinstallare l'antivirus (Norton 2003) e ri-installarlo ma appena lo riconosce lo disattiva!!
Che devo fare? sono disperato!

[hexen]

Il fatto di disattivare l'av mi fa pensare al BugBear, cerca nel forum e troverai qualche topic sull'argomento

ciao

[Robert]

Come faccio a cercare?
Se vado in alto su cerca e inserisco la parola bugbear non mi trova niente!!

[hexen]

http://www.pc-facile.com/forum/search.php
come parola chiave metti bugbear e vedi che c'esce

[dado]

Se si tratta del Bugbear, qui trovi il removal tool apposito.

[dado]

Riporto la newsletter di SalvaPC di oggi:

[quote]
UN VOLTO NOTO
-------------

Una nuova versione di un celebre worm ha iniziato a diffondersi con una certa virulenza nelle ultime ore. Alla redazione di SalvaPC stanno pervenendo numerose segnalazioni del worm e i principali osservatori anti-virus parlano di una diffusione in rapida crescita. E' quindi opportuno sapere con cosa questa volta si ha a che fare.

BUGBEAR.B
---------

Come il primo Bugbear, anche Bugbear.B unisce alle sue capacita' di diffusione via email e attraverso reti condivise anche quelle di piazzare una porta di accesso nascosta al computer infetto (backdoor) e di registrare i pulsanti premuti sulla tastiera del PC colpito (keylogging). In piu' tenta di disabilitare i programmi antivirus e firewall presenti sul computer.

Ad essere colpiti sono potenzialmente tutti i sistemi Windows.

COME FUNZIONA
-------------

Bugbear.b e' dotato di notevoli capacita' di mascheramento che non ne rendono facile l'immediato riconoscimento da parte dell'utente.

I messaggi di posta elettronica con cui si diffonde, infatti, hanno un mittente casuale, che puo' essere un indirizzo email del tutto fasullo oppure pescato dal worm in mezzo agli indirizzi trovati sul computer infetto.

Aggredendo la privacy dell'utente, il worm puo' anche utilizzare messaggi di posta elettronica presenti sul computer infetto e inoltrarli a terzi aggiugendovi un allegato nel quale infila una copia di se' stesso. Questo significa che dal computer colpito possono diramarsi informazioni confidenziali senza che l'utente ne sia consapevole.

Il soggetto del messaggio puo' dunque variare grandemente mentre l'estensione del file infetto allegato all'email puo' essere .pif, .exe o .scr.
Le capacita' del worm gli consentono pero' di utilizzare come nomi di file da allegare alle email anche nomi di file che si trovano nelle cartelline "Documenti" di Windows. Questo significa che un file infetto potrebbe avere ulteriori estensioni e non limitarsi alle tre suddette.

PARTICOLARE ATTENZIONE
----------------------

Questo worm richiede un'attenzione particolare agli utenti di sistemi Windows. Tutte le email che arrivano con allegato in queste ore dovrebbero essere analizzate prima di essere aperte e, soprattutto, prima di aprire il file allegato.

Poiche' il worm si diffonde anche sulle reti di condivisione e' senz'altro importante non indugiare nell'aggiornare i propri software antivirali.

ULTERIORI DIFESE
----------------

Sophos (http://www.sophos.com) raccomanda di accertarsi che i propri Outlook e Outlook Express siano aggiornati alle ultime versioni. Come altri worm, anche Bugbear.B puo' sfruttare vulnerabilita' delle versioni piu' vecchie di questi software.

Chi dispone delle ultime versioni e ha adeguatamente protetto il proprio sistema con antivirus e firewall dovrebbe comunque non abbassare la guardia e monitorare le email provenienti in queste ore.
[\quote]

Mi sa che è il tuo caso...

[Robert]

La situazione è grave!
Ho lanciato 2 tools
Sia quello trovato grazie alle indicazioni di hexen, sia quello rilasciato da symantec consigliato da dado.
I problemi sussistono.
Forse ho la variante come scritto da dado ma sul sito della sophos non ce un tool antivirus.
Come devo fare

[Robert]

Per la precisione ho il Norton internet security 2002 come firewall e il NA 2003.
Al passaggio del mouse il firewall scompare e l'antivirus quando si lancia non dura che pochi secondi.
Vado a casa, spero di leggere qualche consiglio utile domani.
Grazie

[Plettro]

Posso dirti che è capitata anche a me su una LAN con sistemi windows oggi una cosa moooolto simile a quanto è accaduto sulla tua LAN.
Domani cerco di indagare, magari abbiamo un problema in comune.
Anche nel mio caso gli antivirus killed e la memoria occupata al 99% senza fare (consapevolemente) nulla. Tutto è successo oggi dopo l'arrivo di qualche mail sospetta...
Ciao

[amvinfe]

Per la precisione ho il Norton internet security 2002 come firewall e il NA 2003.
Al passaggio del mouse il firewall scompare e l'antivirus quando si lancia non dura che pochi secondi.
Vado a casa, spero di leggere qualche consiglio utile domani.
Grazie

Prova con questo Fix_tool, da passare su ogni macchina della LAN, non collegata alla rete e senza condivisione files e cartelle
http://www.bitdefender.com/html/free_tools.php#
nel caso non dovessi avere risultati
fai una scansione Online su ognuno dei Pc della LAN, ovviamente non ci deve essere nessuna condivisione fra loro.
http://www.zdnet.it/antivirus/

Marco(amvinfe)

[dado]

fai una scansione Online su ognuno dei Pc della LAN, ovviamente non ci deve essere nessuna condivisione fra loro.
http://www.zdnet.it/antivirus/

X la scansione on-line, ti consigliamo ancora di più le risorse interne:
Pc-Facile Antivirus Online

[amvinfe]

fai una scansione Online su ognuno dei Pc della LAN, ovviamente non ci deve essere nessuna condivisione fra loro.
http://www.zdnet.it/antivirus/

X la scansione on-line, ti consigliamo ancora di più le risorse interne:
Pc-Facile Antivirus Online

Ops
OVVIAMENTE
Ricordati prima di disabilitare il System Restore se le macchine hanno S.O WinMe e WinXP.
Copio/incollo la recensione che ho appena fatto in altri due Forum, recensione fatta grazie alle info delle maggiori Aziende di Sicurezza.

W32.Bugbear.B@mm

E’ una variante del ben noto worm conosciuto mesi fa.
Questa variante del mass mailing worm, ha capacità polimorfiche, se compresso in UPX la sua dimensione è di 72192 byte mentre non compresso la sua dimensione è di 170 KB, per diffondersi sfrutta un proprio motore SMTP, andando a cercare gli indirizzi cui inviarsi , nei files aventi queste estensioni
.ODS
.MMF
.NCH
.MBX
.EML
.TBB
.DBX
INBOX
ha capacità di Backdoor (porta 1080) e Keylogger utilizzando una propria libreria dinamica (.dll collocata in C:WindowsSystem) inoltre, ha la capacità di inibire Firewall ed Antivirus, per ultimo, ma non meno importante, sfrutta un’ormai arcinota vulnerabilità di IE
Incorrect MIME Header Can Cause IE to Execute E-mail Attachment

La mail può avere uno dei segurnti “Oggetto”
Greets!
Get 8 FREE issues - no risk!
Hi!
Your News Alert
$150 FREE Bonus!
Re:
Your Gift
New bonus in your cash account
Tools For Your Online Business
Daily Email Reminder
News
free shipping!
its easy
Warning!
SCAM alert!!!
Sponsors needed
new reading
CALL FOR INFORMATION!
25 merchants and rising
Cows
My eBay ads
empty account
Market Update Report
click on this!
fantastic
wow!
bad news
Lost & Found
New Contests
Today Only
Get a FREE gift!
Membership Confirmation
Report
Please Help...
Stats
I need help about script!!!
Interesting...
Introduction
various
Announcement
history screen
Correction of errors
Just a reminder
Payment notices
hmm..
update
Hello!
ma può anche estrapolare casualmente pezzi di testo da files presenti sulla macchina infetta.
Questi i nomi dei files che arrivano come “Allegato” tutti con estensione .exe .pif .scr

readme
Setup
Card
Docs
news
image
images
pics
resume
photo
video
music
song
data

anche in questo caso il nome dell’Allegato può essere preso casualmente dalla macchina infetta andando a cercare nella cartella Documenti un file con estensione
· .reg
· .ini
· .bat
· .diz
· .txt
· .cpp
· .html
· .htm
· .jpeg
· .jpg
· .gif
· .cpl
· .dll
· .vxd
· .sys
· .com
· .exe
· .bmp
ma in questo caso l’Allegato avrà doppia estensione, ad es. .gif.pif
Cerca di collocare in Startup un file .exe di tre o quattro lettere, la Symantec nella sua descrizione sostiene che le lettere siano tre (ad es. Cuu.exe o Cti.exe) per la McAfee e la Bitdefender le letterere sarebbero quattro (ad es. BSFS.exe)

E’ un worm che può diffondersi anche in rete locale cercando d’infettare questi files presenti nelle cartelle Programmi e Windows.
winzipwinzip32.exe
kazaakazaa.exe
ICQIcq.exe
DAPDAP.exe
Winampwinamp.exe
AIM95aim.exe
LavasoftAd-aware 6Ad-aware.exe
TrillianTrillian.exe
Zone LabsZoneAlarmZoneAlarm.exe
StreamCastMorpheusMorpheus.exe
QuickTimeQuickTimePlayer.exe
WS_FTPWS_FTP95.exe
MSN Messengermsnmsgr.exe
ACDSee32ACDSee32.exe
AdobeAcrobat 4.0ReaderAcroRd32.exe
CuteFTPcutftp32.exe
FarFar.exe
Outlook Expressmsimn.exe
RealRealPlayerrealplay.exe
Windows Media Playermplayer2.exe
WinRARWinRAR.exe
adobeacrobat 5.0readeracrord32.exe
Internet Exploreriexplore.exe
winhelp.exe
notepad.exe
hh.exe
mplayer.exe
regedit.exe
scandskw.exe
Cerca di terminare i seguenti prodotti di sicurezza:
· ZONEALARM.EXE
· WFINDV32.EXE
· WEBSCANX.EXE
· VSSTAT.EXE
· VSHWIN32.EXE
· VSECOMR.EXE
· VSCAN40.EXE
· VETTRAY.EXE
· VET95.EXE
· TDS2-NT.EXE
· TDS2-98.EXE
· TCA.EXE
· TBSCAN.EXE
· SWEEP95.EXE
· SPHINX.EXE
· SMC.EXE
· SERV95.EXE
· SCRSCAN.EXE
· SCANPM.EXE
· SCAN95.EXE
· SCAN32.EXE
· SAFEWEB.EXE
· RESCUE.EXE
· RAV7WIN.EXE
· RAV7.EXE
· PERSFW.EXE
· PCFWALLICON.EXE
· PCCWIN98.EXE
· PAVW.EXE
· PAVSCHED.EXE
· PAVCL.EXE
· PADMIN.EOUTPOST.EXE
· NVC95.EXE
· NUPGRADE.EXE
· NORMIST.EXE
· NMAIN.EXE
· NISUM.EXE
· NAVWNT.EXE
· NAVW32.EXE
· NAVNT.EXE
· NAVLU32.EXE
· NAVAPW32.EXE
· N32SCANW.EXE
· MPFTRAY.EXE
· MOOLIVE.EXE
· LUALL.EXE
· LOOKOUT.EXE
· LOCKDOWN2000.EXE
· JEDI.EXE
· IOMON98.EXE
· IFACE.EXE
· ICSUPPNT.EXE
· ICSUPP95.EXE
· ICMON.EXE
· ICLOADNT.EXE
· ICLOAD95.EXE
· IBMAVSP.EXE
· IBMASN.EXE
· IAMSERV.EXE
· IAMAPP.EXE
· FRW.EXE
· FPROT.EXE
· FP-WIN.EXE
· FINDVIRU.EXE
· F-STOPW.EXE
· F-PROT95.EXE
· F-PROT.EXE
· F-AGNT95.EXE
· ESPWATCH.EXE
· ESAFE.EXE
· ECENGINE.EXE
· DVP95_0.EXE
· DVP95.EXE
· CLEANER3.EXE
· CLEANER.EXE
· CLAW95CF.EXE
· CLAW95.EXE
· CFINET32.EXE
· CFINET.EXE
· CFIAUDIT.EXE
· CFIADMIN.EXE
· BLACKICE.EXE
· BLACKD.EXE
· AVWUPD32.EXE
· AVWIN95.EXE
· AVSCHED32.EXE
· AVPUPD.EXE
· AVPTC32.EXE
· AVPM.EXE
· AVPDOS32.EXE
· AVPCC.EXE
· AVP32.EXE
· AVP.EXE
· AVNT.EXE
· AVKSERV.EXE
· AVGCTRL.EXE
· AVE32.EXE
· AVCONSOL.EXE
· AUTODOWN.EXE
· APVXDWIN.EXE
· ANTI-TROJAN.EXE
· ACKWIN32.EXE
· _AVPM.EXE
· _AVPCC.EXE
· _AVP32.EXE
Importante:
Ricordarsi di disabilitare il System Restore nei S.O WinME e WinXP prima di lanciare la scansione con il proprio Antivirus o prima di lanciare i tool di rimozione.
Tool di rimozione
http://www.bitdefender.com/html/free_tools.php#
http://www.nod32.it/home/home.htm

Marco(amvinfe)

[kadosh]

Già da ieri, per chi usa NA è disponibile la nuova definizione del virus BugBear.B....affrettatevi gente a scaricarla

[Robert]

Allora, grazie a tutti
sembra che con il tool della betdefender consigliato da amvinfe trovi effettivamente il bugbear.b
Quindi plettro se hai lo stesso problema prova con quel tool.
Domandina da inesperto come si disabilita il system restore in win XP?

[amvinfe]

Allora, grazie a tutti
sembra che con il tool della betdefender consigliato da amvinfe trovi effettivamente il bugbear.b
Quindi plettro se hai lo stesso problema prova con quel tool.
Domandina da inesperto come si disabilita il system restore in win XP?

l'immagine è di sicurezzainrete.com, grazie a Bilancino, Admin del sito.

[amvinfe]

dimenticavo una cosa importante
il System Restore va ovviamente disabilitato su ogni macchina della LAN, ed il tool va passato anch'esso su tutte le macchine, così come ogni macchina DEVE essere scollegata dalla rete.

Marco(amvinfe)

[Frengo78]

raga, una cosa importantissima, a parte l'invio delle email come riconoscere se un pc è infetto o no?

Devo andare a segarlo via in una rete aziendale di un cliente. So che è lui ma non so in che maniera vedere se è presente o no nei vari pc.

[amvinfe]

raga, una cosa importantissima, a parte l'invio delle email come riconoscere se un pc è infetto o no?

Devo andare a segarlo via in una rete aziendale di un cliente. So che è lui ma non so in che maniera vedere se è presente o no nei vari pc.

Guarda come prima cosa in Startup se è presente un file di tre o quattro lettere con estensione .exe

Marco(amvinfe)

[dado]

Altre utili informazioni e link e removal tool sul virus Bugbear b. a questo indirizzo.

[Robert]

Ultima cosa.
In ognuno dei 3 Pc infettati il removal tool mi ha cancellato dei file dll:
C:\windows\system\gpqogkq.dll
\kqvfqlp.dll
\fcmqqvc.dll

Devo rispristinarli prendendoli dagli altri computer o lascio le cose così come stanno?