BAGLE

[beboedt]

help

[Amantide]

1- Il servizio msiexec.exe non solo non è attivo, ma è completamente assente dalla lista di services.msc.

Nella lista degli servizi ha il nome di Windows Installer.

3- I servizi Symantec sono tutti fuori uso: non riesco ad attivarli perché, mi dice , sono totalmente assenti i file .exe connessi.

E' stato il Bagle ad eliminare gli eseguibili di antivirus, cosi come lo fa con firewall ed antispyware. Non ti rimane altro che reinstallare sopra il software della Symantec o disinstallarlo completamente.

Mi sa che non è un virus...potrebbe essere un comportamento anomalo di Symantec che mi fa tutto questo?

Può essere.

[beboedt]

ok, ho risolto da solo, mi è bastato riguardare un po' gli altri script e adattargli al mio.
Grazie comunque, e adesso continuo a seguire la guida per la pulizia.

[Amantide]

ok, ho risolto da solo, mi è bastato riguardare un po' gli altri script e adattargli al mio.
Grazie comunque, e adesso continuo a seguire la guida per la pulizia.

Ottimo
Stavo per risponderti proprio ora

[beboedt]

Ah Ah Ah,
voglio crederti

Comunque questo forum è uno spettacolo, i soldi che costano questi "antivirus" che ogni anno ci tocca pagare, bisognerebbe dargli a voi!!!

[dews]

1- Il servizio msiexec.exe non solo non è attivo, ma è completamente assente dalla lista di services.msc.

Nella lista degli servizi ha il nome di Windows Installer.

3- I servizi Symantec sono tutti fuori uso: non riesco ad attivarli perché, mi dice , sono totalmente assenti i file .exe connessi.

E' stato il Bagle ad eliminare gli eseguibili di antivirus, cosi come lo fa con firewall ed antispyware. Non ti rimane altro che reinstallare sopra il software della Symantec o disinstallarlo completamente.

Mi sa che non è un virus...potrebbe essere un comportamento anomalo di Symantec che mi fa tutto questo?

Può essere.

Mi dispiace, ma non sei stato attento...avevo già risposto io ai miei quesiti (mess.6)!!

Dai, sto Skerzando, non te la prendere.
comunque ti ringrazio per l'aiuto, davvero tutto molto semplice e chiaro...che paura con sto pc-aziendale, se andavo a sporcare i server, che casino che succedeva!

Ciao, grazie ancora.

[Amantide]

Mi dispiace, ma non sei stato attento...avevo già risposto io ai miei quesiti (mess.6)!!

attentA

Quando ero arrivata io sotto al tuo messaggio c'erano già i messaggi nuovi con i log interminabili , e se mi mettevo prima a leggere questi, avrei scordato di dare la risposta anche a te

[supermarco81]

CIAO; QUALCUNO PUo' AIUTARMI: QUESTO è L'AUTOSTART...QUANDO MI DATE LE INDICAZIONI, DEVO COPIARLE NELL'AVENGER?


GMER 1.0.12.12027 - http://www.gmer.net
Autostart scan 2007-02-15 18:38:41
Windows 5.1.2600 Service Pack 2


HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems@Windows = %SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon@Userinit = C:\WINDOWS\system32\userinit.exe,

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\AtiExtEvent@DLLName = Ati2evxx.dll

HKLM\SYSTEM\CurrentControlSet\Services\ >>>
ATI Smart /*ATI Smart*/@ = C:\WINDOWS\system32\ati2sgag.exe
btwdins /*Bluetooth Service*/@ = C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
InCDsrv /*InCD Helper*/@ = C:\Programmi\Ahead\InCD\InCDsrv.exe
ScsiPort@ = %SystemRoot%\system32\drivers\scsiport.sys
SiteAdvisor Service /*SiteAdvisor Service*/@ = C:\Programmi\SiteAdvisor\6021\SAService.exe
Spooler /*Spooler di stampa*/@ = %SystemRoot%\system32\spoolsv.exe
UleadBurningHelper /*Ulead Burning Helper*/@ = C:\Programmi\File comuni\Ulead Systems\DVD\ULCDRSvr.exe
UMWdf /*Windows User Mode Driver Framework*/@ = C:\WINDOWS\system32\wdfmgr.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run >>>
@SoundManSOUNDMAN.EXE = SOUNDMAN.EXE
@ATIPTAC:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe = C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
@AGRSMMSGAGRSMMSG.exe = AGRSMMSG.exe
@afyybizgjssC:\WINDOWS\system32\dvhvfmk.exe /*file not found*/ = C:\WINDOWS\system32\dvhvfmk.exe /*file not found*/
@EPSON Stylus CX3600 SeriesC:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P26 "EPSON Stylus CX3600 Series" /O5 "LPT1:" /M "Stylus CX3600" = C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P26 "EPSON Stylus CX3600 Series" /O5 "LPT1:" /M "Stylus CX3600"
@EPSON Stylus CX3600 Series (Copia 1)C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P36 "EPSON Stylus CX3600 Series (Copia 1)" /O6 "USB001" /M "Stylus CX3600" = C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P36 "EPSON Stylus CX3600 Series (Copia 1)" /O6 "USB001" /M "Stylus CX3600"
@DataLayerC:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE = C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
@PCSuiteTrayApplicationC:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE = C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
@iTunesHelper"C:\Programmi\iTunes\iTunesHelper.exe" = "C:\Programmi\iTunes\iTunesHelper.exe"
@hldrrrC:\WINDOWS\system32\hldrrr.exe = C:\WINDOWS\system32\hldrrr.exe
@Norman ZANDAC:\VIRUSfighter\Bin\ZLH.EXE /LOAD /SPLASH = C:\VIRUSfighter\Bin\ZLH.EXE /LOAD /SPLASH
@SiteAdvisorC:\Programmi\SiteAdvisor\6021\SiteAdv.exe = C:\Programmi\SiteAdvisor\6021\SiteAdv.exe
@avast!C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe /*file not found*/ = C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe /*file not found*/
@RemoteControl"C:\Programmi\CyberLink DVD Solution\PowerDVD\PDVDServ.exe" = "C:\Programmi\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
@InCDC:\Programmi\Ahead\InCD\InCD.exe = C:\Programmi\Ahead\InCD\InCD.exe
@lxolaa.exeC:\DOCUME~1\utente\IMPOST~1\Temp\lxolaa.exe = C:\DOCUME~1\utente\IMPOST~1\Temp\lxolaa.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\Run >>>
@EPSON Stylus CX3600 Series (Copia 1)C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P36 "EPSON Stylus CX3600 Series (Copia 1)" /M "Stylus CX3600" /EF "HKCU" ? ? ??? p?? g??w0??w????*??w???w O??w??? ? ?VZ ???w ??? ? T?? ??? g??w???w???????w???w?VZ ? ???w ? ??? ???|??? ? ?VZ ? O??ws??w???w'??w??? ?? ?? " ? ?i? ?? |? 4?? ?a?w??? ? P?? ? ???? T?? ?b?w ? P?? ?S????? ? ??? h??w ? P?? z??wP?? ? 8?? ?? `? = C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9BE.EXE /P36 "EPSON Stylus CX3600 Series (Copia 1)" /M "Stylus CX3600" /EF "HKCU" ? ? ??? p?? g??w0??w????*??w???w O??w??? ? ?VZ ???w ??? ? T?? ??? g??w???w???????w???w?VZ ? ???w ? ??? ???|??? ? ?VZ ? O??ws??w???w'??w??? ?? ?? " ? ?i? ?? |? 4?? ?a?w??? ? P?? ? ???? T?? ?b?w ? P?? ?S????? ? ??? h??w ? P?? z??wP?? ? 8?? ?? `?
@hldrrrC:\WINDOWS\system32\hldrrr.exe = C:\WINDOWS\system32\hldrrr.exe
@drvsyskitC:\Documents and Settings\utente\Dati applicazioni\hidires\hidr.exe = C:\Documents and Settings\utente\Dati applicazioni\hidires\hidr.exe
@german.exeC:\WINDOWS\system32\wintems.exe = C:\WINDOWS\system32\wintems.exe
@swgC:\Programmi\Google\GoogleToolbarNotifier\1.2.908.8472\GoogleToolbarNotifier.exe = C:\Programmi\Google\GoogleToolbarNotifier\1.2.908.8472\GoogleToolbarNotifier.exe
@PowerBar <?? D??sh?? ???w ???h?? Z??w(?? *??wt?@ l?@ ??d ? ? ? 2 ? ??? ???w??? g??w0??w????*??w???w D??s ?? ?? ???w l?@ ??? ???w? t?@ ??d ??? l?@ l?@ ??? ???w? t?@ l?@ 8?@ l?@ 3??s ? 8?@ _??s8?@ 8?@ /*file not found*/ = <?? D??sh?? ???w ???h?? Z??w(?? *??wt?@ l?@ ??d ? ? ? 2 ? ??? ???w??? g??w0??w????*??w???w D??s ?? ?? ???w l?@ ??? ???w? t?@ ??d ??? l?@ l?@ ??? ???w? t?@ l?@ 8?@ l?@ 3??s ? 8?@ _??s8?@ 8?@ /*file not found*/

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved >>>
@{42071714-76d4-11d1-8b24-00a0c9068ff3} /*Estensione panoramica video del Pannello di controllo*/deskpan.dll /*file not found*/ = deskpan.dll /*file not found*/
@{32683183-48a0-441b-a342-7c2a440a9478} /*Media Band*/(null) =
@{596AB062-B4D2-4215-9F74-E9109B0A8153} /*Previous Versions Property Page*/C:\WINDOWS\System32\twext.dll = C:\WINDOWS\System32\twext.dll
@{9DB7A13C-F208-4981-8353-73CC61AE2783} /*Previous Versions*/C:\WINDOWS\System32\twext.dll = C:\WINDOWS\System32\twext.dll
@{692F0339-CBAA-47e6-B5B5-3B84DB604E87} /*Extensions Manager Folder*/C:\WINDOWS\System32\extmgr.dll = C:\WINDOWS\System32\extmgr.dll
@{B41DB860-8EE4-11D2-9906-E49FADC173CA} /*WinRAR shell extension*/C:\Programmi\WinRAR\rarext.dll = C:\Programmi\WinRAR\rarext.dll
@{0006F045-0000-0000-C000-000000000046} /*Microsoft Outlook Custom Icon Handler*/C:\PROGRA~1\MICROS~2\Office\OLKFSTUB.DLL = C:\PROGRA~1\MICROS~2\Office\OLKFSTUB.DLL
@{FBFE7864-D495-41f0-B7DC-4BB601CC295E} /*Contact View*/C:\Programmi\Nokia\Nokia PC Suite 6\Components\PhoneBrowserComponents\ContactView.dll = C:\Programmi\Nokia\Nokia PC Suite 6\Components\PhoneBrowserComponents\ContactView.dll
@{C0C4375A-5B72-4efe-929D-3B848C3A1E91} /*Message View*/C:\Programmi\Nokia\Nokia PC Suite 6\MessageView.dll /*file not found*/ = C:\Programmi\Nokia\Nokia PC Suite 6\MessageView.dll /*file not found*/
@{40950107-FEA6-4d53-A65F-B2DCBA57DD58} /*Nokia Phone Browser*/C:\Programmi\Nokia\Nokia PC Suite 6\Components\PhoneBrowserComponents\NokiaPhoneBrowser.dll = C:\Programmi\Nokia\Nokia PC Suite 6\Components\PhoneBrowserComponents\NokiaPhoneBrowser.dll
@(null) =
@{6af09ec9-b429-11d4-a1fb-0090960218cb} /*My Bluetooth Places*/C:\WINDOWS\system32\BTNEIG~1.DLL = C:\WINDOWS\system32\BTNEIG~1.DLL
@{00E7B358-F65B-4dcf-83DF-CD026B94BFD4} /*Autoplay for SlideShow*/(null) =
@{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4} /*Shell Extensions for RealOne Player*/C:\Programmi\Real\RealPlayer\rpshell.dll = C:\Programmi\Real\RealPlayer\rpshell.dll
@{B9E1D2CB-CCFF-4AA6-9579-D7A4754030EF} /*iTunes*/C:\Programmi\iTunes\iTunesMiniPlayer.dll = C:\Programmi\iTunes\iTunesMiniPlayer.dll
@{472083B0-C522-11CF-8763-00608CC02F24} /*avast*/C:\Programmi\Alwil Software\Avast4\ashShell.dll = C:\Programmi\Alwil Software\Avast4\ashShell.dll
@{950FF917-7A57-46BC-8017-59D9BF474000} /*Shell Extension for CDRW*/C:\Programmi\Ahead\InCD\incdshx.dll = C:\Programmi\Ahead\InCD\incdshx.dll

HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved@{BDEADF00-C265-11d0-BCED-00A0C90AB50F} /*Cartelle Web*/ = C:\PROGRA~1\FILECO~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\ >>>
avast@{472083B0-C522-11CF-8763-00608CC02F24} = C:\Programmi\Alwil Software\Avast4\ashShell.dll
WinRAR@{B41DB860-8EE4-11D2-9906-E49FADC173CA} = C:\Programmi\WinRAR\rarext.dll

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\WinRAR@{B41DB860-8EE4-11D2-9906-E49FADC173CA} = C:\Programmi\WinRAR\rarext.dll

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\ >>>
avast@{472083B0-C522-11CF-8763-00608CC02F24} = C:\Programmi\Alwil Software\Avast4\ashShell.dll
WinRAR@{B41DB860-8EE4-11D2-9906-E49FADC173CA} = C:\Programmi\WinRAR\rarext.dll

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects >>>
@{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll = C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
@{089FD14D-132B-48FC-8861-0048AE113215}C:\Programmi\SiteAdvisor\6021\SiteAdv.dll = C:\Programmi\SiteAdvisor\6021\SiteAdv.dll
@{53707962-6F74-2D53-2644-206D7942484F}C:\Programmi\Spybot - Search & Destroy\SDHelper.dll = C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
@{AA58ED58-01DD-4d91-8333-CF10577473F7}c:\programmi\google\googletoolbar1.dll = c:\programmi\google\googletoolbar1.dll
@{E99421FB-68DD-40F0-B4AC-B7027CAE2F1A}C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll = C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

HKCU\Control Panel\Desktop@SCRNSAVE.EXE = C:\WINDOWS\System32\scrnsave.scr

HKLM\Software\Microsoft\Internet Explorer\Main >>>
@Default_Page_URLhttp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
@Start Pagehttp://www.google.it = http://www.google.it
@Local Page%SystemRoot%\system32\blank.htm = %SystemRoot%\system32\blank.htm

HKCU\Software\Microsoft\Internet Explorer\Main >>>
@Start Pagehttp://www.google.it = http://www.google.it
@Local PageC:\WINDOWS\system32\blank.htm = C:\WINDOWS\system32\blank.htm

HKLM\Software\Classes\PROTOCOLS\Handler\ >>>
dvd@CLSID = C:\WINDOWS\system32\msvidctl.dll
its@CLSID = C:\WINDOWS\system32\itss.dll
lid@CLSID = C:\WINDOWS\System32\msvidctl.dll
mhtml@CLSID = %SystemRoot%\System32\inetcomm.dll
ms-its@CLSID = C:\WINDOWS\system32\itss.dll
siteadvisor@CLSID = C:\Programmi\SiteAdvisor\6021\SiteAdv.dll
tv@CLSID = C:\WINDOWS\system32\msvidctl.dll
wia@CLSID = C:\WINDOWS\System32\wiascr.dll

HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{FABBC955-A858-4F44-B7B3-2F1931880BCA} /*Connessione alla rete locale (LAN)*/ >>>
@IPAddress192.168.1.124 = 192.168.1.124
@NameServer212.216.112.112,212.216.172.62 = 212.216.112.112,212.216.172.62
@DefaultGateway192.168.1.1 = 192.168.1.1
@Domain =

---- EOF - GMER 1.0.12 ----

[Amantide]

Ciao e benvenuto

Esegui questo script per Avenger e per il resto affidati all'articolo:

Files to delete:
C:\Documents and Settings\utente\Dati applicazioni\hidires\m_hook.sys
C:\Documents and Settings\utente\Dati applicazioni\hidires\hidr.exe
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\hldrrr.exe
C:\DOCUME~1\utente\IMPOST~1\Temp\lxolaa.exe
C:\WINDOWS\system32\dvhvfmk.exe

folders to delete:
C:\Documents and Settings\utente\Dati applicazioni\hidires
C:\WINDOWS\exefld

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\m_hook
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK

registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | hldrrr
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | lxolaa.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | afyybizgjss

[Albachiara]

volevo ringraziarvi per il vostro aiuto! complimenti per il sito... grazie a voi ora il pc ha ridato segni di vita.... ma bagle sbaglio o sta diventando un'incubo per tutti???

[supermarco81]

grazie mille Amantide..grazie alla tua bravura e al tou script ho sistemato il computer..sperando che beagle non torni di nuovo!!grazie ancora

[Amantide]

ma bagle sbaglio o sta diventando un'incubo per tutti???

Sembra proprio di si In un mese esatto l'articolo su Bagle ha avuto 7780 visite ed anche qui sul forum ci sono sempre più casi nuovi.

Ragazzi, mi raccomando!!! Controllate bene tutti i file .rar e .exe sotto al 2 MB scaricati dal P2P, uno di loro potrebbe essere il veicolo di Bagle, quindi il rischio di ricadere nelle sue trappole un altra volta rimane alto.