EXP/CVE-2010-0840.FL

[raffaele32]

Sto scansionando un pc. Avira Antivir segnala l'infezione da questo exploit.Suggerimenti nella sua rimozione?
La vulnerabilità affligge Java e ho installato la nuova versione 1.6.30.
allego scansione di HJThis e Avira (quando avrà finito).

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 18.21.08, on 29/01/2012
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\COMODO\COMODO Internet Security\cmdagent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Avira\AntiVir Desktop\avshadow.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\COMODO\COMODO Internet Security\cfp.exe
C:\Programmi\File comuni\Java\Java Update\jusched.exe
c:\programmi\avira\antivir desktop\avcenter.exe
C:\Programmi\Avira\AntiVir Desktop\avscan.exe
C:\WINDOWS\System32\vssvc.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\dllhost.exe
C:\Programmi\Auslogics\Auslogics Disk Defrag\cdefrag.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Trend Micro\HiJackThis\HiJackThis.exe
C:\Programmi\Trend Micro\HiJackThis\HiJackThis.exe
C:\Programmi\Trend Micro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O1 - Hosts: ::1 localhost #[IPv6]
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [COMODO Internet Security] "C:\Programmi\COMODO\COMODO Internet Security\cfp.exe" -h
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\File comuni\Java\Java Update\jusched.exe"
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{1219E75C-7B75-46A1-8B91-A8254B19CB6E}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{FBCE6227-D606-4F91-AC61-E82EA6847D57}: NameServer = 85.37.17.9 85.38.28.75
O17 - HKLM\System\CS1\Services\Tcpip\..\{1219E75C-7B75-46A1-8B91-A8254B19CB6E}: NameServer = 8.8.8.8,8.8.4.4
O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: COMODO Internet Security Helper Service (cmdAgent) - COMODO - C:\Programmi\COMODO\COMODO Internet Security\cmdagent.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe

--
End of file - 4724 bytes

Altre info: il pc avendo Windows Xp originale (OEM) ha o avrebbe tutte le patch.

[sampei.nihira]

Il log non evidenzia alcunchè.
Usi un sw (Filehippo,Sumo Portable....) che ti notifca gli aggiornamenti programmi installati ?

perché sarebbe buona cosa.

[raffaele32]

Il log non evidenzia alcunchè.
Usi un sw (Filehippo,Sumo Portable....) che ti notifca gli aggiornamenti programmi installati ?

perché sarebbe buona cosa.

Purtroppo no! qualche giorno fa sono andato sul sito di Mozilla e visto che avevo molti rossi ho deciso di aggiornare Java e Flash Player...

[sampei.nihira]

Ti consiglierei quindi di dotarti di uno di tali sw Sumo Portable per esempio:

http://www.kcsoftwares.com/index.php?download

scarica la versione zippata,scompatti lo zip (che già forma una cartella da sè) poi lanci l'exe.
Inserisci nelle opzioni una sola spunta quella che verifica i prodotti microsoft.
E se vuoi l'analisi approfondita.

Al primo avvio il sw ti troverà moltissimi sw installati che non abbisognano di controllo.
Tu li selezioni uno per uno e premi il tasto "ignora" fino ad ottenere una lista con un numero decente di sw da tenere sotto controllo.
Io ad esempio nè ho 16/17.

Ovvio Java è uno dei primi sw da tenere sotto controllo.

Nonostante Sumo portable prenda ogni tanto notevoli "sfondoni" notificandoti aggiornamenti magari in beta,oppure aggiornamenti inesistenti,al momento resta il "migliore" di altri sw suigeneris.

Prova.

[raffaele32]

Non mi sono fatto più sentire .
In verità sto cercando di capire se una semplice scansione antivirale sia sufficiente a rimuovere questa infezione , anche perché sono tentato di formattare il pc.
@sampei: sia avira che comodo mi segnalano Sumo come un malware!

[raffaele32]

Questo è il log di Avira:

Avira AntiVir Personal
Data del file di report: martedì 31 gennaio 2012 17:00

Ricerca di 3333936 virus e programmi indesiderati.

Il programma funziona come versione completa e illimitata.
I servizi online sono disponibili.

Concesso in licenza a : Avira AntiVir Personal - Free Antivirus
Numero di serie : 0000149996-ADJIE-0000001
Piattaforma : Windows XP
Versione di Windows : (Service Pack 3) [5.1.2600]
Modalità di avvio : Booting eseguito regolarmente
Nome utente : pc
Nome computer : PC-CASA

Informazioni sulla versione:
BUILD.DAT : 10.2.0.100 35934 Bytes 03/11/2011 18:09:00
AVSCAN.EXE : 10.3.0.7 484008 Bytes 01/09/2011 11:17:47
AVSCAN.DLL : 10.0.5.0 55144 Bytes 01/09/2011 11:17:47
LUKE.DLL : 10.3.0.5 45416 Bytes 01/09/2011 11:17:53
LUKERES.DLL : 10.0.0.0 13160 Bytes 16/02/2010 07:15:20
AVSCPLR.DLL : 10.3.0.7 119656 Bytes 01/09/2011 11:17:56
AVREG.DLL : 10.3.0.9 88833 Bytes 01/09/2011 11:17:56
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 16:39:04
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14/12/2010 16:39:06
VBASE002.VDF : 7.11.19.170 14374912 Bytes 20/12/2011 14:03:20
VBASE003.VDF : 7.11.19.171 2048 Bytes 20/12/2011 14:04:02
VBASE004.VDF : 7.11.19.172 2048 Bytes 20/12/2011 14:04:03
VBASE005.VDF : 7.11.19.173 2048 Bytes 20/12/2011 14:04:03
VBASE006.VDF : 7.11.19.174 2048 Bytes 20/12/2011 14:04:04
VBASE007.VDF : 7.11.19.175 2048 Bytes 20/12/2011 14:04:04
VBASE008.VDF : 7.11.19.176 2048 Bytes 20/12/2011 14:04:04
VBASE009.VDF : 7.11.19.177 2048 Bytes 20/12/2011 14:04:04
VBASE010.VDF : 7.11.19.178 2048 Bytes 20/12/2011 14:04:04
VBASE011.VDF : 7.11.19.179 2048 Bytes 20/12/2011 14:04:04
VBASE012.VDF : 7.11.19.180 2048 Bytes 20/12/2011 14:04:05
VBASE013.VDF : 7.11.19.217 182784 Bytes 22/12/2011 14:04:05
VBASE014.VDF : 7.11.19.255 148480 Bytes 24/12/2011 15:34:28
VBASE015.VDF : 7.11.20.29 164352 Bytes 27/12/2011 13:21:34
VBASE016.VDF : 7.11.20.70 180224 Bytes 29/12/2011 13:40:54
VBASE017.VDF : 7.11.20.102 240640 Bytes 02/01/2012 13:22:15
VBASE018.VDF : 7.11.20.139 164864 Bytes 04/01/2012 16:38:22
VBASE019.VDF : 7.11.20.178 167424 Bytes 06/01/2012 11:58:32
VBASE020.VDF : 7.11.20.207 230400 Bytes 10/01/2012 12:48:55
VBASE021.VDF : 7.11.20.236 150528 Bytes 11/01/2012 17:21:45
VBASE022.VDF : 7.11.21.13 135168 Bytes 13/01/2012 13:02:02
VBASE023.VDF : 7.11.21.40 163840 Bytes 16/01/2012 17:30:45
VBASE024.VDF : 7.11.21.65 1001472 Bytes 17/01/2012 17:04:22
VBASE025.VDF : 7.11.21.98 487424 Bytes 19/01/2012 17:04:24
VBASE026.VDF : 7.11.21.156 1010688 Bytes 25/01/2012 15:10:20
VBASE027.VDF : 7.11.21.176 600576 Bytes 26/01/2012 15:10:31
VBASE028.VDF : 7.11.21.201 172544 Bytes 29/01/2012 11:59:04
VBASE029.VDF : 7.11.21.202 2048 Bytes 29/01/2012 11:59:04
VBASE030.VDF : 7.11.21.203 2048 Bytes 29/01/2012 11:59:04
VBASE031.VDF : 7.11.21.211 92160 Bytes 30/01/2012 11:59:05
Motore : 8.2.8.44
AEVDF.DLL : 8.1.2.2 106868 Bytes 26/10/2011 11:56:34
AESCRIPT.DLL : 8.1.4.2 434553 Bytes 27/01/2012 19:07:50
AESCN.DLL : 8.1.8.2 131444 Bytes 27/01/2012 19:07:46
AESBX.DLL : 8.2.4.5 434549 Bytes 02/12/2011 14:53:32
AERDL.DLL : 8.1.9.15 639348 Bytes 09/09/2011 13:22:17
AEPACK.DLL : 8.2.16.2 799095 Bytes 27/01/2012 19:07:44
AEOFFICE.DLL : 8.1.2.25 201084 Bytes 31/12/2011 12:40:13
AEHEUR.DLL : 8.1.3.23 4333943 Bytes 27/01/2012 19:07:22
AEHELP.DLL : 8.1.19.0 254327 Bytes 20/01/2012 12:46:32
AEGEN.DLL : 8.1.5.18 409973 Bytes 27/01/2012 19:06:19
AEEMU.DLL : 8.1.3.0 393589 Bytes 12/05/2011 16:39:04
AECORE.DLL : 8.1.25.3 201079 Bytes 27/01/2012 19:06:13
AEBB.DLL : 8.1.1.0 53618 Bytes 12/05/2011 16:39:04
AVWINLL.DLL : 10.0.0.0 19304 Bytes 04/03/2011 12:39:10
AVPREF.DLL : 10.0.3.2 44904 Bytes 01/09/2011 11:17:47
AVREP.DLL : 10.0.0.10 174120 Bytes 17/05/2011 16:04:52
AVARKT.DLL : 10.0.26.1 255336 Bytes 01/09/2011 11:17:45
AVEVTLOG.DLL : 10.0.0.9 203112 Bytes 01/09/2011 11:17:46
SQLITE3.DLL : 3.6.19.0 355688 Bytes 17/06/2010 12:28:20
AVSMTP.DLL : 10.0.0.17 63848 Bytes 04/03/2011 12:39:10
NETNT.DLL : 10.0.0.0 11624 Bytes 17/06/2010 12:28:20
RCIMAGE.DLL : 10.0.0.35 2589544 Bytes 01/09/2011 11:17:40
RCTEXT.DLL : 10.0.64.0 99176 Bytes 01/09/2011 11:17:40

Impostazioni di configurazione per la scansione attuale:
Nome del job................................: Scansione completa del sistema
File di configurazione......................: C:\Programmi\Avira\AntiVir Desktop\sysscan.avp
Report......................................: standard
Azione primaria.............................: interattivo
Azione secondaria...........................: ignora
Scansione dei record master di avvio........: Attivo
Scansiona record di avvio...................: Attivo
Record di avvio.............................: C:,
Scansione dei programmi attivi..............: Attivo
Processo esteso di scansione................: Attivo
Scansiona la registrazione..................: Attivo
Cerca Rootkits..............................: Attivo
Controllo di integrità dei file di sistema..: Non attivo
Modalità di scansione file..................: Tutti i file
Scansione degli archivi.....................: Attivo
Limita la profondità di ricorsione..........: 20
Archivio estensioni Smart...................: Attivo
Macro euristico.............................: Attivo
File euristico..............................: avanzato

Avvio della scansione: martedì 31 gennaio 2012 17:00

È stata avviata la scansione per accertare la presenza di oggetti nascosti.

La scansione dei processi in esecuzione verrà avviata:
Scansione processo 'avscan.exe' - '62' modulo(i) scansionato(i)
Scansione processo 'avcenter.exe' - '93' modulo(i) scansionato(i)
Scansione processo 'dllhost.exe' - '51' modulo(i) scansionato(i)
Scansione processo 'dllhost.exe' - '46' modulo(i) scansionato(i)
Scansione processo 'vssvc.exe' - '49' modulo(i) scansionato(i)
Scansione processo 'alg.exe' - '32' modulo(i) scansionato(i)
Scansione processo 'avshadow.exe' - '27' modulo(i) scansionato(i)
Scansione processo 'avguard.exe' - '53' modulo(i) scansionato(i)
Scansione processo 'cfp.exe' - '58' modulo(i) scansionato(i)
Scansione processo 'avgnt.exe' - '45' modulo(i) scansionato(i)
Scansione processo 'sched.exe' - '44' modulo(i) scansionato(i)
Scansione processo 'svchost.exe' - '38' modulo(i) scansionato(i)
Scansione processo 'Explorer.EXE' - '90' modulo(i) scansionato(i)
Scansione processo 'svchost.exe' - '29' modulo(i) scansionato(i)
Scansione processo 'svchost.exe' - '164' modulo(i) scansionato(i)
Scansione processo 'cmdagent.exe' - '75' modulo(i) scansionato(i)
Scansione processo 'svchost.exe' - '42' modulo(i) scansionato(i)
Scansione processo 'svchost.exe' - '49' modulo(i) scansionato(i)
Scansione processo 'lsass.exe' - '52' modulo(i) scansionato(i)
Scansione processo 'services.exe' - '28' modulo(i) scansionato(i)
Scansione processo 'winlogon.exe' - '66' modulo(i) scansionato(i)
Scansione processo 'csrss.exe' - '12' modulo(i) scansionato(i)
Scansione processo 'smss.exe' - '2' modulo(i) scansionato(i)

Avvio della scansione dei record master di avvio:
Record master di avvio dell'Hard Disk 0
[INFO] Nessun virus è stato trovato!

Avvio della scansione dei record di avvio:
Record di avvio 'C:\'
[INFO] Nessun virus è stato trovato!

Avvio della scansione dei file eseguibili (registro):
Il registro è stato scansionato ( 1105 file ).


Avvio della scansione del file selezionati:

Inizia con la scansione di 'C:\' <win>
C:\Documents and Settings\pc\Dati applicazioni\Sun\Java\Deployment\cache\6.0\37\2a981d65-4d904616
[0] Tipo di archivio: ZIP
photo/Crop.class
[RILEVAMENTO] Contiene il modello di rilevamento del virus Java JAVA/2010-0840.Q
photo/ExtResolution.class
[RILEVAMENTO] Contiene il modello di rilevamento dell'exploit EXP/CVE-2010-0840.GD
photo/Image.class
[RILEVAMENTO] Contiene il modello di rilevamento dell'exploit EXP/CVE-2010-0840.FO
photo/MultiZoom.class
[RILEVAMENTO] Contiene il modello di rilevamento dell'exploit EXP/CVE-2010-0840.FZ
photo/Zoom.class
[RILEVAMENTO] Contiene il modello di rilevamento dell'exploit EXP/CVE-2010-0840.FI

Avvio della disinfezione:
C:\Documents and Settings\pc\Dati applicazioni\Sun\Java\Deployment\cache\6.0\37\2a981d65-4d904616
[RILEVAMENTO] Contiene il modello di rilevamento dell'exploit EXP/CVE-2010-0840.FI
[NOTA] Il file è stato spostato in quarantena con il nome '446c8764.qua'!


Fine della scansione: martedì 31 gennaio 2012 18:23
Tempo impiegato: 1:22:39 Ora(e)

La scansione è stata completamente eseguita.

5351 Directory scansionate
220706 I file sono stati scansionati
5 Rilevati virus e/o programmi indesiderati
0 I file sono stati classificati come sospetti
0 I file sono stati eliminati
0 I virus o i programmi indesiderati sono stati riparati
1 File spostati in quarantena
0 File rinominati
0 Impossibile scansionare i file
220701 File non infetti
1038 Archivi scansionati
0 Avvisi
1 Note
335087 Oggetti scansionati durante la scansione dei rootkit
0 Sono stati rilevati oggetti nascosti

[sampei.nihira]

Non mi sono fatto più sentire .
In verità sto cercando di capire se una semplice scansione antivirale sia sufficiente a rimuovere questa infezione , anche perché sono tentato di formattare il pc.
@sampei: sia avira che comodo mi segnalano Sumo come un malware!

Solitamente io che prediligo la prevenzione non intervengo mai nelle scelte decisionali dell'utente.
Quindi rispondo solo in merito a ciò che hai scritto su Sumo.

Che è ovviamente errato visto che io lo uso e non ho mai rilevato ciò.
Se tu vuoi anche provare qualche scan on line ti convincerai del fatto di cui sopra.

Ovvio dò per scontato che tu sei in grado, nella pagina di download, di intuire qual è la versione portable che ti ho consigliato.....giusto ?
Altrimenti si scambiano i fischi per......

[raffaele32]

Solitamente io che prediligo la prevenzione non intervengo mai nelle scelte decisionali dell'utente.
Quindi rispondo solo in merito a ciò che hai scritto su Sumo.

Che è ovviamente errato visto che io lo uso e non ho mai rilevato ciò.
Se tu vuoi anche provare qualche scan on line ti convincerai del fatto di cui sopra.

Ovvio dò per scontato che tu sei in grado, nella pagina di download, di intuire qual è la versione portable che ti ho consigliato.....giusto ?
Altrimenti si scambiano i fischi per......

Mi correggo sampei, tramite softonic sono riuscito a trovare la versione portaable del sw e nè Avira e nè Comodo bloccano l'esecuzione del sw. La versione di Java è Up to date.Avrò sbagliato home probabilmente