Virus che Kaspersky non elimina. Aiuto!!!

[teresa]

Durante l'installazione di un gioco regolarmente comprato Kqaspersky ha rilevato la presenza del virus: Adware not-a-virus: Adware.Win32.WebHancer. Mi dice che è impossibile sia disinfettare che eliminare. Entrata in Kaspersky, infatti, mi dice "la protezione del computer è a rischio. Rilevato software legale utilizzabile da utenti melintenzionati per danneggiare il computer o i dati personali." Ho provato a fare "correggi" ma è come se niente fosse. Ho provato a fare la scansione con superantispyware ma non lo rivela neanche. Ccleaner è inutile. Cosa faccio per pulire il pc?? Aiutatemi subito, per favore.

[Ale2695]

Allora, iniziamo a fare una scansione con Hjiackthis per vedere quello che c'è sul pc. Lo scarichi da qui, salvalo sul desktop e rinominalo in pippo.exe, avvialo, fagli fare la scansione e riporta il log qui sul forum col tag MEMO

[teresa]

Questo è il responso:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 16.48.38, on 19/12/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 2011\avp.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 2011\avp.exe
C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
C:\Programmi\Lexmark Z2300 Series\lxdpMsdMon.exe
C:\Programmi\File comuni\Ahead\Lib\NMIndexStoreSvr.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\lxdpcoms.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\WINDOWS\explorer.exe
C:\Programmi\Malwarebytes' Anti-Malware\mbam.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 2011\klwtblfs.exe
C:\Programmi\Mozilla Firefox\plugin-container.exe
C:\WINDOWS\system32\msiexec.exe
C:\Programmi\Microsoft Security Client\Antimalware\MsMpEng.exe
C:\Programmi\Microsoft Security Client\msseces.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Cliente\Documenti\Download\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 2011\ievkbd.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O2 - BHO: (no name) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - (no file)
O2 - BHO: MegaIEMn - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - C:\Programmi\Megaupload\Mega Manager\MegaIEMn.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 2011\klwtbbho.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: Ask Toolbar BHO - {FE063DB1-4EC0-403e-8DD8-394C54984B2C} - (no file)
O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)
O3 - Toolbar: Ask Toolbar - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - (no file)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programmi\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [AVP] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 2011\avp.exe"
O4 - HKLM\..\Run: [lxdpmon.exe] "C:\Programmi\Lexmark Z2300 Series\lxdpmon.exe"
O4 - HKLM\..\Run: [lxdpamon] "C:\Programmi\Lexmark Z2300 Series\lxdpamon.exe"
O4 - HKLM\..\Run: [MSC] "C:\Programmi\Microsoft Security Client\msseces.exe" -hide -runkey
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Google Sidewiki... - res://C:\Programmi\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_93C8148BBB233F43.dll/cmsidewiki.html
O9 - Extra button: &Tastiera Virtuale - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 2011\klwtbbho.dll
O9 - Extra button: C&ontrollo URL - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 2011\klwtbbho.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~2\mzvkbd3.dll
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Servizio Kaspersky Anti-Virus (AVP) - Kaspersky Lab ZAO - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 2011\avp.exe
O23 - Service: Servizio Bonjour (Bonjour Service) - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: Servizio di Google Update (gupdate) (gupdate) - Unknown owner - C:\Programmi\Google\Update\GoogleUpdate.exe (file missing)
O23 - Service: Google Software Updater (gusvc) - Unknown owner - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe (file missing)
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: lxdpCATSCustConnectService - Lexmark International, Inc. - C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\\lxdpserv.exe
O23 - Service: lxdp_device - - C:\WINDOWS\system32\lxdpcoms.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
O24 - Desktop Component 0: (no name) - file:///C:/Documents%20and%20Settings/Cliente/Desktop/Immagini/hjffjh.jpeg
O24 - Desktop Component 1: (no name) - http://t0.gstatic.com/images?q=tbn:hrTk ... dg6vt9.jpg
O24 - Desktop Component 2: (no name) - file:///C:/Documents%20and%20Settings/Cliente/Desktop/Copia%20di%20milo12ub2dg6vt9.jpg
O24 - Desktop Component 3: (no name) - file:///C:/Documents%20and%20Settings/Cliente/Desktop/Immagini/pic.ph.jpeg

--
End of file - 7313 bytes

Scusate ma non so come metterlo in memo. Pooso postarvelo solo così. Grazie dell'aiuto.

[Ale2695]

Allora, rilancia Hijackthis, premi Do a System Scan Only, spunta le caselle che ti dirò, chiudi tutte le applicazioni aperte e poi clicca su Fix checked.
Le voci da spuntare sono:

O2 - BHO: Ask Toolbar BHO - {FE063DB1-4EC0-403e-8DD8-394C54984B2C} - (no file)
O3 - Toolbar: Ask Toolbar - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - (no file)
04 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O23 - Service: Servizio di Google Update (gupdate) (gupdate) - Unknown owner - C:\Programmi\Google\Update\GoogleUpdate.exe (file missing)
O23 - Service: Google Software Updater (gusvc) - Unknown owner - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe (file missing)

Queste due voci invece non le riesco a capire...
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O2 - BHO: (no name) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - (no file)
Comunque, visto che hai installato Malwarebytes, aggiornalo, fai una scansione e riporta il log usando il Tag MEMO

[teresa]

Allora, scusate il ritardo ma Malwarebytes ha impiegato 4 ore per scansionare! Allora con Hijackthis ho rifatto come mi hai detto, spuntando le voci assegnatami, la scansione con Malwarebytes fatta e non rilevato nulla: nessun file infetto.Kaspersky ha fatto la scansione (in un'0ra e mezza) e non ha rilevato minacce, solo la sempiterna frase: "la protezione del computer è a rischio. Rilevato software legale utilizzabile da utenti malintenzionati per danneggiare il computer o i dati personali." Non so più cosa fare e cosa pensare. Mi aiutate ancora per favore? Grazie.
P.S. Ah, le voci che ti sembrano strane del primo log di Hijackthis sono due foto che uso come oggetti deskop. Ciao.

[crazy.cat]

Dove ti rileva i problemi kaspersky?
In quali file o cartelle?

Togli il microsoft antivirus è inutile se hai anche kaspersky.

[teresa]

Ciao, il percorso rilevato da Kaspersky (che lo pone tra le minacce attive) è: C:/Documents and Settings/Cliente/Impostazioni locali/Temp/Wh_cc.exe/WhAgent.exe.
Ho provato ad accedere dal disco C fino alla cartella "impostazioni locali" e alla sottocartella "temp", ma non ho trovato i successivi files indicatomi nel percorso. Per favore aiutatemi, ad ogni avvio parte la segnalazione di Kaspersky, ma non riesce a correggere. Cosa faccio? Grazie a tutti.

[FDAC]

Ciao
Scarica Avenger: http://swandog46.geekstogo.com/avenger.zip
● scompattalo in una sua cartella non temporanea e non sul Desktop
● avvia Avenger
● clicca OK
● inserisci queste righe nel riquadro bianco, con un semplice copia e incolla:

Files to delete:
C:/Documents and Settings/Cliente/Impostazioni locali/Temp/Wh_cc.exe/WhAgent.exe

● togli la spunta da Scan for Rootkit
● clicca su Execute e aspetta qualche minuto
● rispondi Yes alla richiesta Are you sure you want to execute the current script?
● rispondi Yes alla successiva richiesta: First step completed --- The Avenger has been successfully set up to run on next boot. Reboot now?
● il sistema dovrebbe riavviarsi; se così non fosse, riavvialo tu
Al termine dell'operazione:
● vai in Disco Locale C:, cerca il log dal nome avenger.txt ed allegalo

Nota:
● la nuova versione di Avenger ha un problema che si presenta abbastanza di frequente, quando tenti di eseguire lo script ottieni questo messaggio di errore:
Error: invalid script. Avalid script must begin with a command directive.
Aborting execution!
In questo caso prova a cancellare e riscrivere la prima riga dello script e poi a rieseguirlo

[teresa]

Sto provando ad analizzare con Avenger, ma non ci riesco, continua a dare lo stesso errore che hai detto; ho cancellato e riscritto il percorso che segnala Kaspersky, il file da cancellare, infinite volte, ma l'errore perdura. Cosa faccio? C'è un'altra versione che funzioni meglio o un altro programma? Grazie a tutti.

[Ale2695]

Sto provando ad analizzare con Avenger, ma non ci riesco, continua a dare lo stesso errore che hai detto; ho cancellato e riscritto il percorso che segnala Kaspersky, il file da cancellare, infinite volte, ma l'errore perdura. Cosa faccio? C'è un'altra versione che funzioni meglio o un altro programma? Grazie a tutti.

Mmm... non riesci a caricare il file su VirusTotal e a mettere il link al log qui?

[Uomo_Senza_Sonno]

Visto che kaspersky lo rileva senza problemi, prova ad utilizzare il suo rescue disk; lo masterizzi, esegui il boot da cd e dopo che lo aggiorni gli fai fare una scansione completa. Dovrebbe rimuovere senza impedimenti il problema.

[hashcat]

Fai così, questa è una procedura generale:

Prima di tutto apri il taskmanager e vedi se tra i processi compare Whagent, in caso affermativo terminalo.

Per rimuovere l'applicativo principale, Clicca: START > Impostazioni >Pannello di controllo

Fai un doppio click su Aggiungi/Rimuovi Programmi

muovi la barra in giù fino a trovare WEBHANCER e clicca su Aggiungi/Rimuovi.

1. Vai nella cartella di windows ed elimina questi file correlati a WEBHANCER::
sporder.dll
webhdll.dll
whagent.inf
whInstaller.exe
whInstaller.ini

2. Cancella la cartella di WebHancer nella cartella programmi. E se compaiono anche queste due:

Codice: Seleziona tutto

All-In-One WebSearch
whInstall

elimina anche quelle. (Se compare un errore riguardo al file wbhshare.dll questo accade in quanto il file è bloccato, devi cancellare il file al riavvio).

3. Cancella tutti i file contenuti nella cartella temporanea (probabilmente c:\temp). Questi sono file temporanei relativi all'installazione di webhancer.

atlansi.dll
atlunicode.dll
license.txt
regwebh.dll
sporder.dll
wbhshare.dll
webhdll.dll
whAgent.exe
whAgent.inf
whAgent.ini
whiedc.dll
whiehlpr.dll
whiehlpr.ini
whieshm.dll
whInstaller.exe
whInstaller.ini

Infine cerca ed elimina i seguenti file:

regwebh.dll
wbhshare.dll

La procedura è stata tratta da http://www.cexx.org/webhancer.htm

Se trovi file bloccati che non riesci ad eliminare installa Unlocker:

Link Unlocker:

Download unlocker

Per informazioni mirate per la tua minaccia guarda qui:

http://www.online-armor.com/oasis2/file/webhancer_corporation/unspecified_product/wh_cc_exe/54080
http://www.online-armor.com/oasis2/file/webhancer_corporation/unspecified_product/wh_cc_exe/69892

Poi scarica Emsisoft antimalware ed esegui una scansione completa, rimuovi tutte le minacce che trova e posta il log

Emsisoft:

http://download11.emsisoft.com/a2AntiMalwareSetup.exe

N.B.: Prima di eseguire la scansione con Emsisoft aggiorna il database delle firme virali

N.B.2.: Questa procedura si riferisce alla rimozione di tutti i file che vengono installati tramite webhancer essendo il tuo file temporaneo potrebbero non essere tutti presenti, tu elimina quelli che trova.

[teresa]

Ricapitoliamo il tutto:
Non conosco VirusTotal e non so come usarlo, anche perché non conosco l'inglese.

Ho Kaspersky come antivirus, ma le funzioni che nomini Rescue Disk e successivamente il boot da cd non le conosco e non so come procedere.

Per quanto riguarda la risposta di Hashcat, ho provato a fare quanto dici, ma non posso in quanto non appare nessuna voce tra quelle da te menzionate, nè nella cartella Temp, nè in programmi, processi ecc. Per quanto riguarda Emsisoft sono in attesa che finisca questa lunghissima scansione, per ora riguardante ciò che ci interessa non ha trovato assolutamente nulla. Come neanche nessun programma da me testato (ho provato anche Ad-Aware), solo Kaspersky lo rileva senza però poterlo eliminare.

Ma visto che conosciamo il percorso di questo stramaledettissimo virus, adware o quello che è, non si può rimuoverlo manualmente o con programmi funzionanti specifici? Aiutatemi per favore, perché il pc continua a restare infetto e non so quali conseguenze possa avere. Grazie.

[Uomo_Senza_Sonno]

Ho Kaspersky come antivirus, ma le funzioni che nomini Rescue Disk e successivamente il boot da cd non le conosco e non so come procedere.

Scusami per la risposta secca, vedo di farmi perdonare.
Il rescue disk di kaspersky è un cd autoavviante che ti permette di scansionare il pc senza che sia necessario avere il sistema operativo avviato. Per avere questo disco devi solo scaricare il file iso dal link che ti ho indicato nel mio precedente post, e poi masterizzarlo su cd.

Il resto del lavoro lo svolgi impostando dal BIOS (qui e qui ci sono maggiori riferimenti a riguardo), ed una volta impostato devi solo aspettare che venga letto il cd e caricato.

Dopodichè l'antivirus è pronto per essere aggiornato (il pc deve essere collegato con il cavo di rete) e a scansionare il pc. Una volta rilevata l'infezione, verrà rimossa senza troppe storie.

Non conosco VirusTotal e non so come usarlo, anche perché non conosco l'inglese

Su virustotal devi solo usare il tasto sfoglia, selezionare il file sospetto, e poi cliccare su send file (invia file). Una volta che lo invii, attendi il caricamento della pagina fino a quando non vedrai la lista degli antivirus. Al momento il server è sovraccarico, quindi meglio fare alcuni tentativi.

[hashcat]

Se il problema è limitato al solo file che kaspersky rileva prova come ti ho detto:

Se trovi file bloccati che non riesci ad eliminare installa Unlocker:

Link Unlocker:

Download unlocker

[teresa]

Purtroppo il problema è molto più grave. Ho contattato il sito della Kaspersky perché l'antivirus ha le chiavi di registro danneggiate. Mi hanno risposto subito dicendo che quel "coso" entrato ha bloccato l'antivirus, mi hanno detto come risolvere il tutto, ma nel contempo il pc non si connette più, non so se anche questo è colpa di quell'infezione. Ora scrivo da un piccolo pc portatile d'emergenza. Dovrò chiamare un tecnico, perché senza connessione non posso neppure ripristinare l'antivirus. Comunque, se permettete, vorrei segnalare che quest'infezione è molto più seria di quanto si creda, se riesce a "disattivare" un antivirus come Kaspersky. Vi farò sapere il danno che mi ha provocato alla macchina. Grazie a tutti nel frattempo e, se non riesco più a contattarvi, auguri a tutti.

[Uomo_Senza_Sonno]

Quello che descrivi sembra il comportamento del virus Bagle, e se mi ricordo bene Avast! dovrebbe rimuovere senza grossi problemi l'infezione, oltre che venire installato senza problemi.
Ad ogni modo, proverei ad utilizzare il rescue disk di kaspersky, come prima azione. Se tutto va bene, dovresti riprendere almeno parzialmente il controllo del pc, in modo da poter poi utilizzare Lspfix per ripristinare la connessione sotto windows (e poter aggiornare l'antivirus nuovamente, oltre che a navigare).

Spero che così si riesca a risolvere rapidamente, di modo da non doversi dannare sotto le feste.