MALWARE Fraud.XpAntivirus: come debellarlo? Aiuto!!

[spike_20]

Amantide, provvedo a riportarti qui di seguito i report di scansione con "kaspersky virus removal tool" e "the avenger" (col secondo ho eseguito anche un altro script preso da un altro sito, ma con esito negativo):

Report con "Kaspersky Tool":

Scan
----
Scanned: 1131560
Detected: 6
Untreated: 0
Start time: 26/02/2009 19.28.46
Duration: 10.44.04
Finish time: 27/02/2009 6.12.50


Detected
--------
Status Object
------ ------
deleted: virus P2P-Worm.Win32.Kapucen.b File: C:\Programmi\ESET\infected\4BJ0JVDA.NQF//PE-Crypt.XorPE
deleted: Trojan program Backdoor.Win32.Rbot.bqa File: C:\Programmi\ESET\infected\DMUOTQAA.NQF//PE-Crypt.XorPE//data0003//Enigma
deleted: virus P2P-Worm.Win32.Kapucen.b File: C:\Programmi\ESET\infected\MVODSRDA.NQF//PE-Crypt.XorPE
deleted: virus P2P-Worm.Win32.Kapucen.ac File: C:\Programmi\ESET\infected\ZWI04LCA.NQF//PE-Crypt.XorPE
deleted: Trojan program Trojan-Downloader.Win32.Bagle.ant File: D:\copia disco e\Incoming\IMG Extractor 2.1.zip/key_generator.exe
deleted: Trojan program Trojan-Downloader.Win32.Bagle.ant File: E:\Incoming\IMG Extractor 2.1.zip/key_generator.exe

Report con "The Avenger":

//////////////////////////////////////////
Avenger Pre-Processor log
//////////////////////////////////////////

Platform: Windows XP (build 2600, Service Pack 2)
Fri Feb 27 12:25:43 2009

12:24:38: Error: Invalid registry syntax in command:
"HKEY_CLASSES_ROOT\AppID\IEDefender.DLL"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:24:55: Error: Invalid registry syntax in command:
"HKEY_CLASSES_ROOT\AppID\{3C40236D-990B-443C-90E8-B1C07BCD4A68}"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:03: Error: Invalid registry syntax in command:
"HKEY_CLASSES_ROOT\CLSID\{FC8A493F-D236-4653-9A03-2BF4FD94F643}"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:05: Error: Invalid registry syntax in command:
"HKEY_CLASSES_ROOT\Interface\{7BC7565C-5062-43CE-8797-DC2C271140A9}"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:06: Error: Invalid registry syntax in command:
"HKEY_CLASSES_ROOT\TypeLib\{705FD64B-2B7B-4856-9337-44CA1DA86849}"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:23: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\Software\XPA"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:25: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\Software\Antivirus Plasma"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:26: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\Software\AV2010"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:28: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\Software\AV2011"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:29: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\Software\AV2012"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:31: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\Software\Antispyware 2008"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:32: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\Software\OneMoreKey"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)
12:25:34: Error: Invalid registry syntax in command:
"HKEY_CURRENT_USER\Software\XP antivirus"
Only registry keys under the HKEY_LOCAL_MACHINE hive are accessible to this program.
Skipping line. (Registry key deletion mode)


//////////////////////////////////////////


Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:


Error: registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\XPAntivirusFilter" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\XPAntivirusFilter" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\XPAntivirusFilter" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\XPAntivirusFilter" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\XPAntivirusFilter" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\XPAntivirusFilter" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SOFTWARE\XP_Antispyware" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SOFTWARE\XP_Antispyware" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{FC8A493F-D236-4653-9A03-2BF4FD94F643}" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{FC8A493F-D236-4653-9A03-2BF4FD94F643}" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\Software\XPA" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\Software\XPA" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\Software\AV2010" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\Software\AV2010" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\Software\AV2011" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\Software\AV2011" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\Software\AV2012" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\Software\AV2012" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4e7bd74f-2b8d-469e-dcf7-f96da086b434}" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4e7bd74f-2b8d-469e-dcf7-f96da086b434}" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6C6B8C69-9285-4D94-8492-9E920C8C2B65}" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6C6B8C69-9285-4D94-8492-9E920C8C2B65}" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{74f25a2c-22b3-4023-8f1a-ca616c30a8b5}" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{74f25a2c-22b3-4023-8f1a-ca616c30a8b5}" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9a19966f-ae0e-4699-8cce-9b6f5f1c352c}" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9a19966f-ae0e-4699-8cce-9b6f5f1c352c}" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D714A94F-123A-45CC-8F03-040BCAF82AD6}" not found!
Deletion of registry key "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D714A94F-123A-45CC-8F03-040BCAF82AD6}" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Completed script processing.

*******************

Finished! Terminate.

Dopo ho effettuato un'altra scansione con "Spybot Search & Destroy" (il primo che è riuscito a rilevare "Fraud.XpAntivirus"), in modalità safeboot e ha scovato le 3 chiavi di registro della precendente scansione (di cui era riuscito a cancellarne solo 2), riuscendo, stavolta ad eliminarle tutte e 3!!
La successiva scansione non ha riportato alcuna minaccia immediata: che il malware sia davvero stato neutralizzato una volta per tutte?
Ma allora perché internet non va comunque?
Le ho provate tutte: cancellare l'intera cronologia, i file temporanei di "Internet Explorer", i cookies, ho disattivato tutti i componenti aggiuntivi (sia quelli in esecuzione automatica senza preavviso, sia gli altri), provato a ripristinare le impostazioni di default del browser oggetto di discussione, ho persino tentato di riregistrare la dll "ieframe" (invano), sostituito la stessa con una nuova, integra (altro tentativo vano!!).

Che altro posso fare? Il malware sembra ormai aver ceduto il passo eppure "Explorer 7.0" persiste nel restituire il medesimo errore nel tentativo di aprire una qualsiasi pagina web:

res//ieframe.dll/dnserror.htm#

Come si risolve e quindi ripristinare la connessione internet?

[spike_20]

Dimenticavo...

Ho persino tentato di disinstallare l'antivirus "NOD32" che entrava in conflitto con "ComboFix" anche in modalità safeboot nel tentativo di effettuare una scansione, (per disinstallarlo ho usato il tool omonimo) ma lo stesso "ComboFix" lo rileva ugualmente e come attivo precludendomi, così, per l'ennesima volta, di effettuare una scansione con il medesimo!!

Premetto che la connessione adsl da un altro pc (quello con cui sto postando) non presenta anomalia, ergo escludo possa trattarsi del router che uso per navigare ("NETGEAR DG834GT", acquistato di recente), che fra l'altro ho anche resettato e al quale ho persino aggiornato il firmware.

Ho anche provato a collegarmi con cavo ethernet RJ45 piuttosto che con la pen drive wi-fi, ma non cambia nulla!!

Insomma... da cosa può dipendere il disservizio che interessa la mia connessione ADSL (ribadisco SOLO sull'altro pc) dopo tutti i tentativi fatti? E come posso ovviarvi?

[Amantide]

Postami il log di Hijackthis, vediamo un po' come è configurato il pc.

[Amantide]

Fammi capire un po'... da quando hai il router nuovo, sul compurer con i problemi ha mai funzionato la connessione internet?

[spike_20]

Ecco a seguire, il report rilasciato da "Hijackthis", come mi hai chiesto:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19.56.24, on 27/02/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Intelligent\Common\RaUI.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = http://go.microsoft.com/fwlink/?LinkId=54843
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: FlpLauncher Class - {4401FDC3-7996-4774-8D2B-C1AE9CD6CC25} - C:\Programmi\E-Book Systems\FlipAlbum 6 Pro\FpLaunch.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Intelligent Wireless Utility.lnk = C:\Programmi\Intelligent\Common\RaUI.exe
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'c:\docume~1\mario1\impost~1\temp\ntdll64.dll' missing
O17 - HKLM\System\CCS\Services\Tcpip\..\{719C81CF-D695-4D85-89B2-B141EEC004B1}: NameServer = 208.67.222.222,208.67.220.220
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\WinGuido\Skype4COM.dll
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: JFWService - Freedom Scientific BLV Group, LLC - C:\Programmi\Freedom Scientific\JAWS\9.0\jfw.exe
O23 - Service: MBAMService - Malwarebytes Corporation - C:\Programmi\Malwarebytes' Anti-Malware\mbamservice.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programmi\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programmi\Spyware Doctor\pctsSvc.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe

--
End of file - 5636 bytes

In riferimento alla tua domanda, invece...
dal quel PC non posso connettermi a internet SOLTANTO da quando è/era infettato (visto che credo, come ti ho detto nel post precedente che il malware dovrebbe essere stato neutralizzato, almeno secondo "Spybot S&D"); probabilmente il disservizio dipenderà dai danni cagionati dal malware.



P.s.: vanificato è stato anche il tentativo di avviare (una volta installato) "Mozilla Firefox": a questo punto mi sento di escludere anche che il problema sia ristretto al solo "Internet Explorer", ma che sia un problema di rete relativo SOLO a QUEL pc (ribadisco, infatti, che con questo sto navigando).

Da che può dipendere, ergo, dato che tutto è iniziato da quando ho contratto quel maledetto virus?

[Amantide]

Intanto rifai la scansione con Hijackthis, seleziona la seguente voce e premi Fix checked:
O10 - Broken Internet access because of LSP provider 'c:\docume~1\mario1\impost~1\temp\ntdll64.dll' missing

Dopo esegui LSP Fix, riavvia il pc e vedi se la situazione si sarà cambiata.

[spike_20]

Finalmente dopo una lunga ed estenuante trafila sono (e SIAMO) riuscito/i a reintegrare anche la connessione adsl; il problema risiedeva proprio in quel server "LSP" corrotto che, difatto, inibiva qualsiasi contatto col mondo virtuale.

Il malware "Fraud.XpAntivirus" era già recesso, cone avevo intuito.

Un doveroso ringraziamento va a te, "Amantide", per la pazienza e la manforte prestatami lungo questo iter, e poi a tutto lo staff di "MegaLab.it": senza di voi non avrei saputo come risolvere!

Ve ne sono grato.

Buon prosieguo di lavoro!! ;)

[Amantide]