win32/trojanclicker.delf NAZ non rimovibile

[ste_95]

Il log di COmbofix è incompleto.

[figio87]

ero così...
ma son così ora
perché nod32 m'ha rilevato il kbdbenev.dll.bak che combofix non m'aveva trovato.

cosa vuol dire è incompleto?
io ho fatto la scansione e mi son trovato quei2 file .txt
adesso provo a rifarla e ti posto i file.

[figio87]

questi i file.

ora proverò con antivir PE
e vedremo se fa qualcosa...
sperem

[ste_95]

Cancella il file bak. Poi rifai nuovamente i log di GMER.

[figio87]

antivirPE cancella kbdbenev.dll
però rimane il kbdbenev.dll.bak.

mi sa che combofix non era riuscito a eliminarlo kbdbenev.dll...

boh adesso so solo che nod32 mi dice del file .bak

[zupermax]

@ste_95
Si, lo so, sto PC e' un deposito batteriologico... E meno male che mi ero raccomandato di controllare sempre il funzionamento di Antivirus, firewall, Spybot e di navigare sempre da sandboxie...

Va be... tornando a noi,
Quel file "C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\Update_0801_KB241618.exe" non esiste piu'. Credo sia stato eliminato dall'antivirus. Infatti compare nel log di Antivir, in quello di gmer passato prima di combofix(*before) ma non mi sembra di trovarlo in quello eseguito dopo (*after).

Ho comunque eseguito avenger con lo script che mi hai indicato e passato ancora una volta combofix.
Ho anche rilanciato hijackthis per ottenere un nuovo log.

A questo indirizzo http://www.freefilehosting.net/download/3c4c5 puoi trovare i nuovi report.

Per quel che riguarda il file che mi chiedi di uppare su http://softnews.altervista.org/upload_malware.php, anche in questo caso non lo trovo. Magari anche lui era stato eliminato quando ho passato l'antivirus.


Grazie dell'aiuto.

Saluti.

[sole2608]

qui c'è il log di combofix che ho fatto ieri notte..

http://www.freefilehosting.net/download/3c4cg

[ste_95]

qui c'è il log di combofix che ho fatto ieri notte..

http://www.freefilehosting.net/download/3c4cg

Scarica HijackThis
Salvalo in una cartella (non aprirlo direttamente, sennò non farà i backup!)
Apri l'eseguibile
Clicca quindi su "Do a System Scan and Save a Logfile"
Attendi che finisca la scansione
Quindi copia il contenuto del blocco note qui sul forum.

Scarica GMER, poi segui i seguenti passaggi:

--- 1° passaggio ---
Avviamo gmer
clicchiamo su > > >
Clicchiamo su Autostart
mettiamo il segno di spunta a Show All
clicchiamo su Scan
al termine della scansione, clicchiamo su Copy
Apriamo il blocco note e premiamo CTRL+V (oppure clicchiamo su Modifica e poi su Incolla).
Salviamo il file e carichiamolo su FreeFileHosting
Postiamo qui il link che ci viene assegnato.

--- 2° passaggio ---
Sempre nel programma appena scaricato (gmer),
clicchiamo su Rootkit
clicchiamo su Scan
al termine della scansione, clicchiamo su Copy
Apriamo il blocco note e premiamo CTRL+V (oppure clicchiamo su Modifica e poi su Incolla).
Salviamo il file e carichiamolo su FreeFileHosting
Postiamo qui il link che ci viene assegnato.

[ste_95]

Quel file "C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\Update_0801_KB241618.exe" non esiste piu'. Credo sia stato eliminato dall'antivirus. Infatti compare nel log di Antivir, in quello di gmer passato prima di combofix(*before) ma non mi sembra di trovarlo in quello eseguito dopo (*after).

Ho comunque eseguito avenger con lo script che mi hai indicato e passato ancora una volta combofix.
Ho anche rilanciato hijackthis per ottenere un nuovo log.

A questo indirizzo http://www.freefilehosting.net/download/3c4c5 puoi trovare i nuovi report.

Prova a rifare il procedimento con il megalabCD.

Per quel che riguarda il file che mi chiedi di uppare su http://softnews.altervista.org/upload_malware.php, anche in questo caso non lo trovo. Magari anche lui era stato eliminato quando ho passato l'antivirus.

Non credo, nel caso tu lo avessi messo in quarantena, ripristinalo giusto il tempo di inoltrarlo. Vista la rapida diffusione di questo trojan vorrei analizzarlo e scrivere una procedura di rimozione.

[figio87]

ciao ragazzi volevo chiedervi
kbdbenev.dll è stato rimosso forse da combofix o da aviritPE
che ha cambiato il nome e l'ha poi rimosso.
mi rimane ora il kbdbenev.dll.bak che manulamente non si fa rimuovere
nè rinominare.

...
qualche idea?

[ste_95]

Mi è venuta un'ideuzza, proviamo dal MegaLabCD, o alla peggio da un distribuzione GNU/Linux Live, a rinominare i file invece che a eliminarli. Quando li avrete rinominati, eseguite nuovamente le scansioni con GMER.

[figio87]

con il MegaLab cd non riesce a modificarlo e rinominarlo.
ma poi rinominarlo in qualsiasi modo?
esempio kbdbenev.dll.bak.vir?
boh?!

[ste_95]

Si, come vuoi, di modo che non troverà più il file e di conseguenza non potrà metterlo in esecuzione.

Prova a farlo con Ubuntu Live;

http://ubuntu.fastbull.org/ubuntu-relea ... p-i386.iso

[figio87]

ma quant'è grosso?
700MB?
caz...
vabeh dai proviamoci.
puoi spiegarmi come si fa,
perché se è come il MegaLab è un conto
se no non saprei da dove iniziare...

[ste_95]

E' simile al MegalabCD, masterizzi correttamente la iso scaricata e poi fai il boot da lì, poi intuitivamente vai a cancellare o a rinominare i file.

[figio87]

ok proverò. ora sono al 40%
ma perché è così grande?

[ste_95]

E' un sistema operativo...

[figio87]

perdonami ma non riesco a intuire dai file scaricati dal file iso
dove trovare lo strumento per cancellare il fiel .bak...

puoi aiutarmi?
grazie

è quello che mi compare...

[ste_95]

Devi masterizzare l'immagine:

http://www.MegaLab.it/2226

Poi fare il boot dal CD appena fatto.

[zupermax]

@ste_95

Ste... non te la prendere a male... ma credo che l'antivirus abbia fatto bene il suo lavoro eliminando il virus definitivamente.
Credo, correggimi se sbaglio, che attivando l'antivir dal MegaLab CD, questo non abbia scritto fisicamente i "quarantined" nel disco.
Ho cercato in tutto il disco, ma di quei file che cerchi non ne trovo assolutamente traccia.

Scusa, ma mi viene un dubbio... tu mi avevi chiesto di uppare sul sito http://softnews.altervista.org/upload_malware.php, il file c:\avenger\avenger.zip. Non e' che per caso intendevi c:\avenger\backup.zip ?

Comunque, ho dato una passata approfondita con Nod 32 e non c'e' piu' alcuna traccia del virus.
L'unica cosa che rimane, e' l'indicazione che danno Hijackthis e combofix rispetto a quel malware, anche se i file referenziati non esistono piu'.
Ho provato a usare ancora una volta avenger specificando la cancellazione delle chiavi riportate da combofix, ma continuo a ricevere l'errore "not found".

Se cortesemente vuoi darci un'occhiata, ho caricato i nuovi log a questo indirizzo: http://www.freefilehosting.net/download/3c5mc