Trojan.Win32.RootKit.E

[natraninio]

Grazie del link amantide
Ho fatto scansioni nelle sezioni che mi hai detto ma non so come fare a recuperare i 2 log ti allego immagini

andando su log mi esce questa pagina:
http://img296.imageshack.us/my.php?image=gmerlogfl7.png

andando su autostart mi esce questa:
http://img180.imageshack.us/my.php?imag ... artgu6.png

in sostanza non vedo salva log
se li evidenzio tasto destro non mi da il copia
attendo tue indicazioni

[Amantide]

A destra c'è un tasto Copy, premilo e poi incolla il contenuto su blocconote oppure direttamente qui

[natraninio]

allego i 2 log

[Amantide]

A quanto pare di file e voci pericolosi c'è solo il file lzx32.sys.

Scarica The Avenger, estrai archivio ed avvia il file Avenger.exe.
Seleziona l'opzione Input Script Manually, clicca sulla lente di ingrandimento e all'interno della finestra che si apre copia ed incolla queste righe:

Files to delete:
C:\WINDOWS\system32\lzx32.sys

Dopodiche clicca sul pulsante Done, poi 2 volte sull'icona del semaforo verde e rispondi due volte Yes .

Il pc dovrebbe riavviarsi da solo,se cosi non fosse riavvialo manualmente
Alla fine allegami il log di Avenger che si trova in C:/avenger.txt

[natraninio]

ecco il log
Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\isbasgka

*******************

Script file located at: \??\C:\ggvtoepg.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\lzx32.sys deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

mi sembra che il file non ce piu'
non capisco come mai explorer e' sempre lentissimo ad aprirsi
in sostanza non vedo differenze secondo me avevo sicuramente dei problemi che abbiamo risolto ma explorer lento e' dovuto da qualche altra cosa.
poi virit mi chiede se devo considerare attendibile un file che ho in c dal nome: bscknjic.bat
TI ALLEGO IMMAGINE CON I FILE CHE SONO FINITI IN C
http://img139.imageshack.us/my.php?image=forumcne2.png
mi dici per favore cosa devo eliminare sono file nati con tutti i lavori che abbiamo fatto
ho anche sul dex un collegamento reg run control service che mi mostra anche una R VERDE SULLA BARRA IN BASSO A DESTRA e un regrunplat 500b .exe mi possono servire o e' meglio che elimino tutto?
cosi faccio un po di pulizia allego immagine della tendina che mi apre LA R
http://img152.imageshack.us/my.php?image=rregrunfv1.png

[Amantide]

Mannaggia, hai ragione... non era l'unico file da eliminare.
Apri Hijackthis, premi Open the misc tools section, open ADS spy, nella finestra successive togli la spunta accanto a Quick scan e clicca Scan.
Al temine della scansione trova queste 2 voci:
C:\Documents and Settings\All Users\Dati applicazioni\TEMP:2A81F9CE
C:\Documents and Settings\All Users.WINDOWS\Dati applicazioni\TEMP:2A81F9CE

..evidenziali e premi Remove selected.

Poi scarica CCleaner (il link sta nell'articolo accanto a quello di Gmer), vai in Opzioni, deseleziona la voce Rimuovi i file in Windows Temp solo se più vecchi di 48 ore e fai la scansione per eliminare tutti i file temporanei (la prima voce a sinistra).

[Amantide]

P.S. Il RegRun Reanimator lo puoi anche disinstallare, è abbastanza difficile da configurare e da usare e ci sono le alternative migliori. Puoi tranquillamente disinstallarlo dal Pannello di controllo/Installazione applicazioni.

[natraninio]

eseguito cancellazione file con jachtis
ho scaricato ccleaner vedo che propone aggiornamento allego immagine
http://img259.imageshack.us/my.php?imag ... nerbs5.png
quale versione uso?

poi andando in opzioni non vedo l'opzione che mi hai consigliato
Rimuovi i file in Windows Temp solo se più vecchi di 48 ore

allego immagine:
http://img258.imageshack.us/my.php?imag ... nerlq7.png

poi guarda cosa mi e' uscito stasera dopo la pulizia con jachtis:
http://img394.imageshack.us/my.php?imag ... undmf4.png
ADULT FILES FOUND ON YOUR PC
oppure congratulazione sei il 999,9999 invitandomi a clikkare in un tranello.
giorni fa anche questo:
http://img253.imageshack.us/my.php?image=adultat5.png

poi questi file in c li posso eliminare ?
http://img139.imageshack.us/my.php?image=forumcne2.png

Ciao amantide a presto

[Amantide]

eseguito cancellazione file con jachtis
ho scaricato ccleaner vedo che propone aggiornamento allego immagine
http://img259.imageshack.us/my.php?imag ... nerbs5.png
quale versione uso?

Scarica l'ultima verisone del programma.

poi andando in opzioni non vedo l'opzione che mi hai consigliato
Rimuovi i file in Windows Temp solo se più vecchi di 48 ore

Opzioni--> Avanzate... Dopodiche clicca su Cleaner (il primo a sinistra).

poi guarda cosa mi e' uscito stasera dopo la pulizia con jachtis:
http://img394.imageshack.us/my.php?imag ... undmf4.png
ADULT FILES FOUND ON YOUR PC
oppure congratulazione sei il 999,9999 invitandomi a clikkare in un tranello.

Sembrerebbe uno di quel trabocchetti che ti invitano ad installare un programma che in verita risulta essere un trojan o spyware.
Scarica A-squared , aggiornalo e fai la scansione completa deil sistema.

poi questi file in c li posso eliminare ?

Se fra quelli ci sono i file pericolosi, verranno eliminati da A-squared.

Alla fine fai la scansione con Hijackthis e posta qui il log.

[natraninio]

allego scansione approfondita di squared
dimmi quale opzione scegliere fra elimina o metti in quarantena.
Ho visto che ha trovato anche dei programmi che ho installato
e quindi non so se eliminarli

[Amantide]

I TrackingCookie puoi eliminare tutti, Mirc ed il tool della Logitech puoi lasciare stare e per quanto riguarda Keylogger e Keykey... li hai installati tu? Sono i programmi con lama a doppio taglio, se perdi il controllo di questi programmi, puoi ritrovarti ad essere spiato a tua volta, quindi vedi tu se vuoi lasciarli. Per sicurezza tutti i file sospetti puoi mettere in quarantena, volendo potrai ripristinarli e in quella posizione non sono pericolosi.
Per il resto il computer come va?

[natraninio]

Ogni volta che faccio scansione con squared avast mi rileva un trojan e solo in quella occasione fino a ora. allego immagine virus
http://img320.imageshack.us/my.php?image=trojangx0.png
Ti allego il log di jachtis.
La macchina va meglio non ho ancora capito pero' perche explorer e' lentissimo ad aprirsi mentre invece mozilla e normale.

poi un'altra cosa nel tuo precedente post hai detto che :
se perdi il controllo di questi programmi, puoi ritrovarti ad essere spiato a tua volta.
Volevo capirne un po di piu' ...puoi spiegarmi qualcosina in piu?
Key looger lo ho installato io key key non so cosa sia comunque per ora inseriti tutti e 2 in quarantena in attesa di tue indicazioni piu' dettagliate per il rischio di essere spiati.
Grazie Amantide complimenti per la tua disponibilita' e per la tua chiarezza nei post.

Logfile of HijackThis v1.99.1
Scan saved at 18.49.58, on 15/12/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\VEXPLITE\viritsvc.exe
C:\Programmi\Analog Devices\SoundMAX\SMTray.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\VEXPLITE\MONLITE.EXE
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programmi\Paltalk Messenger\palstart.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\TONY E ROSS\Desktop\programmi\PROGRAMMI\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://it.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://it.rd.yahoo.com/customize/ie/def ... .yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://it.yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programmi\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Smapp] C:\Programmi\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programmi\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programmi\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [OpwareSE2] "C:\Programmi\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Programmi\Winamp\winampa.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [VIRIT LITE MONITOR] C:\VEXPLITE\MONLITE.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinDVR SchSvr] "C:\Programmi\File comuni\InterVideo\SchSvr\SchSvr.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] C:\Programmi\Logitech\Video\ManifestEngine.exe boot
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programmi\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: PalStart.lnk = C:\Programmi\Paltalk Messenger\palstart.exe
O8 - Extra context menu item: Aggiungi all'elenco di stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Anteprima Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Stampa ad alta velocitа Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: PalTalk - {4EAFEF58-EEFA-4116-983D-03B49BCBFFFE} - C:\Programmi\Paltalk Messenger\Paltalk.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Programmi\Yahoo!\Messenger\YahooMessenger.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Programmi\Yahoo!\Messenger\YahooMessenger.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resourc ... oscan8.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Virit eXplorer Lite (viritsvclite) - TG Soft Sas www.tgsoft.it - C:\VEXPLITE\viritsvc.exe

[Amantide]

L'avviso di Avast si riferisce al fine nella cartella dei file temporanei, la scansione con CCleaner dovrebbe risolvere questo problema.

poi un'altra cosa nel tuo precedente post hai detto che :
se perdi il controllo di questi programmi, puoi ritrovarti ad essere spiato a tua volta.
Volevo capirne un po di piu' ...puoi spiegarmi qualcosina in piu?
Key looger lo ho installato io key key non so cosa sia comunque per ora inseriti tutti e 2 in quarantena in attesa di tue indicazioni piu' dettagliate per il rischio di essere spiati.

Il Keykey eliminalo già ora, visto che non sei stato tu ad installarlo. Per il fatto di keylogger...bhe... non hai nemmeno il firewall decente installato e quindi qualche malintenzionato potrebbe sfruttare le falle delle porte aperte e ,non si sa mai, a prendere il controllo del programma.
Metti un buon firewall, Comodo Firewall o Zone Alarm, configuralo bene da passare i test sul sito di www.pcflank.com e, se hai bisogno, puoi anche "liberare" il Keylogger.

[natraninio]

IL Keykey non lo vedo ne in c ne in installazioni applicazioni io l'altro giorno ho detto a squared di metterlo in quarantena.
E' per quello che non lo vedo da nessuna parte?
Come tu ben sai il keylogger registra tutto quelo che scrivi e quello che si fa con la macchina
il rischio di avere questo programma e che se qualche malintenzionato prende il controllo della mia macchina tramite il keylogger cosa vuol dire che vede quello che scrivo ad esempio?
poi cosa vuol dire poter se voglio liberare il keylogger
Per il resto volevo sapere cosa ne pensi della scansione di jachtis che tho allegato
e' tutto a posto ora?
Mi rimane da capire come mai explorer e' lento da morire.
Grazie

[Amantide]

IL Keykey non lo vedo ne in c ne in installazioni applicazioni io l'altro giorno ho detto a squared di metterlo in quarantena.
E' per quello che non lo vedo da nessuna parte?

Si.

Come tu ben sai il keylogger registra tutto quelo che scrivi e quello che si fa con la macchina
il rischio di avere questo programma e che se qualche malintenzionato prende il controllo della mia macchina tramite il keylogger cosa vuol dire che vede quello che scrivo ad esempio?

Si.

poi cosa vuol dire poter se voglio liberare il keylogger

Vai nella cartella di quarantena di A-squared e ripristina i file relativi al Keylogger.

Per il resto volevo sapere cosa ne pensi della scansione di jachtis che tho allegato
e' tutto a posto ora?

A guardare il log di Hijackthis sembrerebbe di si.

Mi rimane da capire come mai explorer e' lento da morire.

Non saprei dirti.
Ma va lento solo IE oppure intero pc? Ma poi, non è meglio passare completamente ad Opera o Firefox?

[natraninio]

va lento solo IE
mozilla va bene.
quel virus temporaneo continua a comparirmi anche dopo ccleaner.
Grazie

[sissifra]

Aiuto. Il mio antivirus (antivir) mi rileva TR/rootkit.gen ma non riesce a rimuoverlo. Come posso fare?
Grazie.
Saluti.