win32.beagle.DZ

[njk]

AIUTO QUALCUNO MI AIUTI CAVALLO DI TROJA CON FANTINO,MI HA BLOCCATO GLI ANTIVIRUS E LA MODALITA' PROVVISORIA CHE FACCIO.GRAZIE

[Amantide]

Per prima cosa scarica questo programma, GMER.
Estrailo sul desktop e clicca su gmer.exe.
Su in cima seleziona prima la scheda Autostart, a destra spunta Show all e poi clicca su Scan.
A scansione completata clicca sul tasto Copy, poi vieni qui sul forum ed incolla il risultato, che viene chiamato Log.
Ripeti la stessa operazione sulla scheda Rootkit.
Aspetto i risultati della scansione.

[njk]

GMER non lo trovo nel sito mi rimbalza in un altro sito io ho Avenger va bene lo stesso

[Amantide]

No, avenger servirà nella tappa sucessiva.

Scarica Gmer da questo allegato, poi lo rimuovo.

***edit***
Visto che è stato scaricato addirittura per 13 volte, non lo rimuovo più

[njk]

Ho diversi programmi x lo scan... stinger,Fxbeagle,noadware secondo te cosa si avvicina ad gmer

[njk]

ok ci provo grazie

[njk]

ok lo sta facendo cosa faccio copia incolla oppure copy e dopo?
scusa sono una frana

[njk]

io ho 3 spartizioni nel pc cosa faccio solo sulla c: dove è installato windows o su tutto

[njk]

GMER 1.0.12.12011 - http://www.gmer.net
Autostart scan 2007-01-12 23:22:23
Windows 5.1.2600 Service Pack 2


HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems@Windows = %SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon@Userinit = C:\WINDOWS\system32\userinit.exe,

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\AtiExtEvent@DLLName = Ati2evxx.dll

HKLM\SYSTEM\CurrentControlSet\Services\ >>>
ATI Smart /*ATI Smart*/@ = C:\WINDOWS\system32\ati2sgag.exe
CiSvc /*Servizio di indicizzazione*/@ = %SystemRoot%\system32\cisvc.exe
Creative Service for CDROM Access /*Creative Service for CDROM Access*/@ = C:\WINDOWS\system32\CTsvcCDA.exe
NetDDE /*DDE di rete*/@ = %SystemRoot%\system32\netdde.exe
RoxLiveShare /*LiveShare P2P Server*/@ = "C:\Programmi\File comuni\Roxio Shared\SharedCOM8\RoxLiveShare.exe"
RoxUpnpServer /*RoxUpnpServer*/@ = "C:\Programmi\Roxio\Easy Media Creator 8\Digital Home\RoxUpnpServer.exe"
RoxWatch /*Roxio Hard Drive Watcher*/@ = "C:\Programmi\File comuni\Roxio Shared\SharedCOM8\RoxWatch.exe"
ScsiPort@ = %SystemRoot%\system32\drivers\scsiport.sys
Spooler /*Spooler di stampa*/@ = %SystemRoot%\system32\spoolsv.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run >>>
@BluetoothAuthenticationAgentrundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent = rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
@ISUSScheduler"C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start = "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
@ISUSPM Startup"C:\Programmi\File comuni\InstallShield\UpdateService\isuspm.exe" -startup = "C:\Programmi\File comuni\InstallShield\UpdateService\isuspm.exe" -startup
@RoxioDragToDisc"C:\Programmi\Roxio\Easy Media Creator 8\Drag to Disc\DrgToDsc.exe" = "C:\Programmi\Roxio\Easy Media Creator 8\Drag to Disc\DrgToDsc.exe"
@RoxWatchTray"C:\Programmi\File comuni\Roxio Shared\SharedCOM8\RoxWatchTray.exe" = "C:\Programmi\File comuni\Roxio Shared\SharedCOM8\RoxWatchTray.exe"
@CnxDslTaskBar"C:\Programmi\digicomt\Michelangelo USB ADSL\CnxDslTb.exe" = "C:\Programmi\digicomt\Michelangelo USB ADSL\CnxDslTb.exe"

HKCU\Software\Microsoft\Windows\CurrentVersion\Run >>>
@Creative DetectorC:\Programmi\Creative\MediaSource\Detector\CTDetect.exe /R = C:\Programmi\Creative\MediaSource\Detector\CTDetect.exe /R
@drvsyskitC:\Documents and Settings\NJK\Dati applicazioni\hidires\hidr.exe = C:\Documents and Settings\NJK\Dati applicazioni\hidires\hidr.exe
@ccleaner"C:\Programmi\CCleaner\ccleaner.exe" /AUTO /*file not found*/ = "C:\Programmi\CCleaner\ccleaner.exe" /AUTO /*file not found*/

HKLM\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad@WPDShServiceObj = C:\WINDOWS\system32\WPDShServiceObj.dll

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved >>>
@{42071714-76d4-11d1-8b24-00a0c9068ff3} /*Estensione panoramica video del Pannello di controllo*/deskpan.dll /*file not found*/ = deskpan.dll /*file not found*/
@{32683183-48a0-441b-a342-7c2a440a9478} /*Media Band*/(null) =
@{0006F045-0000-0000-C000-000000000046} /*Microsoft Outlook Custom Icon Handler*/C:\PROGRA~1\MICROS~3\Office\OLKFSTUB.DLL = C:\PROGRA~1\MICROS~3\Office\OLKFSTUB.DLL
@{596AB062-B4D2-4215-9F74-E9109B0A8153} /*Previous Versions Property Page*/C:\WINDOWS\System32\twext.dll = C:\WINDOWS\System32\twext.dll
@{9DB7A13C-F208-4981-8353-73CC61AE2783} /*Previous Versions*/C:\WINDOWS\System32\twext.dll = C:\WINDOWS\System32\twext.dll
@{692F0339-CBAA-47e6-B5B5-3B84DB604E87} /*Extensions Manager Folder*/C:\WINDOWS\System32\extmgr.dll = C:\WINDOWS\System32\extmgr.dll
@{32020A01-506E-484D-A2A8-BE3CF17601C3} /*AlcoholShellEx*/C:\PROGRA~1\ALCOHO~1\ALCOHO~1\AXShlEx.dll = C:\PROGRA~1\ALCOHO~1\ALCOHO~1\AXShlEx.dll
@{B41DB860-8EE4-11D2-9906-E49FADC173CA} /*WinRAR shell extension*/C:\Programmi\WinRAR\rarext.dll = C:\Programmi\WinRAR\rarext.dll
@{00E7B358-F65B-4dcf-83DF-CD026B94BFD4} /*Autoplay for SlideShow*/(null) =
@{E0D79304-84BE-11CE-9641-444553540000} /*WinZip*/C:\PROGRA~1\WINZIP\WZSHLSTB.DLL = C:\PROGRA~1\WINZIP\WZSHLSTB.DLL
@{E0D79305-84BE-11CE-9641-444553540000} /*WinZip*/C:\PROGRA~1\WINZIP\WZSHLSTB.DLL = C:\PROGRA~1\WINZIP\WZSHLSTB.DLL
@{E0D79306-84BE-11CE-9641-444553540000} /*WinZip*/C:\PROGRA~1\WINZIP\WZSHLSTB.DLL = C:\PROGRA~1\WINZIP\WZSHLSTB.DLL
@{E0D79307-84BE-11CE-9641-444553540000} /*WinZip*/C:\PROGRA~1\WINZIP\WZSHLSTB.DLL = C:\PROGRA~1\WINZIP\WZSHLSTB.DLL
@{FC9FB64A-1EB2-4CCF-AF5E-1A497A9B5C2D} /*Messenger Sharing Folders*/C:\Programmi\MSN Messenger\fsshext.8.0.0812.00.dll = C:\Programmi\MSN Messenger\fsshext.8.0.0812.00.dll
@{5E44E225-A408-11CF-B581-008029601108} /*Roxio DragToDisc Shell Extension*/C:\Programmi\Roxio\Easy Media Creator 8\Drag to Disc\Shellex.dll = C:\Programmi\Roxio\Easy Media Creator 8\Drag to Disc\Shellex.dll
@{0FB82570-BB2D-23D3-8D3B-AC2F34F1FA3C} /*RXDCExtShlExt extension*/C:\Programmi\Roxio\Easy Media Creator 8\Virtual Drive\DC_ShellExt.dll = C:\Programmi\Roxio\Easy Media Creator 8\Virtual Drive\DC_ShellExt.dll
@{35786D3C-B075-49b9-88DD-029876E11C01} /*Portable Devices*/%SystemRoot%\system32\wpdshext.dll = %SystemRoot%\system32\wpdshext.dll
@{D6791A63-E7E2-4fee-BF52-5DED8E86E9B8} /*Portable Devices Menu*/%SystemRoot%\system32\wpdshext.dll = %SystemRoot%\system32\wpdshext.dll
@{4AFB2C13-9D16-4478-AEF4-C3FC539961E4} /*Zen Vision:M Media Explorer*/C:\Programmi\Creative\Creative Zen Vision M\SHCTMTP.dll = C:\Programmi\Creative\Creative Zen Vision M\SHCTMTP.dll

HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved@{BDEADF00-C265-11d0-BCED-00A0C90AB50F} /*Cartelle Web*/ = C:\PROGRA~1\FILECO~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\ >>>
CTMTPMediaExplorer@{7895F317-A125-42CC-BD3E-5830765CE577} = C:\PROGRA~1\Creative\SHARED~1\CtCmeCtx.dll
RXDCExtSvr@{0FB82570-BB2D-23D3-8D3B-AC2F34F1FA3C} = C:\Programmi\Roxio\Easy Media Creator 8\Virtual Drive\DC_ShellExt.dll
WinRAR@{B41DB860-8EE4-11D2-9906-E49FADC173CA} = C:\Programmi\WinRAR\rarext.dll
WinZip@{E0D79304-84BE-11CE-9641-444553540000} = C:\PROGRA~1\WINZIP\WZSHLSTB.DLL

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\ >>>
WinRAR@{B41DB860-8EE4-11D2-9906-E49FADC173CA} = C:\Programmi\WinRAR\rarext.dll
WinZip@{E0D79304-84BE-11CE-9641-444553540000} = C:\PROGRA~1\WINZIP\WZSHLSTB.DLL

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\ >>>
CTMTPMediaExplorer@{7895F317-A125-42CC-BD3E-5830765CE577} = C:\PROGRA~1\Creative\SHARED~1\CtCmeCtx.dll
RXDCExtSvr@{0FB82570-BB2D-23D3-8D3B-AC2F34F1FA3C} = C:\Programmi\Roxio\Easy Media Creator 8\Virtual Drive\DC_ShellExt.dll
WinRAR@{B41DB860-8EE4-11D2-9906-E49FADC173CA} = C:\Programmi\WinRAR\rarext.dll
WinZip@{E0D79304-84BE-11CE-9641-444553540000} = C:\PROGRA~1\WINZIP\WZSHLSTB.DLL

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects >>>
@{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx = C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
@{9030D464-4C02-4ABF-8ECC-5164760863C6}C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll = C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

HKCU\Control Panel\Desktop@SCRNSAVE.EXE = C:\WINDOWS\1NUTTY~1.SCR /*file not found*/

HKLM\Software\Microsoft\Internet Explorer\Plugins\Extension\.spop@Location = C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll

HKLM\Software\Microsoft\Internet Explorer\Main >>>
@Default_Page_URLhttp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
@Start Pagehttp://www.libero.it/ = http://www.libero.it/
@Local Page\blank.htm = \blank.htm

HKCU\Software\Microsoft\Internet Explorer\Main >>>
@Default_Page_URLhttp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome = http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
@Start Pagehttp://www.libero.it/ = http://www.libero.it/
@Local Page\blank.htm = \blank.htm

HKLM\Software\Classes\PROTOCOLS\Handler\ >>>
dvd@CLSID = C:\WINDOWS\system32\msvidctl.dll
its@CLSID = C:\WINDOWS\System32\itss.dll
livecall@CLSID = C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
mhtml@CLSID = %SystemRoot%\System32\inetcomm.dll
ms-its@CLSID = C:\WINDOWS\System32\itss.dll
msnim@CLSID = C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
tv@CLSID = C:\WINDOWS\system32\msvidctl.dll
wia@CLSID = C:\WINDOWS\System32\wiascr.dll

HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000004@LibraryPath = %SystemRoot%\system32\wshbth.dll

C:\Documents and Settings\NJK\Menu Avvio\Programmi\Esecuzione automatica = Stop Dialers.lnk

C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica = Microsoft Office.lnk

---- EOF - GMER 1.0.12 ----

[njk]

ci sono riuscito

[njk]

adesso ti mando l'altro se non riesci x stasera no problem domani lo vediamo

[njk]

e molto lento sinceramente mi spiace come ti ho scritto sopra lo allego e quando puoi mi rispondi,sei già stata molto paziente

[njk]

non riesco con rootkit show all non è attivo come faccio?

[Amantide]

Nel log di Autostart si vede pochissimo ma proviamo lo stesso. Dopo aver testato personalmente Bagle oramai so dove va ad insediarsi.
Ora scarica The Avenger, estrai archivio sul desktop ed avvia il file Avenger.exe.
Seleziona l'opzione Input Script Manually, clicca sulla lente di ingrandimento e all'interno della finestra che si apre copia ed incolla queste righe:
Files to delete:
C:\Documents and Settings\NJK\Dati applicazioni\hidires\m_hook.sys
C:\WINDOWS\system32\hldrrr.exe
C:\Documents and Settings\NJK\Dati applicazioni\hidires\hidr.exe
C:\WINDOWS\system32\wintems.exe

folders to delete:
C:\Documents and Settings\NJK\Dati applicazioni\hidires
C:\WINDOWS\exefld

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\m_hook
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK

registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | hldrrr

Dopodiche clicca sul pulsante Done, poi 2 volte sull'icona del semaforo verde e rispondi due volte Yes .

Il pc dovrebbe riavviarsi da solo, se cosi non fosse riavvialo manualmente.
Alla fine allegami il log di Avenger che appare al riavvio del pc, è lo stesso che si trova anche in C:/avenger.txt

Dovresti anche riabilitare manualmente questi servizi terminati:

Windows Firewall
Centro sicurezza PC
Aggiornamenti automatici
Connessioni di rete
Zero Configuration reti senza fili
Avvisi
Basta che vai su Start Esegui scrivi SERVICES.MSC Ok
Scegli il servizio da abilitare tasto destro sopra Proprieta Automatico Ok Avvia Ok.

Alla fine scarica questo archivio, estrailo e clicca sul file .reg. Serve per ripristinare uso della modalità provvisoria.

***EDIT***
Dimenticavo... per finire le pulizie scarica ed installa CCleaner per ripulire i file temporanei, Bagle lascia un po' di schifezze in giro per il computer.

[njk]

provo e ti dipo x il momento grazie per l'impegno

[njk]

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\jiigekaj

*******************

Script file located at: \??\C:\WINDOWS\system32\ddjkwbss.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\Documents and Settings\NJK\Dati applicazioni\hidires\m_hook.sys deleted successfully.


File C:\WINDOWS\system32\hldrrr.exe not found!
Deletion of file C:\WINDOWS\system32\hldrrr.exe failed!

Could not process line:
C:\WINDOWS\system32\hldrrr.exe
Status: 0xc0000034

File C:\Documents and Settings\NJK\Dati applicazioni\hidires\hidr.exe deleted successfully.


File C:\WINDOWS\system32\wintems.exe not found!
Deletion of file C:\WINDOWS\system32\wintems.exe failed!

Could not process line:
C:\WINDOWS\system32\wintems.exe
Status: 0xc0000034

Folder C:\Documents and Settings\NJK\Dati applicazioni\hidires deleted successfully.


Folder C:\WINDOWS\exefld not found!
Deletion of folder C:\WINDOWS\exefld failed!

Could not process line:
C:\WINDOWS\exefld
Status: 0xc0000034

Registry key HKLM\SYSTEM\CurrentControlSet\Services\m_hook deleted successfully.
Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK deleted successfully.


Could not delete registry value HKLM\Software\Microsoft\Windows\CurrentVersion\Run|hldrrr
Deletion of registry value HKLM\Software\Microsoft\Windows\CurrentVersion\Run|hldrrr failed!
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

[njk]

[njk]

non mi fà abilitare firewall anch eprotezione x virus disabilitato e la modalità provvisoria non si apre. Il reg non me lo fà aprire io lo solo aggiunto cliccando e trascinandolo sopra ho fatto bene?

[BilloKenobi]

questo è un forum, non un chat su 18 post 15 sono tuoi

c'è un pulsante per la modifica dei precedenti messaggi

[Amantide]

Windows Firewall ,non lo trovo come mai?grazie njk

Prova a cercare la voce come Firewall/Condivisione connessione internet(ICS).

non mi fà abilitare firewall anch eprotezione x virus disabilitato

Vedi sopra per firewall, inoltre avvia il servizio Centro sicurezza PC.

e la modalità provvisoria non si apre. Il reg non me lo fà aprire io lo solo aggiunto cliccando e trascinandolo sopra ho fatto bene?

Se hai cliccato sopra al file .reg ed hai ricevuto il messaggio che l chiavi del registro sono state aggiunte, allora è tutto ok. E' fondamentale però riavvio del sistema per apportare le modifiche.

P.S. Ora dovresti reinstallare daccapo antivirus ed anche firewall. Ti consiglio Antivir e Zone Alarm.
P.S2. Segui il consiglio di BilloKenobi.