Sospetta infezione da Gromozon

[Jaadre]

Allora cercherò di ricordare il più dettagliatamente possibile ciò che ho fatto, in modo da aiutarti ad aiutarmi...

Dunque, una volta eseguito il comando user passwords2, ho provveduto a cancellare uno dei tre account che comparivano nella finistra (era un account non appartenente al gruppo "administrators"), e, se ricordo bene, ho cambiato il profilo dell'account "Arlecchino" in modo che risultasse anch'esso facente parte del gruppo administrators come l'account "Administrator", secondo ed ultimo presente nella lista.

Per quanto riguarda il programma che mi hai appena segnalato, non riesco a scaricarlo, pur avendo eseguito l'accesso al forum; in ogni caso, mi è parso di capire che devo scaricare sia "MegaLab CD" che "MegaLab cd utility", ma come faccio a creare un cd "bootante" con due diversi file immagine?

Un'ultima cosa: la procedura di recupero password che ho eseguito ieri, dunque, non è andata a buon fine, è così?
Speravo soltanto che, per incompetenza, io avessi usato troppa cautela, ma che in realtà le cose fossero andate bene. Immagino non sia così...

Resto completamente nelle vostre mani. Ancora un grazie.

[crazy.cat]

Per quanto riguarda il programma che mi hai appena segnalato, non riesco a scaricarlo, pur avendo eseguito l'accesso al forum

http://www.MegaLab.it/2996

Codice: Seleziona tutto

 in ogni caso, mi è parso di capire che devo scaricare sia "MegaLab CD" che "MegaLab cd utility", ma come faccio a creare un cd "bootante" con due diversi file immagine?

Leggi bene l'articolo, una volta estratto il contenuto dei zip, e seguito le varie procedure ne risulta alla fine un unica immagine iso e quindi un solo cd finale.

Codice: Seleziona tutto

Un'ultima cosa: la procedura di recupero password che ho eseguito ieri, dunque, non è andata a buon fine, è così?

no è andata male.

L'unica soluzione che vedo è il cd di boot.

[Jaadre]

Ciao Crazy,
credo di aver risolto, finalmente: con il cd di boot che mi hai suggerito di fare, ho potuto effettuare velocemente e facilmente il cambio di password. È stato anche molto più comodo rispetto al precedente. Grazie infinite ancora una volta.

Adesso i miei problemi peggiori riguardano gli account di windowsXP: sai se posso esporre in questa discussione oramai aperta eventuali problemi di natura gestionale su questi benedetti accounts, e sulle cartelle di destinazione che si trovano nella directory "Documents and Settings"?
Magari successivamente vi chiederò come concludere l'eliminazione del virus che mi ha portato ad aprire la discussione, se credete ce ne sia la necessità.

Per esporre il problema in modo semplice e chiaro, inoltre, avrei ancora bisogno di un suggerimento su come ottenere delle screen shots, perché pare che il tasto stamp non funzioni.

Saluti e a presto.

[crazy.cat]

Adesso i miei problemi peggiori riguardano gli account di windowsXP: sai se posso esporre in questa discussione oramai aperta eventuali problemi di natura gestionale su questi benedetti accounts, e sulle cartelle di destinazione che si trovano nella directory "Documents and Settings"?
Per esporre il problema in modo semplice e chiaro, inoltre, avrei ancora bisogno di un suggerimento su come ottenere delle screen shots, perché pare che il tasto stamp non funzioni.

Per gli screenshot
http://www.MegaLab.it/2456
per gli utenti apri una discussione in windows, altrimenti usciamo completamente dal tema iniziale.

[Jaadre]

Ciao,
vorrei riprendere, se è possibile, la disinfestazione del pc da dove l'avevamo lasciata prima che io combinassi quel macello con gli account utente, che grazie al vostro aiuto ed alle vostre indicazioni ho potuto risolvere; questo è quanto scriveva BilloKenoby prima del danno:

sì, anche se VirIt ha fatto molto credo ci sia qualcosa da fare ancora

Sempre in merito all'infezione da Gromozon, o comunque in merito alla pulizia del pc da virus e "compagnia bella", non so se c'entra qualcosa o può esser degno di nota, ma ho notato che spesso e volentieri i nomi dei files si colorano di blu, in modo del tutto casuale, almeno credo.
Ecco una schermata per darvi un esempio:


Grazie e a presto

[Amantide]

Ci sei riuscito alla fine ad eseguire Systemscan? Il suo log sarebbe veramente molto utile per capire di cosa si tratta.

Se non riuscirai ad eseguire Syspemscan, fai la scansione con WinPFind ed allega qui il suo log.

[Jaadre]

Ciao Amantide,
grazie per la pazienza e per l'aiuto!

Questo è ciò che mi appare se tento di fare una scansione con SystemScan:



E qui invece ecco il log ottenuto con winpfind:

EDIT: file rimosso per ragioni di privacy: chi volesse visionarlo può chiedermelo in pvt. Grazie e ciao!

[Amantide]

Purtroppo nel log di WinPFind si vede poco e nulla.
Per quanto riguarda l'errore di seDebugPrivilege prova ad eseguire questo tool e riavviare il pc e dopo riprova ad usare Systemscan.

[Jaadre]

Ciao Amantide,
al solito grazie! (sto diventando banale e ripetitivo, ma almeno spero di rendere l'idea della gratitudine )

Scusa per il ritardo nella risposta ma sono stato due settimane fuori casa e ho eseguito quel tool soltanto oggi.

Di seguito il log del systemscan (mi pare un bel po' lungo...):

EDIT: file rimosso per ragioni di privacy: chi volesse visionarlo può chiedermelo in pvt. Grazie e ciao!

[Jaadre]

Se può essere di qualche utilità, ho appena fatto una scansione completa dell'hard disk con Avast 4.7 pro, e, oltre ad aver trovato vari file che non possono essere scansionati perché facenti parte di archivi corrotti (il che non so quanto possa essere sospetto...), è stato trovato un file infetto da "WIN32:AGENT-EID", che l'antivirus individua come trojan.

[Amantide]

Scusa per il ritardo nella risposta ma sono stato due settimane fuori casa e ho eseguito quel tool soltanto oggi.

Non ti devi scusare, perché tanto ultimamente sono poco disponibile anche io... e sembra che i "miei" casi non se li vuole "filare" nessuno

Allora, intanto scarica The Avenger, estrai archivio in una cartella ed avvia il file Avenger.exe.
Seleziona l'opzione Input Script Manually, clicca sulla lente di ingrandimento e all'interno del form copia ed incolla questo script:

Files to delete:
C:\Programmi\Windows NT\BbA.exe
C:\Programmi\Windows NT\FAl.exe
C:\Programmi\Windows NT\FxS.exe
C:\Programmi\Windows NT\gtnR.exe
C:\Programmi\Windows NT\hSd.exe
C:\Programmi\Windows NT\IaE.exe
C:\Programmi\Windows NT\Idj.exe
C:\Programmi\Windows NT\ipY.exe
C:\Programmi\Windows NT\jrz.exe
C:\Programmi\Windows NT\JxL.exe
C:\Programmi\Windows NT\ksCgIU.exe
C:\Programmi\Windows NT\LjY.exe
C:\Programmi\Windows NT\lPh.exe
C:\Programmi\Windows NT\LSl.exe
C:\Programmi\Windows NT\LZkn.exe
C:\Programmi\Windows NT\MsH.exe
C:\Programmi\Windows NT\MzooCT.exe
C:\Programmi\Windows NT\NNU.exe
C:\Programmi\Windows NT\OAp.exe
C:\Programmi\Windows NT\pWtCy.exe
C:\Programmi\Windows NT\PZmKKe.exe
C:\Programmi\Windows NT\QeN.exe
C:\Programmi\Windows NT\rhv.exe
C:\Programmi\Windows NT\SIoG.exe
C:\Programmi\Windows NT\Sne.exe
C:\Programmi\Windows NT\Tbl.exe
C:\Programmi\Windows NT\TJf.exe
C:\Programmi\Windows NT\tMlK.exe
C:\Programmi\Windows NT\ufg.exe
C:\Programmi\Windows NT\vAr.exe
C:\Programmi\Windows NT\vQo.exe
C:\Programmi\Windows NT\wGt.exe
C:\Programmi\Windows NT\WtpK.exe
C:\Programmi\Windows NT\xHq.exe
C:\Programmi\Windows NT\XHT.exe
C:\Programmi\Windows NT\xwtUl.exe
C:\Programmi\Windows NT\YHTOZ.exe
C:\Programmi\Windows NT\yNz.exe

Dopodichè clicca sul pulsante Done, poi 2 volte sull'icona del semaforo verde e rispondi alle successive domande Si .
Il pc dovrebbe riavviarsi da solo,se cosi non fosse riavvialo manualmente.
Alla fine allegami il log di Avenger che si trova in C:/avenger.txt

è stato trovato un file infetto da "WIN32:AGENT-EID", che l'antivirus individua come trojan.

Per caso hai annotato il nome ed il percorso di questo file?

Se ancora non ti sei scocciato a fare le scansioni varie, mi puoi fare anche la scansione completa con Kaspersky online ed allegare qui il suo log?
Fai anche la scansione dalla modalita provvisoria con CCleaner (serve a svuotare le cartelle dei file temporanei) ed anche un altra con Virit aggiornato.

P.S. Il file downloader.exe che hai sul desktop l'hai messo tu?

[antonio]

Non ti devi scusare, perché tanto ultimamente sono poco disponibile anche io... e sembra che i "miei" casi non se li vuole "filare" nessuno Triste

Amantide cosa ti è successo????

[Amantide]

Non ti devi scusare, perché tanto ultimamente sono poco disponibile anche io... e sembra che i "miei" casi non se li vuole "filare" nessuno Triste

Amantide cosa ti è successo????

Stò ripassando il programma scolastico al mio figlio

[Jaadre]

... Alla fine allegami il log di Avenger che si trova in C:/avenger.txt

Ok, tutto fatto: il log è a fondo pagina.

è stato trovato un file infetto da "WIN32:AGENT-EID", che l'antivirus individua come trojan.

Per caso hai annotato il nome ed il percorso di questo file?

Sì: è stato messo in quarantena ed il percorso è:
C:\Documents and Settings\Administrator\Desktop\da salvare\Antivirus, Monitoraggio e Utilità varie\Antivirus avast 4.6.665.rar\Antivirus avast version 4.6.665.

Se ancora non ti sei scocciato a fare le scansioni varie, mi puoi fare anche la scansione completa con Kaspersky online ed allegare qui il suo log?

Ci ho provato, ma non è partita; ma poi, non è un po' troppo invasiva per la mia privacy? Se tu dici che quel log è molto importante, riprovo immediatamente a fare la scansione, ma io preferirei non effettuarla, se non assolutamente necessaria.

Fai anche la scansione dalla modalita provvisoria con CCleaner (serve a svuotare le cartelle dei file temporanei) ed anche un altra con Virit aggiornato.

Fatto anche questo.

P.S. Il file downloader.exe che hai sul desktop l'hai messo tu?

Sì, lo volevo usare per fare una cosa, ora l'ho rimosso perché non mi serve più.

EDIT: file rimosso per ragioni di privacy: chi volesse visionarlo può chiedermelo in pvt. Grazie e ciao!

[Amantide]

Ok, i file da eliminare sono stati eliminati.

Se ancora non ti sei scocciato a fare le scansioni varie, mi puoi fare anche la scansione completa con Kaspersky online ed allegare qui il suo log?

Ci ho provato, ma non è partita; ma poi, non è un po' troppo invasiva per la mia privacy? Se tu dici che quel log è molto importante, riprovo immediatamente a fare la scansione, ma io preferirei non effettuarla, se non assolutamente necessaria.

Beh... dal momento che uno chiede l'aiuto al tecnico, qualcuno del forum o chi sia... deve accettare l'idea che i suoi dati privati non saranno più molto privati
Se non ti va - non farlo, al limite tutti i log, dopo che io o qualcun altro li avrà esaminati, potrai anche rimuoverli

Fai anche la scansione dalla modalita provvisoria con CCleaner (serve a svuotare le cartelle dei file temporanei) ed anche un altra con Virit aggiornato.

Fatto anche questo.

Virit ha trovato qualcosa?

[Jaadre]

Beh... dal momento che uno chiede l'aiuto al tecnico, qualcuno del forum o chi sia... deve accettare l'idea che i suoi dati privati non saranno più molto privati

Certo, dolcissima Amantide, non fraintendermi: ci mancherebbe che tu, o chiunque altro voglia aiutarmi, non dobbiate entrare in possesso di informazioni che io vorrei rimanessero private! È il minimo...
Però, relativamente a Kaspersky, il discorso è diverso: qui siete in poche persone, e anche gentili e disponibili... ma l'idea di farmi fare una scansione di tutto l'hdd su internet -non so se mi comprendi- è abbastanza dura da accettare!
Però, se tu dici che questa scansione è importante e che la mia privacy non corre più rischi di quanti non ne abbia corso fin qui, be' allora, per mille balene, la farò![:D]

Per quanto riguarda VirIt, non ha trovato niente, ma i 30 giorni di utilizzo gratuito sono scaduti: non so se c'entra qualcosa...

Come al solito un grazie di cuore!

P.S.: non so quanto possa essere rilevante, ma una cosa di cui non mi sono mai curato più di tanto, è il fatto che un'enorme porzione dei file sul mio pc, da un certo momento in poi, ha sempre avuto il titolo (il nome del file) colorato di blu! (credo qualche mese appunto)
Per esempio, nella cartella dove risiede il programma antivirus avast in archivio rar, tutti gli altri file sono "normali" ed hanno il nome in carattere nero, mentre avast ce l'ha blu. Che significhi qualcosa?

[Amantide]

ma l'idea di farmi fare una scansione di tutto l'hdd su internet -non so se mi comprendi- è abbastanza dura da accettare!
Però, se tu dici che questa scansione è importante e che la mia privacy non corre più rischi di quanti non ne abbia corso fin qui, be' allora, per mille balene, la farò![:D]

Guarda che i log che metti allegati qui sul forum sono più esposti agli occhi dei malintenzionati, che le scansioni fatte con gli antivirus online. Tanto siamo spiati costantemente, sempre ed ovunque ed a questo punto sinceramente non saprei consigliarti altro.

Per quanto riguarda VirIt, non ha trovato niente, ma i 30 giorni di utilizzo gratuito sono scaduti: non so se c'entra qualcosa...

Con il programma "scaduto" puoi sempre continuare ad effettuare le scansioni, non potrai solo rimuovere gli eventuali file maligni.

P.S.: non so quanto possa essere rilevante, ma una cosa di cui non mi sono mai curato più di tanto, è il fatto che un'enorme porzione dei file sul mio pc, da un certo momento in poi, ha sempre avuto il titolo (il nome del file) colorato di blu! (credo qualche mese appunto)
Per esempio, nella cartella dove risiede il programma antivirus avast in archivio rar, tutti gli altri file sono "normali" ed hanno il nome in carattere nero, mentre avast ce l'ha blu. Che significhi qualcosa?

Di solito con il colore blu vengono evidenziati i file criptati e compressi. Forse avrai attivato l'opzione della compressione dei file per recuperare un po' di spazio. Prova ad andare in Opzioni cartella--> Visualizzazione e deseleziona la voce Visualizza i file NTFS compressi o crittografati con un colore diverso e vedi se quei file cambieranno il colore.