WIN VIRUS-TROJAN

[Sir_Dado]

Ciao ragazzi! sono tutti i ferie..gli unici che mi fanno compagnia sono i virus..ma non vanno in ferie pure loro?

ecco quanto mi accade:
se entro nella cartella temp mi appare questa finestra...molto stano vero?



per curiosità personale sono andato impostazioni locali e... cosa sono tutte queste cose? mai viste prima...


il pc funziona benissimo ma non vorrei che ci fosse dentro qualche strano soggetto...

grazie per la collaborazione!

[crazy.cat]

per curiosità personale sono andato impostazioni locali e... cosa sono tutte queste cose? mai viste prima

Non ho capito dove si trovano queste cose?

Abilita la visione delle estensioni per i file nelle proprietà delle cartelle e poi guarda che ulteriore estensione hanno i file .tmp

Potrebbe esserci un problema.

Fi già anche una scansione con hijackthis e posta qui il log così guadagnamo tempo.

[Sir_Dado]

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 10.23.22, on 03/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Programmi\TomTom HOME\TomTomHOME.exe
C:\Programmi\MSN Messenger\usnsvc.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Java\jre1.5.0_11\bin\jucheck.exe
I:\Davide\ANTIVIRUS\HiJackThis\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: TomTom HOME.lnk = C:\Programmi\TomTom HOME\TomTomHOME.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.5.0) - http://javadl-esd.sun.com/update/1.5.0/ ... 586-jc.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O20 - Winlogon Notify: winzzc32 - C:\WINDOWS\SYSTEM32\winzzc32.dll
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 5355 bytes

[crazy.cat]

Il log è pulito, ma non mi hai risposto a queste cose.

per curiosità personale sono andato impostazioni locali e... cosa sono tutte queste cose? mai viste prima

Non ho capito dove si trovano queste cose?

Abilita la visione delle estensioni per i file nelle proprietà delle cartelle e poi guarda che ulteriore estensione hanno i file .tmp

[Sir_Dado]

ah, ok...

il percorso dei file (winE.tmp , winF.tmp...etc) é:
C/WINDOWS/Temp

per di + ora noto un file .txt c ontente questa dicitura:
D446F964-542-80004005_D446F964-441-80004005_D4

mentre quello delle lingue in formato.BIN é:

C:/Documents and Settings/Davide/Impostazioni Locali/Temp

Abilita la visione delle estensioni per i file nelle proprietà delle cartelle e poi guarda che ulteriore estensione hanno i file .tmp

in che senso? sono già abilitate...

[crazy.cat]

in che senso? sono già abilitate...

No, guarda bene le foto.
I vari .tmp potrebbero avere un ulteriore estensione .exe

[Sir_Dado]

in che senso? sono già abilitate...

No, guarda bene le foto.
I vari .tmp potrebbero avere un ulteriore estensione .exe

ho cliccato su tasto dx per vedere le proprietà e sono file .tmp e non hanno ulteriori estensioni...
poi le ho messe in elenco come ho fatto con l'altra foto e non mi appare nessuna uleriore estensione .exe.
ma continuano a non piacermi..li cancello e uno rimane sempre... dice che non si può eliminare perché programma in uso.. sento puzza di virus...

[crazy.cat]

Togli anche il flag da "Nascondi le estensioni dei file per i tipi di file conosciuti"
http://www.MegaLab.it/2127

[Sir_Dado]

Togli anche il flag da "Nascondi le estensioni dei file per i tipi di file conosciuti"
http://www.MegaLab.it/2127

chiaro chiaro.. l'ho fatto ma nullA! come prima..
che mi consigli di fare? mai avuto a che fare con queste cose?
ho provato spyware doctor e ha rilevato un sacco di infezioni...poi le ha rimosse ma queste ci sono ancora...e se le elimino al prox riavvio ricompaiono tutte...

EDIT: g0mza31r.TMP come file nascosto

EDIT2: AVG HA RILEVATO UN FILE .EXE ====> win18.tmp che é un'applicazione!! é lui?

[Sir_Dado]

crazy mi escono virus a valanga... tutti questi tmp.exe..
ho provato ad usare un programmino mi ha cancellato tutto tranne che il win17.tmp e non é eseguibile...ma continuo ogni tanto ad essere avvisato da AVG che rileva applicazioni come win2B.tmp etc... io li elimino ma ogni tot minuti mi ricompaiono...che faccio?

avg DICE che sono Trojan horse generic5.GWN... li ha pure rilevati in scansione... ora attendo che finisca poi riavvio e vedo se ci sono ancora..

sono nella cartella

C/Doc e Set/Davide/Impostazioni localu/Temporary internet files/CONTENT.IE5/GG2X1Q0F/srvwdo[1].exe

C/Doc e Set/Davide/Impostazioni localu/Temporary internet files/CONTENT.IE5/AO3DH59G/srvhhp[1].exe

C/Doc e Set/Davide/Impostazioni localu/Temporary internet files/CONTENT.IE5/GG2X1Q0F/srvwdo[1].exe

LI ELIMINO ma crescono ancora... HELP!

[crazy.cat]

E' due ore che ti dico che sono degli exe e non ti vengono visualizzati solo perché non vedi le loro vere estensioni.

Ci sono svariati virus che usano quelle false estensioni e quella cartella come modo di infezione.

fai analizzare uno di quei file sul sito www.virustotal.com e vediamo di preciso di che virus si tratta.

[Sir_Dado]

fatto. ho esaminato l'eseguibile e mi da
0 bytes size received / Se ha recibido un archivo vacio

[crazy.cat]

scan online sul sito della kaspersky
http://www.kaspersky.com/virusscanner
alla fine salva il log della scansione e postalo qui.

Prima di cominciare fai pulizia con ccleaner per vedere di togliere qualche file di troppo.

bisogna trovare il file che ti ricrea tutto il resto dei virus.

[Sir_Dado]

crazy non c'é un'altrernativa a Kaspersky .. no perché mi chiede di installare il componente aggiuntivo . cab... nessun problema ad installarlo solo che una volta che consento mi appare la pagina iniziale del "contratto" .... e li non so piu' che fare...i link mi riportano alla home del tuo link...bha..

[Sir_Dado]

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 14.43.16, on 03/08/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\MSN Messenger\MsnMsgr.Exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Programmi\TomTom HOME\TomTomHOME.exe
C:\Programmi\MSN Messenger\usnsvc.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\PROGRA~1\Grisoft\AVG7\avgwb.dat
C:\Programmi\Messenger\msmsgs.exe
I:\Davide\ANTIVIRUS\HiJackThis\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: TomTom HOME.lnk = C:\Programmi\TomTom HOME\TomTomHOME.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O20 - Winlogon Notify: winzzc32 - C:\WINDOWS\SYSTEM32\winzzc32.dll
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 5496 bytes


quelli in neretto non mi piacciono..tu che dici?
inoltre c'é questo:
C:\WINDOWS\system32\winzz32.dll

sono loro la fonte?

[crazy.cat]

Quelli in neretto vanno bene.
Questa da dove ti è uscita?

C:\WINDOWS\system32\winzz32.dll

Cancellala, usa unlocker o killbox se hai problemi ad eliminarla.
Poi con ccleaner svuoti la cartella temp e i temporanei di internet.
Riavvii il pc e vedi come va.

[Sir_Dado]

Quelli in neretto vanno bene.
Questa da dove ti è uscita?

C:\WINDOWS\system32\winzz32.dll

Cancellala, usa unlocker o killbox se hai problemi ad eliminarla.
Poi con ccleaner svuoti la cartella temp e i temporanei di internet.
Riavvii il pc e vedi come va.

l'avevo cancellata prima ma é riapparsa ora un'altra scritta "winzzc32.dll"

l'ho cancellata di nuovo e ho fatto tutto ciò che mi hai detto.

ora sto facendo la scansione con AVG e non ha rilevato nulla... per ora tutto tranquillo.
spero sia proprio quello...

ti ringrazio comunque per la tua disponibilità e spero un giorno di poter di nuovo contare sul tuo aiuto e l'aiuto di MegaLab.it!