non riesco ad installare antivirus...

[adriano1979]

ciao! sono nuovo..complimenti per il forum...
credo di essermi preso il worm bagle e, dopo aver fatto di tutto per eliminarlo, seguendo anche la vostra guida, non riesco comunque ad installare antivirus...
la modalità provvisoria funziona, ma quando la uso non va il puntatore, devo usare la tastiera, e il windows firewall funziona..
potete aiutarmi?
..sto già indirizzandomi verso un formattone....
grazie!

...ho allegato il log gmer prima del tentativo di pulizia e come mi esce adesso... grazie!

[adriano1979]

..autostart..

[crazy.cat]

L'ultima variante del virus ha qualcosa di diverso.

ti ricordi in quali file gmer prima della pulizia ti segnava in rosso?

Prova a fare una scansione online sul sito della kaspersky
http://www.kaspersky.com/virusscanner
e se trova dei virus salva il log e postalo qui.

[crazy.cat]

Controlla se hai ancora questo file pci32.sys nel pc si vede in un log e poi sparisce nell'altro.
Se lo trovi fallo analizzare sul sito www.virustotal.com

[adriano1979]

ok! sto facendo sia lo scan (ha già trovato un po' di roba...) che la ricerca del file che mi hai suggerito...al più presto posto i risultati..

ti ringrazio davvero tanto per il tuo aiuto!

[adriano1979]

premetto che ho tre hard disk:
c: che è il principale
h: il secondario
i: e j: che è un unico hard disk partito

- ho lanciato una ricerca con windows e pci32.sys non l'ho trovato;
- allego il log di kaspersky

grazie!!!

[crazy.cat]

Il pezzo più interessante direi che è questo, prima di cancellarlo me lo comprimi e carichi su uno di questi siti http://www.MegaLab.it/2995/3 e poi mi passi l'indirizzo qui nella discussione (non allegare il file infetto alla discussione)
C:\WINDOWS\system32\trusted.exe Infected: Trojan-Downloader.Win32.Bagle.cr skipped
Se hai problemi a cancellare il file usa unlocker o killbox.
Poi riavvia e prova a reinstallare l'antivirus.

Praticamente tutti i temi, icone che hai in
C:\Documents and Settings\Adri\Desktop\ADRI\Temi xp\
H:\Documents and Settings\graziano_già copiato tutto in c\NEGRITO\Documenti\GRAZIANO VECCHIE COSE DA SISTEMARE\
sono infetti da adware e simil virus.
E' meglio se cancelli tutto e fai una scansione del pc con superantispyware o a2 squared in versione freeware

Per eliminare questi qui sotto, disattiva il ripristino della configurazione http://www.MegaLab.it/2330 e riavvia il pc.

H:\System Volume Information\_restore{D3D8BC83-D8FD-4D8B-B2F7-C40066148787}\RP1109\A0468045.exe Infected: Trojan.Win32.Diamin.jm skipped
H:\System Volume Information\_restore{D3D8BC83-D8FD-4D8B-B2F7-C40066148787}\RP1176\A0490146.dll Infected: not-a-virus:AdWare.Win32.Stud.c skipped

[adriano1979]

..grazie, sei davvero gentile!

..ecco il link: http://www.mediafire.com/?fgfhcn0dmyo

..di quel file ne riconosco l'icona..penso si tratti di un file che ho scaricato dal mulo pensando di scaricare una certa cosa, mentre si trattava di un virus..ho avviato quel file e da allora ho avuto problemi..

..l'icona è una chiave inserita nella "toppa"..ma dici che è possibile avvisare tutti gli utenti del modo in cui si presenta il virus nei programmi di condivisione?

..ora faccio tutto quello che mi hai consigliato e ti faccio sapere..
grazie!

[crazy.cat]

...di quel file ne riconosco l'icona..penso si tratti di un file che ho scaricato dal mulo pensando di scaricare una certa cosa, mentre si trattava di un virus..ho avviato quel file e da allora ho avuto problemi..
..l'icona è una chiave inserita nella "toppa"..ma dici che è possibile avvisare tutti gli utenti del modo in cui si presenta il virus nei programmi di condivisione?

Non sei il solo ad esserci caduto
http://www.MegaLab.it/forum/viewtopic.p ... 503#273503

Adesso mi studio il file e cerco di vedere come si comporta, poi vedo come aggiornare l'articolo e lo script.

[MANUELA]

anche la mia è un'icona di una chiave inserita in una toppa.
file scaricato da emule per una certa cosa.

idem.

[crazy.cat]

anche la mia è un'icona di una chiave inserita in una toppa.
file scaricato da emule per una certa cosa.

idem.

Il bello è che si tratta di due varianti di bagle diverse.
Quello di manuela sembra più nuovo e riconosciuto da pochi antivirus.

Ditemi però se avete risolto....

[adriano1979]

..niente...
...ho provato ad installare avira antivir ma una volta installato il programma non parte ed il 'centro sicurezza pc' non lo riconosce nemmeno...
...con AVG non lo installa nemmeno...
...con mcafee stessa cosa di avg...

...che fissa sto virus! ...ora che faccio, me lo mangio?!!!!!

[MANUELA]

crazy, ti ho mandato il log nell'altro post che hai aperto apposta per questo, ora sto facendo la scansione completa "mycomputer" con kaspersky, il log che ti ho mandato è invece relativo alla scansione "critical areas" sempre con kaspersky.

aspetto che finisce questa scansione, poi ti mando il log completo, per ora ha segnalato

numbers of virus found 5
numbers of infectet object 12

[adriano1979]

..ho provato ad installare zonealarm firewall..
..lo installa e una volta installato non funziona, cioè non parte il programma se clicco sulla relativa icona, il centro sicurezza pc non lo riconosce, e non riesco più a disinstallarlo, nè con il suo uninstall, nè dal pannello di controllo...

quindi il worm blocca sia antivirus che firewall!

[crazy.cat]

Prova con questo script, verifica dopo il riavvio del pc che la cartella Impostazioni locali\Temp del vostro account non abbia dentro dei file ~*.exe, dove * è un carattere qualsiasi.

Files to delete:
%SystemDrive%:\WINDOWS\system32\drivers\hidr.exe
%SystemDrive%:\WINDOWS\system32\drivers\srosa.sys
%SystemDrive%:\WINDOWS\system32\wintems.exe
%SystemDrive%:\WINDOWS\system32\hldrrr.exe
%SystemDrive%:\WINDOWS\system32\trusted.exe
%SystemDrive%:\Documents and Settings\%UserProfile%\Dati applicazioni\Impostazioni locali\Temp\*.exe
%SystemDrive%:\Documents and Settings\%UserProfile%\Dati applicazioni\Impostazioni locali\Temp\*.tmp

folders to delete:
%SystemDrive%:\WINDOWS\exefnd

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA


andiamo avanti nella discussione in rilievo per non tenerne aperte due uguali.
http://www.MegaLab.it/forum/viewtopic.php?t=34010