BAGLE .JC WORM (HIDR.EXE) help me!

[MMartin]

Ciao a tutti,
Mi presento come spesso capita in questi forum presentando un caso che mi tormenta...

Da ieri sera si è manisfestato un problemuccio al mio PC (win xp) di cui cerco di spiegarmi/vi la genesi.
Stavo facendo una partitella con amici a Counter-Strike Source (installato qualche giorno fa e gia' provato senza problemi) quando il PC mi si e' resettato da solo, questa cosa è successa per almeno 4 volte...alla fine non è piu' crashato e ho giocato un po'.
Stamattina riavvio il PC e NOD32 mi da il benvenuto con la seguente schermata (vedi allegato "schermata NOD32")

Quindi accetto il suggerimento ed elimino il file. Poi cerco un po di info sperando che non si trattassse di nulla di grave e giungo su questo forum e leggo l'articolo (complimenti molto ben fatto)... scopro che tale worm impedisce anche l'avvio in modalita' provvisoria... Di tale fatto mi ero gia' accorto in estate ma non ci avevo dato peso (non avevo proprio tempo allora) e me ne ero scordato. Provo a riavviare ed infatti la modalita' provvisoria non parte corettamente e si resetta il PC:.....

Eseguo la scansione con GMER ma non mi da alcuna evidenza... (vedi allegato GMER_LOGS.rar)

Avete qualche consiglio perfavore su come rimuovere il tutto e ripristinare il sistema???
Grazie a chi vorra' aiutarmi.

MM

[matty]

http://www.MegaLab.it/forum/viewtopic.php?t=34966

[ste_95]

Come dice l'articolo, esegui la scansione online con kaspersky e postane i risultati

[MMartin]

Ecco si avrei fatto volentieri la scansione ma Explorer non mi fa partire la scansione causa un "errore nella visualizzazione della pagina" ho explorer 6.0.2900 perche uso firefox (con il quale non funziona) :(... Mi sa che dovro' aggiornarlo ma non so proprio come fare ...

[crazy.cat]

Ecco si avrei fatto volentieri la scansione ma Explorer non mi fa partire la scansione causa un "errore nella visualizzazione della pagina" ho explorer 6.0.2900 perche uso firefox (con il quale non funziona) :(... Mi sa che dovro' aggiornarlo ma non so proprio come fare ...

Scarica elibagla, trovi il link in fondo alla pagina "Descargar elibagla"
http://www.zonavirus.com/datos/descarga ... ibagla.asp
e fai la scansione con quello.
Posta poi il risultato della scansione.
Nell'articolo è poi spiegato come ripristinare la modalitù provvisoria.

[MMartin]

Grazie per il supporto e la pazienza .
Ecco il report sui tre dischi dato da EliBagla purtroppo niente log testuale mi è parso di vedere...

PS1: durante scansione a C: ha negato accesso a "C:\Doc&Settings\datiApplic\Microsoft\EHOME\EPG\tracehelper(16)"

PS2: i seguenti servizi erano disabilitati: Avvisi, Centro sicurezza PC, Aggiornamenti automatici.
Quest'ultimo pero' non ne vuol sapere di partire mi da errore:"Errore1058:impossibile avviare il seviczio. Il servizio è disabilitato oppure nn è associato ad alcuna perferica attiva", chiaramente sono nella seconda delle due potesi d'errrore...

[crazy.cat]

elibagla sembra non abbia trovato niente.
Qui trovi Ie7
http://www.microsoft.com/italy/windows/ ... itnow.mspx
basta che scarichi il file exe e lo lanci, fa tutto da solo.

[MMartin]

elibagla sembra non abbia trovato niente.
Qui trovi Ie7
http://www.microsoft.com/italy/windows/ ... itnow.mspx
basta che scarichi il file exe e lo lanci, fa tutto da solo.

Gia' sarei molto felice se NOD32 avesse bloccato per tempo l'infezione.
Comunque scarico IE7 e domani faccio sapere come è andata la scansione.
Notte

[MMartin]

installato IE7 ma purtroppo mi di sempre il solito errore quando sono nella pagina dove dovrebbe scaricare le definizioni dei virus ... si ferma e non scarica nulla...
Allego foto....

[tecnico24]

Per ripristinare la modalità provvisoria:
scarica il file Safeboot.zip

estrai/scompatta l'archivio in una cartella a tua scelta ed esegui safeboot.reg
e poi esegui le istruzioni.

Poi scarica Hijackthis
-Clicca su Do a system scan and save logfile,poi quando ha finito la scansione ti uscirà un file di testo,portalo qui con copia|incolla.
Nell'articolo di MegaLab ci sta anche come rimuovere il malware.Hai provato anche quello?

[ste_95]

Nell'attesa che il forum di kaspersky mi dica qualcosa, puoi usare systemscan come descritto qui:

http://www.MegaLab.it/

[H.J]

Scarica AVPTool (preleva l'ultima versione )
http://downloads1.kaspersky-labs.com/devbuilds/AVPTool/
Scansiona tutto il disco pulisci e posta il report

setta nod32 così:
http://www.MegaLab.it/2775/3

[MMartin]

Per ripristinare la modalità provvisoria:
scarica il file Safeboot.zip

estrai/scompatta l'archivio in una cartella a tua scelta ed esegui safeboot.reg
e poi esegui le istruzioni.

modalita' provvisoria ripristinata con successo

Spero nel pmeriggio di riuscire ad eseguire tutti gli altri suggerimenti
Grazie

[MMartin]

Poi scarica Hijackthis
-Clicca su Do a system scan and save logfile,poi quando ha finito la scansione ti uscirà un file di testo,portalo qui con copia|incolla.

Nell'articolo di MegaLab ci sta anche come rimuovere il malware.Hai provato anche quello?

Non ho ancora provato a rimuovere il malware come c'e' scritto nell'articolo...mi sembra abbastanza macchinosa come procedura magari provo a rileggere...
Ciao

Ecco il log intanto:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 0.03.26, on 26/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
D:\Programmi\Web Accelerator\slipcore.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Programmi\Web Accelerator\slipgui.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Eset\nod32krn.exe
C:\Programmi\RVS\WCOM\SYSTEM\RVSINST.EXE
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\RVS\WCOM\SYSTEM\RVSCC.EXE
C:\WINDOWS\system32\dllhost.exe
D:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\mmartin\Desktop\BAGLA\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/ig?hl=it
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5400
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programmi\ICQToolbar\tbu7A3\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Programmi\ICQToolbar\tbu7A3\toolbaru.dll
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: PBlockHelper Class - {4115122B-85FF-4DD3-9515-F075BEDE5EB5} - D:\Programmi\Web Accelerator\PBHelper.dll
O2 - BHO: NOW!Imaging - {9AA2F14F-E956-44B8-8694-A5B615CDF341} - d:\Programmi\Web Accelerator\components\NOWImaging.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programmi\ICQToolbar\tbu7A3\toolbaru.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NVIDIA nTune] "C:\Programmi\NVIDIA Corporation\nTune\\nTune.exe" clear
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [SlipStream] "d:\Programmi\Web Accelerator\slipcore.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [pdfFactory Dispatcher v3] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis3a.exe" /source=HKLM
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: SlipStream Web Accelerator.lnk = D:\Programmi\Web Accelerator\slipgui.exe
O8 - Extra context menu item: &ICQ Toolbar Search - res://C:\Programmi\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Mostra immagine originale - res://d:\Programmi\Web Accelerator\gui_resource.dll/328
O8 - Extra context menu item: Mostra tutte le immagini originali - res://d:\Programmi\Web Accelerator\gui_resource.dll/327
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Programmi\IrfanView\Ebay\Ebay.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partne ... nicode.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://213.33.176.146/activex/AxisCamControl.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{27645061-3839-47C5-81DC-0FFF1A6C8191}: NameServer = 193.70.152.25 193.70.192.25
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: Cadence License Manager - Unknown owner - C:\Cadence\license_manager\lmgrd.exe (file missing)
O23 - Service: CADopia License Manager - Macrovision Corporation - D:\PROGRA~1\Cadence\SPB_15.5\INTELL~1\LicenseManager\lmgrd.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Flexlm (lmgrd) - Macrovision Corporation - D:\programmi\Cadence\SPB_15.5\IntelliCAD 4\LicenseManager\lmgrd.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: RVS CommCenter (RvsCC) - Living Byte Software GmbH, München - C:\Programmi\RVS\WCOM\SYSTEM\RVSCC.EXE
O23 - Service: RvscomSv - Living Byte Software GmbH, München - C:\Programmi\RVS\WCOM\SYSTEM\RVSCOMSV.EXE
O23 - Service: RVS Installer (RVSINST) - Living Byte Software GmbH, München - C:\Programmi\RVS\WCOM\SYSTEM\RVSINST.EXE

--
End of file - 7753 bytes

[ste_95]

Allora il log è pulito...

Guarda questa discussione e vedi se riesci a postare il log di kaspersky:

http://forum.kaspersky.com/index.php?showtopic=54502

[MMartin]

Nell'attesa che il forum di kaspersky mi dica qualcosa, puoi usare systemscan come descritto qui:

http://www.MegaLab.it/

Ecco qui il log di systemscan in allegato (attach)

[ste_95]

Non puoi allegare un file di testo al forum, mettilo su www.freefilehosting.net e postane il link... Controlla anche se riesci a fare la scansione con kaspersky

[MMartin]

Non puoi allegare un file di testo al forum, mettilo su www.freefilehosting.net e postane il link... Controlla anche se riesci a fare la scansione con kaspersky

Ok ora come rar l'ha preso :).
Temo che quell'aggiornamento che suggeriscono non potro' installarlo su questo PC che non è del tutto "genuino"

[ste_95]

No, non lo prende nemmeno come .rar...

Fai come ti ho suggerito nel mio post precedente....

Temo che quell'aggiornamento che suggeriscono non potro' installarlo su questo PC che non è del tutto "genuino"

[MMartin]

Ok... vediamo se funzia :)
Ciao

http://www.freefilehosting.net/download/39fj6