il virus "Bagle" ha infettato il mio pc: chi può a

[ste_95]

Perché sospetti di altri processi maligni? Lancia una scansione completa del tuo disco fisso con kaspersky.

[spike_20]

Ti riporto i processi che compaiono nel task manager:

WLLoginProxy.exe Daniele
iexplore.exe Daniele
WgaTray.exe Daniele
spoolsv.exe SYSTEM
svchost.exe SERVIZIO LOCALE
svchost.exe SERVIZIO DI RETE
svchost.exe SYSTEM
svchost.exe SERVIZIO DI RETE
svchost.exe SYSTEM
lsass.exe SYSTEM
services.exe SYSTEM
winlogon.exe SYSTEM
csrss.exe SYSTEM
smss.exe SYSTEM
taskmgr.exe Daniele
alg.exe SERVIZIO LOCALE
nvsvc32.exe SYSTEM
avp.exe SYSTEM
ctfmon.exe Daniele
jusched.exe Daniele
rundll32.exe Daniele
SOUNDMAN.EXE Daniele
avp.exe Daniele
explorer.exe Daniele
System SYSTEM
Ciclo idle del sistema SYSTEM


L'utilizzo della CPU varia a seconda del momento, comunque ho notato che appena apro il task manager, la percentuale di utilizzo della stessa si mantiene di solito piuttosto alta, poi si abbassa (senza aprire applicazioni).

Come posso risolvere?

[spike_20]

ste, prima di rispondere a te la scansione del disco compromesso l'avevo già effettuata (scansione rootkit), e nel "box" non m'ha rilevato nulla, ma durante la scansione, comunque, ogni tanto, comparivano degli avvisi in basso a destra, di rlevamento "rootkit - riskware invader" (tra cui quelli che ti ho segnalato due post prima).

Come posso eliminare quei processi definitivamente, se Kaspersky li rileva come dannosi? Ripeto: da task manager non posso terminarli altrimenti il sistema va in "crash" (ci ho già provato), e se li termino dalla finestra di avviso dell'antivirus, l'esito è lo stesso, oppure se clicco su "nega azione", poi comunque, dopo un lasso di tempo indefinito mi ricompare il messagio di rilevamento rootkit.

Cosa mi consigli di fare a questo punto?

[ste_95]

E' tutto regolare, i file è normale che ci siano.

[spike_20]

non può esser tutto regolare, se il processore è ancora molto sotto sforzo, e non lo rivela solo il task manager, per i circa 30 processi attivi, ma anche il fatto che il sistema fa fatica a caricare le applicazioni, e non solo, anche a caricare soltanto la finestra del "pannello di controllo" e simili, ti rendi conto? Quindi è evidente che c'è ancora qualcosa che non va, non so cosa, ma c'è! Io sono comunque convinto che tra quei processi in esecuzione ce ne sia qualcuno maligno e che manda in crash il sistema o che lo rallenta, come rileva infatti anche Kaspersky. Ma come posso individuare quelli giusti e eliminarli?
Sono giorni che combatto con "bagle" e company e non ce la faccio più.
Spero potrai aiutarmi.
Grazie
Ciao ;)

[ste_95]

Bagle è stato per forza eliminato perché hai l'antivirus installato. Svchost.exe, winlogon.exe sono processi completamente regolari, tanto più che sono eseguiti da sistema, questo mi toglie ancora il sospetto. Succedeva anche a me che Kaspersky segnalasse MSN come riskware, ma non significa che sia un virus, ma che è un tool che se non maneggiato bene può fare danni.

Prova a postare un log di hijackthis.

[spike_20]

Mi accingo a postare il log di scansione di "hijackthis" come da te richiesto:



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13.11.27, on 22/01/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\WgaTray.exe
C:\Documents and Settings\Administrator\Desktop\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://search.bearshare.com/search/index.html?src=ssb
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.bearshare.com/search/index.html?src=ssb
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.bearshare.com/search/index.html?src=ssb
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.bearshare.com/search/index.html?src=ssb
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\pchealth\helpctr\System\panels\blank.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [AVP] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programmi\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programmi\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/ms ... b31267.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b31267.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B49678AD-E93C-4923-AE14-2FBB5AF87BA3}: NameServer = 193.70.152.15,193.70.152.25
O18 - Protocol: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 9028 bytes



Noti qualcosa di irregolare dalla scansione?
In ogni caso come posso risolvere il problema della CPU ancora sotto sforzo? Premetto, ste, che prima che "bagle" infettasse il mio pc, la percentuale di utilizzo del processore, si mantenva costantemente bassa, quindi è facile arguire che, nonostante come osservi giustamente tu, "bagle" è stato neutralizzato, ci sia però ancora un problema di fondo, per ora ignoto...

Mi rimetto nelle tue mani.

Ciao ;)

[spike_20]

p.s.: ho notato anche che Kaspersky, sul disco "infettato", mi crea conflitto con internet explorer, tant'è che se non disattivo l'antivirus stesso non posso navigare in internet, visto che non mi apre le pagine web... da che dipende anche questo fattore?

[ste_95]

Il log è pulito. Prova a disattivare momentaneamente kaspersky e vedi se il problema persiste.

[spike_20]

ste ho provato a ripristinare Kaspersky, e ora non mi crea più conflitti col browser, quindi probabilmente c'era qualche chiave di registro dell'antivirus, danneggiata o mancante, che creava rallentamenti fastidiosi, crash del sistema e precludeva l'apertura delle pagine web.

Ora resta un solo problema da risolvere: il processore sotto sforzo!
Calcola che anche solo trascinando col mouse una finestra aperta sul desktop, la percentuale di utilizzo della CPU si incrementa abbastanza, mentre appena apro l'interfaccia del task manager, lì slitta proprio a soglie vertiginose, anche al 100%: ma da cosa dipende? Io ricordo perfettamente che prima del virus "bagle", la percentuale di utilizzo del processore si manteneva pressochè bassa.

Cosa mi consigli di fare?

Grazie :)

[ste_95]

Ripeto: Quali sono i processi 'incriminati'?

[crazy.cat]

ma da cosa dipende?

A distanza, senza avere il pc sotto mano, è difficile dare suggerimenti precisi.

C'è un pulitore di kaspersky
http://www.MegaLab.it/2816
se vuoi provare a rimuoverlo del tutto e poi reinstallarlo.
Magari cambia qualcosa.

Vedi anche se nei settaggi ci sono troppi controlli, puoi mettere di verificare solo i file modificati e recenti, in modo da alleggerire i vari scan o protezione in tempo reale.
Prova a vedere qui
http://www.MegaLab.it/2751

[spike_20]

ste, quali sarebbero i processi "incriminati", io non lo so, altrimenti non mi sarei rivolto a te... :)

comunque ho provato a fare una scansione anche con "Gmer", ma non capisco perché a un certo punto dello scan, mi appare una finestra di avviso: "l'applicazione Gmer.exe non risponde". Ho provato a disattivare l'antivirus, pensando che il problema fosse quello, ma nulla da fare, compare sempre e comunque quel messaggio che mi costringe a chiudere il tool: da cosa può dipendere?

[spike_20]

crazy.cat ho fatto come da tuo suggerimento, rimuovendo Kaspersky col tool "kavremover", quindi ho provveduto al riavvio del sistema manualmente, poi alla cancellazione delle directories ad esso inerenti (sempre manualmente), nonchè alla pulizia dai files obsoleti e alla correzione delle chiavi di registro con "Ccleaner", quindi ho reinstallato l'antivirus, ma non ho notato miglioramenti di sorta: se solo riuscissi a portare a termine la scansione con "Gmer", uff!! :( Ma da cosa può dipendere che a un certo punto dello scanning l'applicazione non risponde e sono quindi costretto ad arrestarla?

[ste_95]

Vedi se in modalità provvisoria riesci con GMER.

[spike_20]

ste, ho provato come mi hai consigliato tu, per far partire "Gmer", ma il problema è che non mi si avvia nè la modalità provvisoria standard, nè quella con rete, nè quella con prompt dei comandi, e non vorrei che il sistema fosse ancora intaccato da qualche residuo di "bagle"... (consapevole, come sono, che quando lo infetta, la suddetta modalità non si avvia) ...

se comunque non fosse "bagle" (visto che il sistema di sicurezza è stato reintegrato), da cos'altro potrebbe dipendere il mancato boot della modalità provvisoria? E come posso eseguire "Gmer", se poi da Windows, a un certo punto compare il messagio "l'applicazione non risponde"?

Mi dai un consiglio?

Grazie! :)

[ste_95]

Ripristina la modalità provvisoria utilizzando questo file

[spike_20]

ste, sono riuscito finalmente a fare la scansione con "Gmer" in modalità Windows, standard; ho capito che il tool durante la scansione incontrava dei files o cartelle corrotti, e così si bloccava e non rispondeva (costringendomi ad arrestare la scansione), così ho provveduto a cancellare gli stessi con l'ausilio di "avenger".

Dal log, alla voce "rootkit", non risulta nulla evidenziato in rosso e neppure da quello alla voce "processi": dovrebbe esser tutto regolare, quindi, giusto?


P.s.: ora uso il file che mi hai fornito tu, per tentare il ripristino della modalità provvisoria di Windows.

Ti terrò informato.

Intanto grazie infinite del supporto ;)

[ste_95]

Dal log, alla voce "rootkit", non risulta nulla evidenziato in rosso e neppure da quello alla voce "processi": dovrebbe esser tutto regolare, quindi, giusto?

Esatto

[spike_20]

ok! ;)

Comunque, ste, ti comunico che grazie al file che mi hai fornito sono riuscito a ripristinare anche la modalità provvisoria (è evidente, quindi, che "bagle" aveva corrotto delle chiavi di registro).

Un'ultima cosa: è normale che quando apro il task manager la percentuale di utilizzo della CPU slitti a livelli elevati, anche al 100%? (poi però decresce di nuovo fino ad arrivare a percentuali basse)