www.MegaLab.it

da **linho72** » dom gen 27, 2008 4:29 pm

CIAO A TUTTI,
ho beccato un maledetto virus che mi sta facendo diventare matto, mi impedisce di installare ogni tipo di antivirus possibile ed imaginabile, sono riuscito soltanto ad eseguire una scansione on line dal sito "bitdefender" senza però riuscire a toglierlo.
Ogni volta che tento di installare un programma antivirus mi da sempre lo stesso errore, ovvero "C:\nome del programma\non è un'applicazione di win32 valida".
Qualcuno mi può suggerire una soluzione alternativa alla formattazione?
Avevo installato Norton Internet Security 2008

Allego scansione con kaspersky

-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
Sunday, January 27, 2008 4:07:55 PM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.98.0
Kaspersky Anti-Virus database last update: 27/01/2008
Kaspersky Anti-Virus database records: 498673
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: standard
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\
F:\
G:\
H:\
I:\
J:\

Scan Statistics:
Total number of scanned objects: 137692
Number of viruses found: 5
Number of infected objects: 36
Number of suspicious objects: 0
Duration of the scan process: 06:32:29

Infected Object Name / Virus Name / Last Action
C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar/BF2CDChange.exe Infected: Rootkit.Win32.Agent.wk skipped
C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar RAR: infected - 1 skipped
C:\Documents and Settings\All Users\Dati applicazioni\Microsoft\Dr Watson\user.dmp Object is locked skipped
C:\Documents and Settings\All Users\Dati applicazioni\Symantec\SRTSP\SrtETmp\B534AA73.TMP Object is locked skipped
C:\Documents and Settings\Lino\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Dati applicazioni\Microsoft\CardSpace\CardSpace.db Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Dati applicazioni\Microsoft\CardSpace\CardSpace.db.shadow Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Dati applicazioni\Microsoft\Feeds Cache\index.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temp\4006443164.exe Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\6AV5FIRE\b64_2[1].jpg Infected: Trojan.Win32.Pakes.bwy skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\6AV5FIRE\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\M6TBFYU2\b64_1[1].jpg Infected: Trojan-PSW.Win32.Agent.xd skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\M6TBFYU2\b64_2[1].jpg Infected: Trojan.Win32.Pakes.bwy skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\M6TBFYU2\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\b64_31[2].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\b64_31[3].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\buzz_videos[1].xml Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\YG9501Q8\b64_31[2].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\ZQ2I40N3\b64_31[4].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\Lino\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService.NT AUTHORITY\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\NetworkService.NT AUTHORITY\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService.NT AUTHORITY\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\NetworkService.NT AUTHORITY\ntuser.dat.LOG Object is locked skipped
C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP150\A0034557.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP150\A0034580.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP150\A0035256.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP150\A0035277.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP150\A0035278.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP151\A0035413.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP151\A0035414.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP151\A0035623.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0035917.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0035930.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0036104.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0037120.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038105.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038128.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038129.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038130.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038145.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038146.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038147.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038280.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038296.sys Infected: Trojan-Downloader.Win32.Bagle.iq skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038299.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\A0038300.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\change.log Object is locked skipped
C:\WINDOWS\$hf_mig$\KB890859\SP2QFE\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\$hf_mig$\KB931784\SP2QFE\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\$NtUninstallKB890859$\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\$NtUninstallKB931784$\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\CSC\00000001 Object is locked skipped
C:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped
C:\WINDOWS\Driver Cache\i386\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{2A2EF45F-019B-4C48-81FA-66724C7DE9DB}.crmlog Object is locked skipped
C:\WINDOWS\SchedLgU.Txt Object is locked skipped
C:\WINDOWS\Sti_Trace.log Object is locked skipped
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\default Object is locked skipped
C:\WINDOWS\system32\config\default.LOG Object is locked skipped
C:\WINDOWS\system32\config\Internet.evt Object is locked skipped
C:\WINDOWS\system32\config\Media Ce.evt Object is locked skipped
C:\WINDOWS\system32\config\SAM Object is locked skipped
C:\WINDOWS\system32\config\SAM.LOG Object is locked skipped
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\SECURITY Object is locked skipped
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped
C:\WINDOWS\system32\config\software Object is locked skipped
C:\WINDOWS\system32\config\software.LOG Object is locked skipped
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\system Object is locked skipped
C:\WINDOWS\system32\config\system.LOG Object is locked skipped
C:\WINDOWS\system32\drivers\fidbox.dat Object is locked skipped
C:\WINDOWS\system32\drivers\fidbox.idx Object is locked skipped
C:\WINDOWS\system32\drivers\fidbox2.dat Object is locked skipped
C:\WINDOWS\system32\drivers\fidbox2.idx Object is locked skipped
C:\WINDOWS\system32\h323log.txt Object is locked skipped
C:\WINDOWS\system32\LogFiles\WUDF\WUDFTrace.etl Object is locked skipped
C:\WINDOWS\system32\mdelk.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked skipped
C:\WINDOWS\Temp\Perflib_Perfdata_284.dat Object is locked skipped
C:\WINDOWS\wiadebug.log Object is locked skipped
C:\WINDOWS\wiaservc.log Object is locked skipped
D:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped
D:\System Volume Information\_restore{C88DFF85-05D1-443E-B838-DB453CF4DB72}\RP153\change.log Object is locked skipped

Scan process completed.

da **crazy.cat** » dom gen 27, 2008 4:37 pm

Disattiva il ripristino della configurazione su tutti i dischi poi riavvia il pc
http://www.MegaLab.it/2330

Scarica Avenger (poi ci dici se ha funzionato) http://www.MegaLab.it/forum/viewtopic.p ... 172#325172

Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Metti il pallino su input script manually
Quindi scegli la lente e cliccaci
Ora incolla queste righe nel box bianco che si è aperto:

Codice: Seleziona tutto: Files to delete: C:\WINDOWS\system32\drivers\hidr.exe C:\WINDOWS\system32\drivers\srosa.sys C:\WINDOWS\system32\wintems.exe C:\WINDOWS\system32\hldrrr.exe C:\WINDOWS\system32\trusted.exe C:\WINDOWS\system32\drivers\pci32.sys C:\windows\system32\drivers\hldrrr.exe C:\WINDOWS\system32\mdelk.exe C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\6AV5FIRE\b64_2[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\6AV5FIRE\b64_31[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\M6TBFYU2\b64_1[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\M6TBFYU2\b64_2[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\M6TBFYU2\b64_31[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\b64_31[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\b64_31[2].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\b64_31[3].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\YG9501Q8\b64_31[2].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\ZQ2I40N3\b64_31[4].jpg folders to delete: c:\WINDOWS\system32\drivers\down registry keys to delete: HKLM\SYSTEM\CurrentControlSet\Services\srosa HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA

Adesso devi cliccare su Done in basso nella box
Seleziona il semaforino in alto a destra
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà e prova a reinstallare subito l'antivirus.

da **BeGa** » dom gen 27, 2008 4:44 pm

Il virus te lo sei beccato scaricando la cr**k di battlefield. Non sei la prima persona che vedo che ha avuto lo stesso problema

da **linho72** » dom gen 27, 2008 8:14 pm

Innanzitutto Vi ringrazio per l'interessamento, ma purtroppo non ho ottenuto i risultati sperati.
Sono riuscito a far partire Avenger con la copia modificata che ho scaricato dal link che mi avete indicato, ma dopo aver incollato la lista dei file da cancellare nel box bianco di Avenger e dopo aver risposto SI alla prima richiesta mi compare il seguente errore:

Error: selected file does not appear to be a valid script.
Error code: 0

Ho riavviato il pc ma non è comparso alcun blocco note, anche perché l'operazione non è andata a buon fine.

Quindi la soluzione AVENGER è fallita !!!! [cry]

Ora che si fa???? Aiutatemiiiiiiii

Grazie anticipatamente !!!!

da **ste_95** » dom gen 27, 2008 8:20 pm

Sei sicuro di inserire correttamente lo script senza tagliarlo?

Codice: Seleziona tutto: Files to delete: C:\WINDOWS\system32\drivers\hidr.exe C:\WINDOWS\system32\drivers\srosa.sys C:\WINDOWS\system32\wintems.exe C:\WINDOWS\system32\hldrrr.exe C:\WINDOWS\system32\trusted.exe C:\WINDOWS\system32\drivers\pci32.sys C:\windows\system32\drivers\hldrrr.exe C:\WINDOWS\system32\mdelk.exe C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\6AV5FIRE\b64_2[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\6AV5FIRE\b64_31[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\M6TBFYU2\b64_1[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\M6TBFYU2\b64_2[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\M6TBFYU2\b64_31[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\b64_31[1].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\b64_31[2].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\UZO0FWQC\b64_31[3].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\YG9501Q8\b64_31[2].jpg C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\ZQ2I40N3\b64_31[4].jpg Folders to delete: c:\WINDOWS\system32\drivers\down Registry keys to delete: HKLM\SYSTEM\CurrentControlSet\Services\srosa HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA

da **linho72** » dom gen 27, 2008 8:30 pm

Ciao STE_95,
faccio il copia incolla quindi nel box di Avenger riporto esattamente lo script così com'è......ho provato a rifarlo ma adesso dopo la prima richiesta e rispondendo SI non accade più nulla, non si ripropone neanche l'error di prima.
Che si può fare adesso?
Grazie

da **ste_95** » lun gen 28, 2008 6:49 am

Prova a riavviare il computer... (Anche se credo che tu lo abbia già spento, ma fa lo stesso).

da **linho72** » lun gen 28, 2008 9:17 am

Purtroppo avevo già provato a riavviare il pc dopo i primi tentativi di eliminare i file con Avenger sperando succedesse qualcosa al riavvio, ma così non è stato.
Il problema è che Avenger non produce più alcun effetto dopo l'errore che mi ha dato al primo tentativo, è come se fosse completamente inefficace !!!
Non esiste un altro programmino in grado di eliminare i file infetti?
Grazie

da **ste_95** » lun gen 28, 2008 1:52 pm

Anche se dubito che questo risolverà il problema, prova a riscaricarlo.

da **linho72** » lun gen 28, 2008 2:33 pm

Ok, proverò a riscaricarlo stasera quando esco dal lavoro e poi ti farò sapere.
Leggo in giro che tutti riescono a portare a termine il processo di eliminazione file di Avenger, ma perché a me non funziona?
GRRRRRRRRRR

da **linho72** » lun gen 28, 2008 6:51 pm

NEGATIVO !!!!
Non funziona neanche dopo averlo riscaricato.
Ma la cosa strana è che i file che mi avete elencato nello script da incollare nel box di Avenger non ci sono, o comunque io non li vedo !!!!
Nè i file .exe sotto la cartella windows, nè i file temporaney contenuti in Content.IE5 !!!!
E' un vero rompicapo.
Cosa mi suggerite di fare?
Magari un'altra scansione on line con Kaspersky così potete valutare cos'altro è successo????

Grazie

(FORMATTO?) [cry+]

da **ste_95** » lun gen 28, 2008 9:13 pm

E' possibile che con il tempo abbia infettato altri file. Una nuova scansione sarebbe utile.

da **linho72** » lun gen 28, 2008 10:04 pm

OK.....ho avviato la scansione con kaspersky e domani allegherò il log.
Grazie.

da **linho72** » mar gen 29, 2008 1:03 pm

PER COMPLETEZZA DI INFORMAZIONI ALLEGO CARATTERISTICHE MIO PC:

SISTEMA OPERATIVO: WINDOWS XP MEDIA CENTER EDITION versione 2002 Service Pack 2
SCHEDA MADRE ASUS M2N4-SLI
PROCESSORE ATHLON 64 X2 6000
SCHEDA VIDEO GEFORCE 7900 GTO
MEMORIA RAM 2GB DDR2-667
HARD DISK SATA 250 GB
ANTIVIRUS NORTON INTERNET SECURITY 2008

Di seguito allego ultima scansione kaspersky:
TENETE PRESENTE CHE A DIFFERENZA DEGLI ALTRI A ME AVENGER NON RIESCE A COMPLETARE IL PROCESSO DI CANCELLAZIONE FILE, ANZI NON LO INIZIA PROPRIO !!!!!!

-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
Tuesday, January 29, 2008 6:00:50 AM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.98.0
Kaspersky Anti-Virus database last update: 28/01/2008
Kaspersky Anti-Virus database records: 499369
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: standard
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\
F:\
G:\
H:\
I:\
J:\

Scan Statistics:
Total number of scanned objects: 118942
Number of viruses found: 4
Number of infected objects: 11
Number of suspicious objects: 0
Duration of the scan process: 05:35:16

Infected Object Name / Virus Name / Last Action
C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar/BF2CDChange.exe Infected: Rootkit.Win32.Agent.wk skipped
C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar RAR: infected - 1 skipped
C:\Documents and Settings\All Users\Dati applicazioni\Microsoft\Dr Watson\user.dmp Object is locked skipped
C:\Documents and Settings\All Users\Dati applicazioni\Symantec\SRTSP\SrtETmp\B534AA73.TMP Object is locked skipped
C:\Documents and Settings\All Users.WINDOWS\Dati applicazioni\Microsoft\eHome\EPG\652d2e345831462faa824af48cf3c153.sdf Object is locked skipped
C:\Documents and Settings\All Users.WINDOWS\Dati applicazioni\Symantec\SRTSP\SrtETmp\0CA1485D.TMP Object is locked skipped
C:\Documents and Settings\All Users.WINDOWS\Dati applicazioni\Symantec\SRTSP\SrtETmp\588277F0.TMP Object is locked skipped
C:\Documents and Settings\Lino\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Cronologia\History.IE5\MSHist012008012820080129\index.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Dati applicazioni\Microsoft\CardSpace\CardSpace.db Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Dati applicazioni\Microsoft\CardSpace\CardSpace.db.shadow Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temp\376555839.exe Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temp\~DFA31.tmp Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temp\~DFA40.tmp Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\8VECAZ0C\b64_1[1].jpg Infected: Trojan-PSW.Win32.Agent.xd skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\8VECAZ0C\defaultCAGNYWJ7.jpg Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\K8BE6O4I\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\K8BE6O4I\b64_31[2].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\PIGJYKEN\b64_2[1].jpg Infected: Trojan.Win32.Pakes.bwy skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\PIGJYKEN\b64_2[2].jpg Infected: Trojan.Win32.Pakes.bwy skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\PIGJYKEN\b64_31[1].jpg Infected: Email-Worm.Win32.Bagle.of skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\R57WL0C6\b64_1[1].jpg Infected: Trojan-PSW.Win32.Agent.xd skipped
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\R57WL0C6\b64_1[2].jpg Infected: Trojan-PSW.Win32.Agent.xd skipped
C:\Documents and Settings\Lino\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\Lino\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\LocalService.NT AUTHORITY\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService.NT AUTHORITY\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\NetworkService.NT AUTHORITY\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService.NT AUTHORITY\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\NetworkService.NT AUTHORITY\ntuser.dat.LOG Object is locked skipped
C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped
C:\WINDOWS\$hf_mig$\KB890859\SP2QFE\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\$hf_mig$\KB931784\SP2QFE\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\$NtUninstallKB890859$\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\$NtUninstallKB931784$\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\CSC\00000001 Object is locked skipped
C:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped
C:\WINDOWS\Driver Cache\i386\ntkrnlpa.exe Object is locked skipped
C:\WINDOWS\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{DDDDABB2-BAC1-457A-84F7-D528FEA8C18C}.crmlog Object is locked skipped
C:\WINDOWS\SchedLgU.Txt Object is locked skipped
C:\WINDOWS\Sti_Trace.log Object is locked skipped
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\default Object is locked skipped
C:\WINDOWS\system32\config\default.LOG Object is locked skipped
C:\WINDOWS\system32\config\Internet.evt Object is locked skipped
C:\WINDOWS\system32\config\Media Ce.evt Object is locked skipped
C:\WINDOWS\system32\config\SAM Object is locked skipped
C:\WINDOWS\system32\config\SAM.LOG Object is locked skipped
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\SECURITY Object is locked skipped
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped
C:\WINDOWS\system32\config\software Object is locked skipped
C:\WINDOWS\system32\config\software.LOG Object is locked skipped
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\system Object is locked skipped
C:\WINDOWS\system32\config\system.LOG Object is locked skipped
C:\WINDOWS\system32\drivers\fidbox.dat Object is locked skipped
C:\WINDOWS\system32\drivers\fidbox.idx Object is locked skipped
C:\WINDOWS\system32\drivers\fidbox2.dat Object is locked skipped
C:\WINDOWS\system32\drivers\fidbox2.idx Object is locked skipped
C:\WINDOWS\system32\h323log.txt Object is locked skipped
C:\WINDOWS\system32\LogFiles\WUDF\WUDFTrace.etl Object is locked skipped
C:\WINDOWS\system32\mdelk.exe Infected: Email-Worm.Win32.Bagle.of skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked skipped
C:\WINDOWS\Temp\Perflib_Perfdata_6e0.dat Object is locked skipped
C:\WINDOWS\wiadebug.log Object is locked skipped
C:\WINDOWS\wiaservc.log Object is locked skipped
D:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped

Scan process completed.

da **ste_95** » mar gen 29, 2008 2:30 pm

Disabilita il ripristino configurazione di sistema.

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Metti il pallino su input script manually
Quindi scegli la lente e cliccaci
Ora incolla queste righe nella box bianca che si è aperta:

Files to delete:
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe
C:\windows\system32\drivers\hldrrr.exe
C:\WINDOWS\system32\mdelk.exe
C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar

Folders to delete:
C:\WINDOWS\system32\drivers\down
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\8VECAZ0C
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\K8BE6O4I
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\PIGJYKEN
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\R57WL0C6

Registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA

Adesso devi cliccare su Done in basso nella box
Seleziona il semaforino in alto a destra
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

Ora, se tutto è andato a buon fine, dovresti riuscire a reinstallare un valido antivirus.

PS: Hai eseguito questo file?

C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar

[ciao]

da **linho72** » mar gen 29, 2008 3:01 pm

NON HO MAI ESEGUITO QUESTO FILE: C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar

poichè ho acquistato il gioco originale, il file me l'aveva dato un mio amico prima di decidere di acquistarlo.

Stasera ti faccio sapere com'è andata, anche se confesso che sono pessimista perché come già ripetuto varie volte, l'Avenger non porta a compimento la cancellazione del file.
comunque stasera ci riprovo e poi ti farò sapere.
Grazie

da **ste_95** » mar gen 29, 2008 3:05 pm

Meglio così, era un rootkit.

da **linho72** » mar gen 29, 2008 7:43 pm

COME SOSPETTAVO !!!!!!
Apro L'Avenger, copio le tue righe che mi hai indicato nel relativo box bianco, clicco sul tasto "DONE" in fondo, clicco sul semaforino in alto a destra, rispondo di SI alla prima domanda di Avenger e poi...... non accade nulla, si chiude la finestra di Avenger e mi ritrovo sul desktop.
E' evidente che Avenger non riesce a risolvere il mio problema.
Se avete qualche altro suggerimento sarò ben lieto di provarlo, ma se non c'è alternativa alla formattazione Vi pregherei di farmelo sapere al più presto.
Ciao e grazie

da **ste_95** » mar gen 29, 2008 7:52 pm

Disabilita il ripristino configurazione di sistema.

Crea il MegaLabCD e fai il boot da quello all'avvio. Dopo che lo hai avviato apri il menù Start -> Gestione Risorse -> A43 Management. Elimina ora i seguenti file e cartelle dal disco C:\ come se fossi nel tuo computer:

C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe
C:\windows\system32\drivers\hldrrr.exe
C:\WINDOWS\system32\mdelk.exe
C:\WINDOWS\system32\drivers\down
C:\CRACK E PATCH VARI\Crack Vari\BATTLEFIELD 2\Battlefield.2.CDKEY.Changer-SUSPECTS.rar
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\8VECAZ0C
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\K8BE6O4I
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\PIGJYKEN
C:\Documents and Settings\Lino\Impostazioni locali\Temporary Internet Files\Content.IE5\R57WL0C6

Miraccomando, non tralasciarne nessuno, altrimenti al riavvio sarai punto da capo!
NB: Alcuni file potrebbero non essere presenti.

Poi da Start -> Registry Tools -> Remote Regedit e cancella le seguenti chiavi come se fossi all'interno del registro configurazione di Windows:

HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA

Torna in modalità normale e prova a installare un antivirus.

da **linho72** » mar gen 29, 2008 11:25 pm

NON SI SCROLLA DAL MIO PC STO bas***do DI BAGLE !!!!!
Ho creato il megalabcd ed avviato il boot con esso, dopodichè ho cancellato uno ad uno i file che mi hai indicato e le due chiavi dal registro di sistema ma non sono riuscito a installare un antivirus (solito errore: applicazione di win32 non valida).
Ho notato però che nel mio registro di sistema in modalità "MegaLabCD" sotto la cartella HKLM\SYSTEM\ non compariva CurrentControlSet bensì ControlSet001 e ControlSet002 e li ho cancellati da lì.
A questo punto rifaccio un'altra scansione con kaspersky e poi ve la incollo.

Abbiate pazienza !!!!!
Grazie

www.MegaLab.it

non è un'applicazione di win32 valida

non è un'applicazione di win32 valida

Chi c’è in linea