Indovinate? Esatto! Beagle pure io.

[torch]

Salve a tutti.

Quest'oggi il mulo mi ha portato in dono il beagle :-(
(Solito problema "applicazione non valida win 32" , firewall (Comodo) disabilitato, AVG non caricato, e compagnia bella).

Ho letto i numerosi threads già aperti sull'argomento: ho disabilitato il ripristino automatico ed ho appena avviato la scansione on-line con kaspersky; appena avrà finito posterò qui il log.

Nel mentre, vi vorrei chiedere.

Voi reinstallereste Comodo Firewall + AVG antivirus, o propendereste per un'alta accoppiata? Suggerimenti?

Intanto grazie,
torcH

[ste_95]

Consiglierei COMODO + Avira Antivir PE. Risolviamo un problema alla volta.

[torch]

Salve,

allego il log di Kaspersky.
Ho già scaricato il Megalab_The_Avenger (e disattivato il ripristino automatico).

Qualche anima pia potrebbe dirmi quali stringhe devo inserire in Avenger?

Grazie e saluti,
torcH

[crazy.cat]

Scarica Avenger http://www.MegaLab.it/forum/viewtopic.p ... 172#325172

Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Metti il pallino su input script manually
Quindi scegli la lente e cliccaci
Ora incolla queste righe nel box bianco che si è aperto:

Codice: Seleziona tutto

Files to delete:
C:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\trusted.exe
C:\WINDOWS\system32\drivers\pci32.sys
C:\windows\system32\drivers\hldrrr.exe
C:\WINDOWS\system32\mdelk.exe
G:\Downloads\eMule\arch\Photomatix Pro 2.4  Plugin Tone Mapping  Keygen By The Camel Updated-Fixed Release 05-2007.rar

folders to delete:
c:\WINDOWS\system32\drivers\down

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA


Adesso devi cliccare su Done in basso nella box
Seleziona il semaforino in alto a destra
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà e prova a reinstallare subito l'antivirus.

[torch]

Salve,

ecco qui il log restituitomi da avenger:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\ecyojsav

*******************

Script file located at: \??\C:\asppwkfs.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\system32\drivers\hidr.exe not found!
Deletion of file C:\WINDOWS\system32\drivers\hidr.exe failed!

Could not process line:
C:\WINDOWS\system32\drivers\hidr.exe
Status: 0xc0000034

File C:\WINDOWS\system32\drivers\srosa.sys deleted successfully.


File C:\WINDOWS\system32\wintems.exe not found!
Deletion of file C:\WINDOWS\system32\wintems.exe failed!

Could not process line:
C:\WINDOWS\system32\wintems.exe
Status: 0xc0000034



File C:\WINDOWS\system32\trusted.exe not found!
Deletion of file C:\WINDOWS\system32\trusted.exe failed!

Could not process line:
C:\WINDOWS\system32\trusted.exe
Status: 0xc0000034



File C:\WINDOWS\system32\drivers\pci32.sys not found!
Deletion of file C:\WINDOWS\system32\drivers\pci32.sys failed!

Could not process line:
C:\WINDOWS\system32\drivers\pci32.sys
Status: 0xc0000034

File C:\windows\system32\drivers\hldrrr.exe deleted successfully.


File C:\WINDOWS\system32\mdelk.exe not found!
Deletion of file C:\WINDOWS\system32\mdelk.exe failed!

Could not process line:
C:\WINDOWS\system32\mdelk.exe
Status: 0xc0000034

_________


Ma devo disinstallare prima delle nuove versioni, il vecchio antivirus ed il vecchio firewall?

[torch]

Salve,

sono riuscito ad installare antivir, ma quando provo a lanciare l'applicazione mi "dice" che non è un'applicazione di win32 valida...

[crazy.cat]

Devi riscaricare un nuovo file di installazione di antivir, quello vecchio viene danneggiato dal virus.
(anche se tu avevi una strana versione del virus, di solito ci sono molte cose infette rispetto a quelle che avevi tu)

[torch]

Salve,

ma il file di installazione di antivir l'ho scaricato da un altro pc e l'ho messo sul notebook infettato solo per l'installazione, dopo aver effettuato la pulizia con Avenger...

Comunque ora lo stò riscaricando e provo subito ad installarlo.

MA dal log che ho postato sembra essersi tutto risolto?

(vedo un sacco di "deletion failed"...)

Grazie e saluti,
torcH

[torch]

Niente: ho nuovamente scaricato antivir (Date: 09-24-2007 - Version: 7.06.00.270).

Continua a non aprirmi l'eseguibile: non è un'applicazione win 32 valida...

________________


Aggiungo che anche in modalità provvisoria (che prima non andava, e che ho rispristinato con il vostro file di registro), antivir non gira: non è un'applicazione win 32 valida...

[crazy.cat]

(vedo un sacco di "deletion failed"...)

Il virus, a seconda della variante, mette vari file nascosti che non vengono visti nelle scansioni online, per quello li inseriamo tutti nello script.
Quindi alcuni possono non esserci.

Ha rimosso alcune cose, ma di solito c'è molto altro di infetto nei pc, almeno uno dei file in esecuzione automatica viene infettato, nella tua scansione non si vedeva niente.

Prova a scaricare gmer e vediamo che voci in rosso saltano fuori quando lo apri
http://www.gmer.net/gmer.zip
Ed elibagla vediamo se trova qualcosa
http://www.zonavirus.com/datos/descarga ... ibagla.asp

(Un nuovo bagle?....speriamo di no...)

[torch]

Ok,

grazie anche per le spiegazioni.

Ho scaricato gmer ed elibagla

Per ora eligabla:

Detectado Gusano Bagle

...


E gmer: Process: c:windows\system32\drivers\hldrrr.exe (*** hidden ***) Value 2584

Che faccio?

[torch]

Salve,


ho fatto una scansione completa con gmer.

Allego il log.

In rosso mi ha segnato:

file c:windows\system32\drivers\srosa.sys


e

service c:windows\system32\drivers\srosa.sys

[ste_95]

Dovresti eseguire una nuova scansione con kaspersky.

[torch]

No, davvero?

Altre 11 ore di scansione...

Posso fare qualcosaltro prima, o dici che è l'unica?

Grazie e saluti,
torcH

p.s.: e se spostassi alcuni archivi (delle .iso già verificate) per diminuire il tempo di scansione?

[ste_95]

Puoi spostare in un hard disk esterno degli mp3 e delle foto sane, e poi non scansionarlo avendovi all'interno solo le cose sicuramente non infette. In ogni caso credo che sia nuovamente necessaria, se l'infezione c'è ancora probabilmente ha infettato qualcos'altro.

[torch]

Ok, grazie.

Ora ho riavviato il sistema e si è caricato automaticamente EliBagla che ha trovato SROSA.SYS -> Bagle (rootkit)...

[torch]

Allora:

ho riavviato il sistema, ho provato ad installare Antivir ed ora funziona!

Allego il log della scansione del disco c: che ha effettuato automaticamente.

L'unica voce che ha problemi è la seguente:

C.windows\system32\drivers\sptd.sys This file could not be opened!

Ora nè elibagla nè gmer trovano nulla di anomalo.

Come mi muovo?

Grazie

[ste_95]

Che infezione salterina... Meglio così:

Ripristina anche la modalità provvisoria utilizzando questo file.

[torch]

Salve,

Che infezione salterina... Meglio così:

Ripristina anche la modalità provvisoria utilizzando questo file.

sisi, meglio così, per carità :-)

Ma ora come procedo?

Reinstallo il Firewall, mi ricollego in rete, aggiorno l'antivirus, eseguo una completa scansione in locale e via dicendo o cos'altro?

Grazie

[ste_95]

Reinstallo il Firewall, mi ricollego in rete, aggiorno l'antivirus, eseguo una completa scansione in locale

Esatto.