AIUTO - Trojan:Win NT/Bagle.Gen

[trisan]

Ho riscontrato il virus in oggetto nel mio PC e non riesco ad eliminarlo
qualcuno mi sa aiutare ?

Questa è la cronistoria:
dopo aver aggiornato Windows XP SP2 Professional con la funzione di aggiornamento automatico, al riavvio il sistema di rilevamento di Malicious software di Microsoft mi ha segnalato il seguente virus: ( Trojan:Win NT/Bagle.Gen )
Ho provato allora ad installare l'antivirus NOD32 ma non è andato a buon fine.
Guardando un po nel forum ho visto il suggerimento di utilizzare Avenger con uno script, ci ho provato ma il computer non si è più riavviato.
Ho allora avviato il PC con il CD di Windows e dalla modalità recover ho provato a cambiare nome ai file di avenger per non farli eseguire, ma il PC continuava a non avviarsi,
allora ho reinstallato Windows su quello già presente così sono riuscito a riavviare il PC, ritrovandomi il windows senza tutti gli aggiornamenti automatici che erano stati man mano installati, ma almeno i programmi non li dovevo reinstallare.
A questo punto ho guardato ancora nel forum (qualche giorno dopo) e così mi sono accorto che lo script da applicare dipendeva dalla macchina e non è uguale per tutti.

Ecco quindi che chiedo aiuto, ho fatto girare GMER ed allego il log generato.
Si può ancora fare qualcosa per ripristinare il sistema ?

Grazie in anticipo

[ste_95]

Leggere e applicare:

http://www.MegaLab.it/forum/viewtopic.php?t=34966

[trisan]

OK Grazie,

ho iniziato la scansione con Kaspersky Online Scanner
quando avrà finito invierò il report.

[trisan]

Ecco il report di Kaspersky online scanner.
Devo preoccuparmi dato che ha trovato 6 virus
Cosa devo fare adesso?

Grazie


P.S.
Mi sono accorto che durante la scansione con Kaspersky si è aperto un messaggio di Windows File Protection (vedi immagine allegata).
Non è la prima volta che mi succede, poi inserisco il CD originale di Windows e sparisce automaticamente.
E' sempre il virus che sta lavorando?

[ste_95]

Sono stupito, una versione vecchia di Bagle:

Disabilita il ripristino configurazione di sistema.

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Metti il pallino su input script manually
Quindi scegli la lente e cliccaci
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto

Files to delete:
C:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\hldrrr.exe
C:\WINDOWS\system32\trusted.exe
C:\WINDOWS\system32\drivers\pci32.sys
C:\windows\system32\drivers\hldrrr.exe
C:\WINDOWS\system32\mdelk.exe

folders to delete:
C:\WINDOWS\exefnd
C:\WINDOWS\exefld
C:\WINDOWS\system32\drivers\down

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
HKLM\SYSTEM\CurrentControlSet\Services\pci32
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 

Adesso devi cliccare su Done in basso nella box
Seleziona il semaforino in alto a destra
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

Riscarica gli installer dei programmi di sicurezza e prova a reinstallare un antivirus.

[trisan]

Ecco qui il risultato presente in Avenger.txt, ma non mi sembra tutto a posto, o sbaglio?


Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\iqykxagw

*******************

Script file located at: \??\C:\WINDOWS\hhcmsbdl.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\drivers\hidr.exe deleted successfully.
File C:\WINDOWS\system32\drivers\srosa.sys deleted successfully.
File C:\WINDOWS\system32\wintems.exe deleted successfully.


File C:\WINDOWS\system32\hldrrr.exe not found!
Deletion of file C:\WINDOWS\system32\hldrrr.exe failed!

Could not process line:
C:\WINDOWS\system32\hldrrr.exe
Status: 0xc0000034



File C:\WINDOWS\system32\trusted.exe not found!
Deletion of file C:\WINDOWS\system32\trusted.exe failed!

Could not process line:
C:\WINDOWS\system32\trusted.exe
Status: 0xc0000034



File C:\WINDOWS\system32\drivers\pci32.sys not found!
Deletion of file C:\WINDOWS\system32\drivers\pci32.sys failed!

Could not process line:
C:\WINDOWS\system32\drivers\pci32.sys
Status: 0xc0000034



File C:\windows\system32\drivers\hldrrr.exe not found!
Deletion of file C:\windows\system32\drivers\hldrrr.exe failed!

Could not process line:
C:\windows\system32\drivers\hldrrr.exe
Status: 0xc0000034



File C:\WINDOWS\system32\mdelk.exe not found!
Deletion of file C:\WINDOWS\system32\mdelk.exe failed!

Could not process line:
C:\WINDOWS\system32\mdelk.exe
Status: 0xc0000034



Folder C:\WINDOWS\exefnd not found!
Deletion of folder C:\WINDOWS\exefnd failed!

Could not process line:
C:\WINDOWS\exefnd
Status: 0xc0000034

Folder C:\WINDOWS\exefld deleted successfully.


Folder C:\WINDOWS\system32\drivers\down not found!
Deletion of folder C:\WINDOWS\system32\drivers\down failed!

Could not process line:
C:\WINDOWS\system32\drivers\down
Status: 0xc0000034

Registry key HKLM\SYSTEM\CurrentControlSet\Services\srosa deleted successfully.
Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA deleted successfully.


Registry key HKLM\SYSTEM\CurrentControlSet\Services\pci32 not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Services\pci32 failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Services\pci32
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

[ste_95]

Prova a reinstallare un antivirus.

[trisan]

Me ne sai consigliare uno in particolare ?
Grazie

[ste_95]

Io ti consiglio Avira Antivir.

[trisan]

Prima di installare l'antivirus, ho fatto girare ancora Kaspersky Online, e mi ha rilevato 2 Trojan Win32 Downloader, uno tra i file temporanei di internet explore e l'altro nella cartella Windows\System32, li ho cancellati manualmente ed ho riavviato,
controllando nuovamente non me li ha più segnalati ma, che stupido non ho salvato il log di kaspersky.
Infine ho scaricato NOD32 (in prova per 30gg) e l'installazione è andata a buon fine.

Ora sembra tutto a posto, forse però devo anche ripristinare qualcosa per poter partire in modalità provvisoria, dato che prima non partiva più?

Un'altra cosa, l'accesso a questo forum mi sembra un po' lento, mentre da un'altro computer è più veloce, può esserci qualcosa che infastidisce?

Beh intanto grazie ste_95, il grosso del problema sembra risolto.

[trisan]

Oops, mi sa che ho parlato troppo presto.

Ho dato l'OK all'installazione di "Microsoft Windows Installer 3.1" proposto dalla funzione di aggiornamento automatico di Windows XP, ma non è andata a buon fine, mi dice che non può essere installata.

Adesso cosa può essere successo?, già quando avevo scoperto bagle non mi aveva installato alcune patch di protezione scaricate dall'aggiornamento automatico.

AIUTO !!!! cosa posso fare?

[Fred]

Mmmm, posta i soliti log (hijackthis e kaspersky online) prima di attivare questi due programmi disabilita il ripristino di sistema. E usa questo per vedere se magari è solo una "banalità": http://www.MegaLab.it/2779 .

[trisan]

In quanto al suggerimento di verificare se non fosse una stupidata, ho provato ad eseguire il file batch con le istruzioni riportate ma non è cambiato nulla, l'aggiornamento automatico continua a fallire.

Allora ecco i log di Kaspersky Online e HijackThis.
Tra l'altro la prima volta che ho lanciato HijackThis mi ha dato l'errore di cui allego l'immagine.
Beh ovviamente ho disattivato il system restore.
N.B. Forse cambia qualcosa perché la versione di Windows XP SP2 Pro è in inglese?

AIUTO, mi sà che si è incasinato tutto il windows.

Grazie

[crazy.cat]

Rifai la scansione con hijackthis, seleziona queste righe e premi fix checked per eliminarle.

O1 - Hosts: 69.60.111.224 localhost #this is not an ad server this is your PC
O1 - Hosts: 69.60.111.224 www.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.doubleclick.net #remove this for atomfilms problems
O1 - Hosts: 69.60.111.224 ad.preferences.com
O1 - Hosts: 69.60.111.224 ads.doubleclick.com
O1 - Hosts: 69.60.111.224 ads.infospace.com
O1 - Hosts: 69.60.111.224 ads.msn.com
O1 - Hosts: 69.60.111.224 ads.switchboard.com
O1 - Hosts: 69.60.111.224 doubleclick.net
O1 - Hosts: 69.60.111.224 ads.doubleclick.net
O1 - Hosts: 69.60.111.224 ad2.doubleclick.net
O1 - Hosts: 69.60.111.224 ad3.doubleclick.net
O1 - Hosts: 69.60.111.224 ad4.doubleclick.net
O1 - Hosts: 69.60.111.224 ad5.doubleclick.net
O1 - Hosts: 69.60.111.224 ad6.doubleclick.net
O1 - Hosts: 69.60.111.224 ad7.doubleclick.net
O1 - Hosts: 69.60.111.224 ad8.doubleclick.net
O1 - Hosts: 69.60.111.224 ad9.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.ch.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.linkexchange.com
O1 - Hosts: 69.60.111.224 ads.enliven.com
O1 - Hosts: 69.60.111.224 oz.valueclick.com
O1 - Hosts: 69.60.111.224 banner.linkexchange.com
O1 - Hosts: 69.60.111.224 commonwealth.riddler.com
O1 - Hosts: 69.60.111.224 ad-up.com
O1 - Hosts: 69.60.111.224 ad.adsmart.net
O1 - Hosts: 69.60.111.224 ad.atlas.cz
O1 - Hosts: 69.60.111.224 ad.blm.net
O1 - Hosts: 69.60.111.224 ad.dogpile.com
O1 - Hosts: 69.60.111.224 ad.infoseek.com
O1 - Hosts: 69.60.111.224 ad.net-service.de
O1 - Hosts: 69.60.111.224 adbot.com
O1 - Hosts: 69.60.111.224 ads.criticalmass.com
O1 - Hosts: 69.60.111.224 ads.csi.emcweb.com
O1 - Hosts: 69.60.111.224 ads.filez.com
O1 - Hosts: 69.60.111.224 ads.imagine-inc.com
O1 - Hosts: 69.60.111.224 ads.imdb.com
O1 - Hosts: 69.60.111.224 ads.jwtt3.com
O1 - Hosts: 69.60.111.224 ads.newcitynet.com
O1 - Hosts: 69.60.111.224 ads.realcities.com
O1 - Hosts: 69.60.111.224 ads.realmedia.com
O1 - Hosts: 69.60.111.224 ads.tripod.com
O1 - Hosts: 69.60.111.224 ads.usatoday.com
O1 - Hosts: 69.60.111.224 ads.web.de
O1 - Hosts: 69.60.111.224 ads.web21.com
O1 - Hosts: 69.60.111.224 adserv.newcentury.net
O1 - Hosts: 69.60.111.224 adservant.guj.de
O1 - Hosts: 69.60.111.224 adservant.mediapoint.de
O1 - Hosts: 69.60.111.224 adserver-espnet.sportszone.com
O1 - Hosts: 69.60.111.224 advert.heise.de
O1 - Hosts: 69.60.111.224 banners.internetextra.com
O1 - Hosts: 69.60.111.224 bannerswap.com
O1 - Hosts: 69.60.111.224 dino.mainz.ibm.de
O1 - Hosts: 69.60.111.224 Garden.ngadcenter.net
O1 - Hosts: 69.60.111.224 Ogilvy.ngadcenter.net
O1 - Hosts: 69.60.111.224 ResponseMedia-ad.flycast.com
O1 - Hosts: 69.60.111.224 Suissa-ad.flycast.com
O1 - Hosts: 69.60.111.224 UGO.eu-adcenter.net
O1 - Hosts: 69.60.111.224 VNU.eu-adcenter.net
O1 - Hosts: 69.60.111.224 ad.preferances.com
O1 - Hosts: 69.60.111.224 ad.doubleclick.com
O1 - Hosts: 69.60.111.224 adforce.adtech.de
O1 - Hosts: 69.60.111.224 adforce.imgis.com
O1 - Hosts: 69.60.111.224 adimage.blm.net
O1 - Hosts: 69.60.111.224 adlink.deh.de
O1 - Hosts: 69.60.111.224 ad-adex3.flycast.com
O1 - Hosts: 69.60.111.224 ad.ca.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.de.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.fr.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.jp.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.linksynergy.com
O1 - Hosts: 69.60.111.224 ad.nl.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.no.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.sma.punto.net
O1 - Hosts: 69.60.111.224 ad.uk.doubleclick.net
O1 - Hosts: 69.60.111.224 ad08.focalink.com
O1 - Hosts: 69.60.111.224 adcontroller.unicast.com
O1 - Hosts: 69.60.111.224 adimg.egroups.com
O1 - Hosts: 69.60.111.224 admedia.xoom.com
O1 - Hosts: 69.60.111.224 adremote.pathfinder.com
O1 - Hosts: 69.60.111.224 ads.bfast.com
O1 - Hosts: 69.60.111.224 ads.clickhouse.com
O1 - Hosts: 69.60.111.224 adpick.switchboard.com
O1 - Hosts: 69.60.111.224 ads.fairfax.com.au
O1 - Hosts: 69.60.111.224 ads.fool.com
O1 - Hosts: 69.60.111.224 ads.freshmeat.net
O1 - Hosts: 69.60.111.224 ads.hollywood.com
O1 - Hosts: 69.60.111.224 ads.i33.com
O1 - Hosts: 69.60.111.224 ads.infi.net
O1 - Hosts: 69.60.111.224 ads.link4ads.com
O1 - Hosts: 69.60.111.224 ads.lycos.com
O1 - Hosts: 69.60.111.224 ads.madison.com
O1 - Hosts: 69.60.111.224 ads.mediaodyssey.com
O1 - Hosts: 69.60.111.224 ads.ninemsn.com.au
O1 - Hosts: 69.60.111.224 ads.seattletimes.com
O1 - Hosts: 69.60.111.224 ads.smartclicks.com
O1 - Hosts: 69.60.111.224 ads.smartclicks.net
O1 - Hosts: 69.60.111.224 ads.sptimes.com
O1 - Hosts: 69.60.111.224 ads.web.aol.com
O1 - Hosts: 69.60.111.224 ads.x10.com
O1 - Hosts: 69.60.111.224 ads.xtra.co.nz
O4 - HKLM\..\Run: [sfdyyafn] C:\qaoenvsy.bat
O4 - HKCU\..\Run: [drvsyskit] C:\WINDOWS\system32\drivers\hidr.exe
O4 - HKCU\..\Run: [german.exe] C:\WINDOWS\system32\wintems.exe

Fai una scansione anche con superantispyware freeware per fare pulizia

[trisan]

Ho rifatto la scansione con hijackthis, ed eliminato le righe come suggerito,
poi ho scaricato ed installato superantispyware, ma non ha rilevato niente.
Quindi ho riprovato a fare l'automatic update ma sempre con il solito risultato.

Accidenti ma allora cosa blocca questi aggiornamenti?
Devo proprio riformattare tutto?

[crazy.cat]

Devo proprio riformattare tutto?

Prova a scaricarlo e installarlo a mano il windows installer

[trisan]

Scusate il ritardo con il quale replico, ma ho avuto problemi.

Comunque per farla breve, dopo diversi tentativi sono riuscito ad installare il windows installer manualmente.
A questo punto ho eseguito tutti gli aggiornamenti proposti ed adesso il sistema sembra essere tornato a posto e stabile.

Grazie a tutti per l'aiuto

[ste_95]

Ripristina anche la modalità provvisoria utilizzando questo file.

[Fred]

Di nulla, sempre lieto di aiutare