Pc infettato da virus Netsky

[falcao]

Il computer di mia nipote è infettato dal virus in oggetto. Qual' è la procedura per rimuoverlo? Prima di accorgermi della sua presenza ho inserito la mia chiavetta usb nel suo pc per trasferirle un file, corro il rischio di infettarmi anchio utilizzandola sul mio?

[The King of GnG]

Questa è bella, Netsky che da grane. E' uno di quei vecchi worm in circolazione da anni ma che ancora risulta essere il malware più diffuso nel traffico di e-mail spazzatura. Utile sarebbe sapere la bestiaccia con cui si ha a che fare, vale a dire quale variante con precisione viene individuata dall'antivirus. O il sito VirusTotal. Riguardo l'infezione automatica collegando la pendrive non dovrebbe essere il caso, visto che a quanto mi risulta NetSky non usa strategie tipo autorun.inf modificato per replicarsi tra i sistemi. Ma non si può mai dire, quindi io userei prudenza.....

[crazy.cat]

Un qualsiasi antivirus appena decente dovrebbe riuscire a rimuoverlo.
Prova a scaricare Stinger o avast cleaner e lanciarli dalla modalità provvisoria se non c'è altro modo di toglierlo.

[SteelBolter]

Che ne dite della versione free di AVIRA?

[falcao]

Credo di aver dato una informazione troppo avventata di quello che è realmente il problema. Riassumo brevemente: accendo il portatile di mia nipote e alla schermata del desktop un messaggio di avvertimento (di Windows...... ) mi segnala di essere infettato da Netsky e mi invita a fare una scansione online per eliminarlo, e nel frattempo lampeggia insistentemente un' icona con una croce rossa nella tray. Annullando, puntualmente dopo poco salta fuori di nuovo. Ho scansionato con un paio di tools per la rimozione di Netsky, ma non risulta nulla. Non ho trovato nulla di anormale nelle chiavi di avvio, ma l' unico problema oltre a quello già esposto e che mi trovo disabilitato (dall' amministratore..... ) il task manager. Come devo procedere a questo punto?

P.s.: L' antivirus (Nod32 aggiornato) non rivela nulla.

[crazy.cat]

Allora riabilita il task manager http://www.MegaLab.it/2448
e poi vediamo il log di una scansione di hijackthis.

[ste_95]

Prova anche a dare una passata con Rogue Remover Free.

[falcao]

Tutto risolto. Erano un paio di trojan downloader che avevano messo a ferro e fuoco tutto il sistema, come mai non ne avevo visti finora. Li ho comunque eliminati agevolmente con Spyware Terminator e con il programma gentilmente suggerito da Ste. Un saluto a tutti e grazie del supporto tecnico.

[falcao]

Tutto risolto.

Non ho risolto un bel niente. Dopo una mezza giornata di funzionamento regolare, dopo aver spento e riacceso il pc un paio di volte il maledetto è risaltato fuori più cattivo di prima. Ha anche impostato uno sfondo del desktop che risulta cliccabile e sicuramente indirizza ad una pagina infetta. A questo punto come mi consigliate di procedere?

P.S.: il notebook è un Acer Extensa e tra le sue utility dovrebbe avere anche una partizione di recovery in configurazione EISA. In ultima analisi si potrebbe tentare il ripristino ma non so come accedervi.

[ste_95]

Scarica HijackThis
Salvalo in una cartella (non aprirlo direttamente, sennò non farà i backup!)
Apri l'eseguibile
Clicca quindi su "Do a System Scan and Save a Logfile"
Attendi che finisca la scansione
Quindi copia il contenuto del blocco note qui sul forum.

[falcao]

Ho fatto una scansione con Superantispyware, e mi ha trovato ed eliminato una serie di schifezze. Ho anche eseguito una scansione con HijackThis di cui unisco report:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18.20.50, on 27/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Programmi\Intel\Intel Matrix Storage Manager\Iaantmon.exe
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Programmi\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\ScsiAccess.EXE
C:\Programmi\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Documents and Settings\nome\Desktop\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_04\bin\ssv.dll
O2 - BHO: GNX Rolex - {7DEE5BA2-CB70-4BBB-BD94-208BBA8AA6C4} - C:\WINDOWS\drnpfdxlsk.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O3 - Toolbar: etlrlws - {EF04FFC1-16A5-4683-95AC-BE24D11152F3} - C:\WINDOWS\etlrlws.dll
O4 - HKLM\..\Run: [egui] "C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Organizzatore ricerche - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programmi\File comuni\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programmi\File comuni\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O21 - SSODL: bokpkov - {FB88A50F-FE4D-4C83-B1D5-888BACE4D725} - C:\WINDOWS\bokpkov.dll
O21 - SSODL: altvxvm - {3921C257-2B2F-462B-AB71-455BFCB13A20} - C:\WINDOWS\altvxvm.dll (file missing)
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: eLock Service (eLockService) - - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Programmi\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programmi\CyberLink\Shared Files\RichVideo.exe
O23 - Service: ScsiAccess - Unknown owner - C:\WINDOWS\system32\ScsiAccess.EXE
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe
O23 - Service: Utilità di pianificazione di LiveUpdate automatico - Unknown owner - C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)


--
End of file - 6661 bytes

[ste_95]

Seleziona a sinistra queste voci e premi fix checked:

O2 - BHO: GNX Rolex - {7DEE5BA2-CB70-4BBB-BD94-208BBA8AA6C4} - C:\WINDOWS\drnpfdxlsk.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: etlrlws - {EF04FFC1-16A5-4683-95AC-BE24D11152F3} - C:\WINDOWS\etlrlws.dll
O21 - SSODL: bokpkov - {FB88A50F-FE4D-4C83-B1D5-888BACE4D725} - C:\WINDOWS\bokpkov.dll
O21 - SSODL: altvxvm - {3921C257-2B2F-462B-AB71-455BFCB13A20} - C:\WINDOWS\altvxvm.dll (file missing)

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto

Files to delete:
C:\WINDOWS\altvxvm.dll
C:\WINDOWS\drnpfdxlsk.dll
C:\WINDOWS\etlrlws.dll
C:\WINDOWS\bokpkov.dll

Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

[falcao]

Missione compiuta. Ti allego il contenuto del file log di Avenger:
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:


Error: file "C:\WINDOWS\altvxvm.dll" not found!
Deletion of file "C:\WINDOWS\altvxvm.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: file "C:\WINDOWS\drnpfdxlsk.dll" not found!
Deletion of file "C:\WINDOWS\drnpfdxlsk.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist

File "C:\WINDOWS\etlrlws.dll" deleted successfully.
File "C:\WINDOWS\bokpkov.dll" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

[ste_95]

Hai ancora problemi?

[falcao]

Per ora tutto funge alla perfezione. Ti ringrazio del supporto tecnico e del tempo prezioso che mi hai dedicato. Ciao.