Grosso guaio con virus/rootkit

[xone89]

Raga, ho un grosso problema...
HO scaricato una chiave di un programma da internet e al posto della chiave il suddetto file .exe mi ha riempito di Trojan e Rootkit...
Il primo effetto collaterale è il firewall che si è disattivato e non ne vuole più sapere...

Subito Avast mi ha inondato di warning e ho già cancellato vari Trojan, ma penso che la cosa non sortisca alcun effetto...
Poi sempre da Avast ricevo sempre questo avviso:
Messaggio della scansione all'avvio di AvasT!
Protezione di rete: bloccato "DCOM Exploit" - attacco da 79.9.25.242:135/tcp

Ho fatto la scansione con Sophos Anti-Rootkit e ho trovato 3 file Unknown hidden file (in Local hard drives) cosi locati:

C:\WINDOWS\system32\wsnpoem\audio.dll
C:\WINDOWS\system32\wsnpoem\video.dll
C:\WINDOWS\system32\ntos.exe

Detto questo non sò più cosa fare, vi prego aiutatemi non posso formattare di nuovo il PC...
Grazie a tutti in anticipo!!

[spitfire10]

Raga, ho un grosso problema...
HO scaricato una chiave di un programma da internet e al posto della chiave il suddetto file .exe mi ha riempito di Trojan e Rootkit...
Il primo effetto collaterale è il firewall che si è disattivato e non ne vuole più sapere...

Subito Avast mi ha inondato di warning e ho già cancellato vari Trojan, ma penso che la cosa non sortisca alcun effetto...
Poi sempre da Avast ricevo sempre questo avviso:
Messaggio della scansione all'avvio di AvasT!
Protezione di rete: bloccato "DCOM Exploit" - attacco da 79.9.25.242:135/tcp

Ho fatto la scansione con Sophos Anti-Rootkit e ho trovato 3 file Unknown hidden file (in Local hard drives) cosi locati:

C:\WINDOWS\system32\wsnpoem\audio.dll
C:\WINDOWS\system32\wsnpoem\video.dll
C:\WINDOWS\system32\ntos.exe

Detto questo non sò più cosa fare, vi prego aiutatemi non posso formattare di nuovo il PC...
Grazie a tutti in anticipo!!

Ciao,
tempo fa sono riuscito a risolvere un analogo problema installando la versione trial di Kaspersky.

[ste_95]

Scarica GMER, poi segui i seguenti passaggi:

--- 1° passaggio ---
Avviamo gmer
clicchiamo su > > >
Clicchiamo su Autostart
mettiamo il segno di spunta a Show All
clicchiamo su Scan
al termine della scansione, clicchiamo su Copy
Apriamo il blocco note e premiamo CTRL+V (oppure clicchiamo su Modifica e poi su Incolla).
Salviamo il file e carichiamolo su FreeFileHosting
Postiamo qui il link che ci viene assegnato.

--- 2° passaggio ---
Sempre nel programma appena scaricato (gmer),
clicchiamo su Rootkit
clicchiamo su Scan
al termine della scansione, clicchiamo su Copy
Apriamo il blocco note e premiamo CTRL+V (oppure clicchiamo su Modifica e poi su Incolla).
Salviamo il file e carichiamolo su FreeFileHosting
Postiamo qui il link che ci viene assegnato.

[xone89]

Scusate, non riesco a caricare sui siti di hosting e neanche dai forum probabilmente sara opera di qualche virus, quindi adesso non so come postarvi i file log...

[xone89]

OK, ora ci sono riuscito


1o Passaggio > Autostart

http://www.freefilehosting.net/download/3f2m5

2o Passaggio > Full Scan

http://www.freefilehosting.net/download/3f2m7

Dalla scansione completa metto in risalto i 2 parametri visualizzati in rosso da GMER ossia

---- Processes - GMER 1.0.14 ----

Process C:\WINDOWS\system32\svchost.exe (*** hidden *** ) 140

---- Services - GMER 1.0.14 ----

Service C:\WINDOWS\zalpqbj.sys (*** hidden *** )

[ste_95]

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto

Files to delete:
C:\WINDOWS\zalpqbj.sys
C:\WINDOWS\system32\ntos.exe
C:\WINDOWS\system32\wsnpoem
C:\WINDOWS\system32\wsnpoem\audio.dll
C:\WINDOWS\system32\wsnpoem\video.dll

Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

[xone89]

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File "C:\WINDOWS\zalpqbj.sys" deleted successfully.
File "C:\WINDOWS\system32\ntos.exe" deleted successfully.

Error: "C:\WINDOWS\system32\wsnpoem" is a folder, not a file!
Deletion of file "C:\WINDOWS\system32\wsnpoem" failed!
Status: 0xc00000ba (STATUS_FILE_IS_A_DIRECTORY)
use "Folders to delete:" instead of "Files to delete:" to delete a directory

File "C:\WINDOWS\system32\wsnpoem\audio.dll" deleted successfully.
File "C:\WINDOWS\system32\wsnpoem\video.dll" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

[ste_95]

Hai ancora problemi? Esegui una nuova scansione rootkit con GMER.

[xone89]

Hai ancora problemi? Esegui una nuova scansione rootkit con GMER.

Purtroppo si, oltre ad avere il sistema tutto sballato,l antivirus saltato e la tastiera semi impazzita, GMER ha rilevato ancora un rootkit tra l-altro gia rilevato prima...

http://www.freefilehosting.net/download/3f380

[ste_95]

Scansiona il file C:\WINDOWS\system32\svchost.exe su VirusTotal.com e posta i risultati.

Esegui la scansione on-line estesa con Kaspersky come descritto qui.