Pulizia generale da infezioni varie :(

[Sweetol]

sono anche pronto a rimuoverlo manualmente..tutto tranne che formattare! proverò il tool..

ps: ho linux installato su pc, può essere d'aiuto? ;)

[poppiski]

amvo pare che si auto replica su tutti gli HD e anche penne USB .

L'eliminazione manuale sembra molto complessa,
però ho trovato un tool su un sito spagnolo per 'eliminazione.

Se lo vuoi provare lo allego qui

[Sweetol]

ho trovato questo in giro, che ne dite?


"Questo dannatissimo trojan colpisce tutti i dispositivi USB. In ogni periferica viene a scrivere 2 file: un file autorun.inf e un file .com ( di cui non ricordo il nome preciso, inizia con una x e contine qualche numero ).
E in più, nei computer infettati, inserisce alcuni file e alcune DLL nella catella System32 di Windows, si tratta di amvo.exe amvo.dll e altre 2 dll che cominciano per amvo ).


Gli effetti di questo virus non sono subito visibili, esso infatti rallenta un po' il pc ( io non me ne sono accorto, pensavo che il rallentamento fosse causato dal fatto che il pc era acceso da 1 settimana =) ) e disattiva la funzione di visualizzazione dei file nascosti. Da questo si deduce che tramite interfaccia grafica i file non sono eliminabili ( proprio perché sono nascosti ), ma non si eliminano neanche da DOS.

Esiste una semplice soluzione ( che non è formattare ), usate una distribuzione live di Linux ( io ho usato Ubuntu ). Con questa cancellate i file malevoli:
Nel C:, in tutte le altre partizioni, e in tutte le chiavette usb o altri dispositivi USB ( ipod, ecc.. )
-autorun.inf
-x____.com

Poi andate nella cartella windows/system32 tramile l'ausilio del terminale. Date questo comando:

cd /media/disk/WINDOWS/system32

poi date:

rm amvo*

A questo punto potete tornare su Windows. Il trojan è stato eliminato, ma le cartelle nascoste non saranno ancora visibile, dovrete modificare una chiave nel registro di sistema. Quandi andare su Star-->Esegui e scrivete regedit
Posizionatevi qui: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL e cambiate il valore della chiave "CheckedValue", impostatela a 1.

Ora il trojan è stato eliminato, siete di nuovo puliti."

[ste_95]

Hai tutti i sintomi? Non visualizzi cartelle e file nascosti? Hai le penne infette?

[Sweetol]

si penne infette e niente file nascosti, oltre al pc impallato..ho usato il tool, dice che l'ha rimosso. solo che ancora ho problemi con nod ed emule, gli stessi di prima..e continua a nn farmi vedere i file nascosti nonostante abbia applicato il tool in spagnolo..con il metodo di linux nn trova i file....

[ste_95]

Esegui la scansione on-line estesa con Kaspersky come descritto qui e postane il log seguendo queste indicazioni.

[Sweetol]

devo disattivare il ripristino configurazioni prima della scansione?

[ste_95]

Disattivalo, come preferisci.

[Sweetol]

ok sta facendo la scansione. al momento stiamo a 9 virus e 23 file infetti

e siamo solo al 22%!

[Sweetol]

ecco qua
http://www.mediafire.com/?fnwgsmtie10

[ste_95]

Essendo su un sito web, non puoi caricare direttamente la pagina in formato html, comprimila e poi caricala.

[Sweetol]

strano, io riesco a scaricarla e visualiuzzarla tranquillamente..boh. comunque eccolo compresso:

http://www.mediafire.com/?bbubb5jeg8e

[poppiski]

sembra che il tool non ha fatto bene il suo lavoro
Puoi provare con "unhackme"
c'è una versione di prova perfettamente funzionante
eccoti il link

http://greatis.com/unhackme/download.htm

[Sweetol]

ora provo grazie. magari vediamo prima cosa dice Ste, anche perché se poi devo rifare la scansione è un macello.


comunque ci sarebbero anche tutti gli altri virus da togliere . sono 17 no? che posto dove non batte mai il sole!

[ste_95]

E' rimasto qualcosa:

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto

Files to delete:
C:\6.bat
C:\autorun.inf
C:\Documents and Settings\WindowsXP\Documenti\File ricevuti\pc game motogp3_fastest_BitTorrent_downloader.zip/BitDownload-3.0-setup.exe
C:\Documents and Settings\WindowsXP\Impostazioni locali\Temp\fliuqm.dll
C:\tknn6.bat
C:\WINDOWS\system32\amvo0.dll
C:\WINDOWS\system32\amvo.exe

Folders to delete:
C:\Programmi\ESET\infected

Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

[Sweetol]

Ste ma in questo modo l'amvo pensi che si rigenera?

[ste_95]

Le altre volte mi sembra che la dll non la eliminassimo. Prova, male che vada torna.

[Sweetol]

in effetti non toglievamo nemmeno l'autoran se non erro, vero? vabbe vado, vediamo che succede

ecco il log:
http://www.mediafire.com/?txrc3ytuq7x

pare che un file nn sia riuscito a cancellarlo

[ste_95]

Sono io che ho scritto una cavolatina nello script. Elimina manualmente questo file:

C:\Documents and Settings\WindowsXP\Documenti\File ricevuti\pc game motogp3_fastest_BitTorrent_downloader.zip

Hai ancora problemi?

[Sweetol]

fatto. però ancora emule si blocca e il nod mi da quell'errore quando aggiorno il server 39...
il problema è che fondamentalmente funziona emule ma poi si blocca! boh. che sia corrotto qualche file del programma? provo ad incollare la cartella temp su una nuova installazione di emule, vediamo che succede..speriamo non corrompa i download! per nod non so come mai mi dia quell'errore..


comunque ho installato unhackme dopo aver applicato lo script e me lo continuava a trovare sto cacchio di amvo...ho provato a fare la pulizia con quello...boh, vediamo.

unhackme mi indica questa directori come pericoloso:
C:\WINDOWS\System32\Drivers
dandomi questa indicazione:



comunque emule con la nuova installazione pare stia funzionando bene. ora bisogna vedere se la precedente installazione (che ho lasciato) era danneggata oppure ostacolata da qualche altro virus. comunque penso che abbandonerò nod! ok si è leggero ma non ti trova una mazza...correggetemi se sbaglio


un modo per vedere se amvo se n'è andato e vedere se, sistemando la fisualizzazione dei file nascosti, li fa scomparire di nuovo. che dite?