eliminato bagle ma cartella downld ricompare ad ogni riavvio

[mittolo]

Ciao a tutti.
Seguendo le istruzioni trovate su vari forum tra cui anche questo, ho disinfestato il mio pc da Bagle. Tutto funziona come prima... spero!! (tranne problemi nascosti in cui magari non mi sono ancora imbattuto).
L'unica cosa che riscontro, e che mi fa stare un po' in apprensione, è che la cartella "downld" che il virus crea in C:\Windows\System32\drivers, ricompare ad ogni riavvio anche se io la elimino regolarmente ogni volta.
Sarà forse rimasto qualche file infetto, anche se non riscontro nessuna attività strana con Taskinfo, e sia avast che kaspersky virus removal tool non rilevano nessuna infezione, o è windows che non so perché ricrea la cartella?
Spero che qualcuno possa aiutarmi a risolvere la cosa per rassicurarmi che non ci siano ancora infezioni nascoste.
Grazie.

[ste_95]

Scarica GMER, poi segui i seguenti passaggi:

--- 1° passaggio ---
Avviamo gmer
clicchiamo su > > >
Clicchiamo su Autostart
mettiamo il segno di spunta a Show All
clicchiamo su Scan
al termine della scansione, clicchiamo su Copy
Apriamo il blocco note e premiamo CTRL+V (oppure clicchiamo su Modifica e poi su Incolla).
Salviamo il file e carichiamolo su FreeFileHosting
Postiamo qui il link che ci viene assegnato.

--- 2° passaggio ---
Sempre nel programma appena scaricato (gmer),
clicchiamo su Rootkit
clicchiamo su Scan
al termine della scansione, clicchiamo su Copy
Apriamo il blocco note e premiamo CTRL+V (oppure clicchiamo su Modifica e poi su Incolla).
Salviamo il file e carichiamolo su FreeFileHosting
Postiamo qui il link che ci viene assegnato.

[mittolo]

Grazie per la risposta immediata.
Ecco i log che mi hai chiesto:

http://www.freefilehosting.net/download/3i55c

http://www.freefilehosting.net/download/3i570

[ste_95]

I log sono puliti, non si vede nulla. La scansione online con Kaspersky non rileva nulla?

Ti suggerirei di passare da Avast ad Avira Antivir Personal Edition Classic.

[mittolo]

Come dicevo nel mio primo post, ho usato kasperky removal tool.
Non ho fatto uno scanning online. Se ritieni posso fare anche quello.
Mi spiegheresti perché mi consigli quell'antivirus invece di avast?
Grazie.

[ste_95]

Come dicevo nel mio primo post, ho usato kasperky removal tool.
Non ho fatto uno scanning online. Se ritieni posso fare anche quello.

Meglio.

Mi spiegheresti perché mi consigli quell'antivirus invece di avast?

Kaspersky
Avast

[mittolo]

Scanning online in corso: dopo 25 minuti progresso al 3%...
Mi sa che ci vorranno molte ore dato che ho scelto di controllare l'intero pc.
Ti farò sapere.
Grazie

[mittolo]

Niente! Lo scanning online non ha rilevato nulla degno di nota.
Resta il fatto che la famigerata cartella "downld" si ricrea sempre. Boh?!?
Qualche automatismo di windows che ricrei file o cartelle presenti in zone sensibili come la cartella di sistema SYSTEM32 anche se ripristino configurazione è disattivato? Non ricordo perfettamente, ma mi pare che WIN ME ricreava automaticamente certi file in aree di sistema, a prescindere da ripristino configurazione che non ricordo nemmeno se c'era in Millennium.
Se avete qualche idea....
Grazie.


!!!!!!!!!RETTIFICA!!!!!!!!!!!!!

In una precedente scansione parziale aveva rilevato Trojan-Downloader.Win32.Bagle.qv nel file C:\Programmi\Acronis\TrueImageHome\TrueImageMonitor.exe (che avevo subito eliminato oltre che disinstallare e reinstallare trueimage) che di per se è un file legittimo di trueimage, ma al quale si è sostituito con un file di 676 KB (mentre l'originale è di 2,47 MB) e con l'icona di hldrrr.exe cioè la croce rossa. Poichè all'avvio viene lanciato il file TrueImageMonitor.exe che è tra i file della chiave RUN io penso che ricreava la cartella downld ma forse si limitava a questo o perché avast lo interrompeva o perché magari gli mancavano altri file necessari per infettare di nuovo completamente il pc. Adesso comunque la cartella non viene ricreata più all'avvio quindi il problema sembra risolto. Vorrei comunque il vostro parere su quanto da me ipotizzato.
Ciao e grazie

[crazy.cat]

Vorrei comunque il vostro parere su quanto da me ipotizzato.

E' possibile, bagle infetta sempre uno dei file in esecuzione automatica.
Fai magari un controllo con gmer che non rilevi dei rootkit in rosso, ma se l'antivirus tiene, non dovrebbero esserci.

[mittolo]

Infatti con gmer non ci sono file in rosso. Però devo dire che avevo già provato con gmer quando c'era ancora in autostart quel file di trueimage fasullo ma lui non lo aveva rilevato. Comunque allo stato attuale sembra che l'infezione sia stata debellata quindi credo di poter riprendere a respirare. Comunque è assurdo che un antivirus come avast si lasci disabilitare da bagle. Ti risulta che avvenga anche con altri antivirus?
Ciao e grazie.

[ste_95]

Succede praticamente con tutti gli antivirus, ma ne approfitto per aprirti gli occhi e farti vedere come Avast sia un colabrodo!

[mittolo]

Scusami ma allora come ci si difende da queste bestiacce a parte che lasciando il modem spento. A che serve installare un antivirus se tutti si lasciano disabilitare?!?

[ste_95]

Avere un antivirus che riconsoce in tempo le minacce, mi sembra un buon punto di partenza, per questo ti consiglio Avira Antivir Personal Edition Classic.

[mittolo]

Ok seguirò il tuo consiglio.
Ti saluto e ti ringrazio per la tua disponibiltà.
Alla prossima!

[ste_95]

, Grazie a te!