virus beagle

[axelgirl]

Ciao a tutti.
Anche io mi sono presa beagle, ho già fatto la scansione con caspersky, ecco il log

KASPERSKY ONLINE SCANNER 7 REPORT
Monday, October 20, 2008
Operating System: Microsoft Windows XP Professional Service Pack 2 (build 2600)
Kaspersky Online Scanner 7 version: 7.0.25.0
Program database last update: Monday, October 20, 2008 11:18:16
Records in database: 1324980
Scan settings
Scan using the following database extended
Scan archives yes
Scan mail databases yes
Scan area My Computer
C:\
D:\
E:\
Scan statistics
Files scanned 133221
Threat name 2
Infected objects 4
Suspicious objects 0
Duration of the scan 02:20:01

File name Threat name Threats count
C:\Documents and Settings\Axel\Impostazioni locali\Temp\7zO33.tmp\install.exe Infected: Trojan-Downloader.Win32.Bagle.adx 1
C:\Programmi\TOSHIBA\TOSCDSPD\TOSCDSPD.exe Infected: Trojan-Downloader.Win32.Bagle.adx 1
C:\WINDOWS\system32\drivers\srosa.sys.vir Infected: Trojan-Downloader.Win32.Bagle.mm 1
C:\WINDOWS\system32\drivers\winfilse.exe Infected: Trojan-Downloader.Win32.Bagle.adx 1
The selected area was scanned.

Vi prego AIUTATEMI!

[ste_95]

Disabilita il ripristino configurazione di sistema.

Scarica la nuova versione di Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada. Se ti restituisce un errore di Applicazione WIN32 non valida o altri errori relativi a file mancanti usa questa versione.
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto

Files to delete:
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\drivers\srosa.sys.vir
C:\WINDOWS\system32\wintems.exe
C:\windows\system32\drivers\hldrrr.exe
C:\WINDOWS\system32\mdelk.exe
C:\WINDOWS\system32\drivers\mdelk.exe
C:\Documents and Settings\Axel\Impostazioni locali\Temp\7zO33.tmp
C:\Programmi\TOSHIBA\TOSCDSPD\TOSCDSPD.exe
C:\WINDOWS\system32\drivers\winfilse.exe

Folders to delete:
C:\WINDOWS\system32\drivers\downld

Registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA

Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

Se Avenger ti dice che lo script non è valido (Invalid script), riscrivi manualmente il primo comando (Files to delete:) senza dimenticare i due punti finali.

[axelgirl]

Fortunatamente avenger non mi ha dato problemi. Ecco il log

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:


Error: file "C:\WINDOWS\system32\drivers\srosa.sys" not found!
Deletion of file "C:\WINDOWS\system32\drivers\srosa.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist

File "C:\WINDOWS\system32\drivers\srosa.sys.vir" deleted successfully.

Error: file "C:\WINDOWS\system32\wintems.exe" not found!
Deletion of file "C:\WINDOWS\system32\wintems.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: file "C:\windows\system32\drivers\hldrrr.exe" not found!
Deletion of file "C:\windows\system32\drivers\hldrrr.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: file "C:\WINDOWS\system32\mdelk.exe" not found!
Deletion of file "C:\WINDOWS\system32\mdelk.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: file "C:\WINDOWS\system32\drivers\mdelk.exe" not found!
Deletion of file "C:\WINDOWS\system32\drivers\mdelk.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist


Error: "C:\Documents and Settings\Axel\Impostazioni locali\Temp\7zO33.tmp" is a folder, not a file!
Deletion of file "C:\Documents and Settings\Axel\Impostazioni locali\Temp\7zO33.tmp" failed!
Status: 0xc00000ba (STATUS_FILE_IS_A_DIRECTORY)
use "Folders to delete:" instead of "Files to delete:" to delete a directory

File "C:\Programmi\TOSHIBA\TOSCDSPD\TOSCDSPD.exe" deleted successfully.
File "C:\WINDOWS\system32\drivers\winfilse.exe" deleted successfully.
Folder "C:\WINDOWS\system32\drivers\downld" deleted successfully.
Registry key "HKLM\SYSTEM\CurrentControlSet\Services\srosa" deleted successfully.
Registry key "HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

[ste_95]

Esegui ancora questo:

Codice: Seleziona tutto

Folders to delete:
C:\Documents and Settings\Axel\Impostazioni locali\Temp\7zO33.tmp

[axelgirl]

Fatto.

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Folder "C:\Documents and Settings\Axel\Impostazioni locali\Temp\7zO33.tmp" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

[ste_95]

Prova a reinstallare un antivirus.

Segui le istruzioni di questa pagina per ripristinare la rete senza fili, la modalità provvisoria e la visualizzazione dei file nascosti.

[axelgirl]

Funziona di nuovo tutto! Non so come ringraziarti!

[prem]

ciao,

volevo ringraziarti anch'io

stavo quasi per reinstallare xp poi mi sono imbattuto in questo post....

[ste_95]

[Domenico B]

salve sono nuovo e credo di essermi imbattuto in questo maledetto Bagle

scusami Ste_95, ma il link alternativo ad Avenger non funziona. Visto che Avenger non mi funziona perché mi dice che non è un'applicazione Win32, potresti correggere il link, per favore? in modo che possa utilizzarlo per vedere se riesco a risolvere qualcosa

grazie in anticipo

[Amantide]

Possiamo cercare di risolvere anche senza usare Avenger.

Scarica FindyKill (by Chiquitine29)ed installalo (è in francese però è di facile comprensione).
Una volta installato chiudi tutte le applicazioni attive e disconnettiti dal internet, poi clicca sull'icona di FindyKill e nella finestra dos che si aprirà scrivi 1 e premi Invio. Attendi il termine della scansione e posta qui il log che trovi in C:\FindyKill.txt

[Domenico B]

ok, vediamo se con FindyKill funziona

grazie per la pazienza

[Domenico B]

ecco, ho avviato l'operazione richiesta con Findykill e questo è il log che risulta dall'operazione eseguita

----------------- FindyKill V4.705 ------------------

* User: Led Zeppelin - NOME-2D4C92FAAF
* Executed from : C:\Programmi\FindyKill
* Update on 17/11/08 by Chiquitine29
* Start at 17:03:22 the 28/11/2008
* Windows XP - Internet Explorer 6.0.2900.5512

((((((((((((((((( *** Searching *** ))))))))))))))))))


--------------- [ Active Processes ] ----------------


C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\EPSON\EBAPI\eEBSVC.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe
C:\Programmi\DAEMON Tools\daemon.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\Programmi\Windows Live\Messenger\usnsvc.exe

--------------- [ Infected files / folders ] ----------------


»»»» Presence Files in C:


»»»» Presence Files in C:\WINDOWS


»»»» Presence Files in C:\WINDOWS\Prefetch


»»»» Presence Files in C:\WINDOWS\system32


»»»» Presence Files in C:\WINDOWS\system32\drivers


»»»» Presence Files in C:\Documents and Settings\Led Zeppelin\Dati applicazioni


»»»» Presence Files in C:\DOCUME~1\LEDZEP~1\IMPOST~1\Temp


»»»» Presence Files in C:\Documents and Settings\Led Zeppelin\Local Settings\Temporary Internet Files\Content.IE5


--------------- [ Registry / Startup ] ----------------

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run]

EPSON Stylus CX3200=C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /A "C:\WINDOWS\system32\E_S236.tmp"
msnmsgr="C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run]

NBKeyScan="C:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
DAEMON Tools="C:\Programmi\DAEMON Tools\daemon.exe" -lang 1033
avast!=C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
Windows Security =rundll32.exe
QuickTime Task="C:\Programmi\QuickTime\qttask.exe" -atboottime
iTunesHelper="C:\Programmi\iTunes\iTunesHelper.exe"
ClamWin="C:\Programmi\ClamWin\bin\ClamTray.exe" --logon
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL=
Installed=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI=
NoChange=1
Installed=1
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS=
Installed=1

--------------- [ Registry / Infected keys ] ----------------



--------------- [ States / Services ] ----------------



+- Services : [ Auto=2 / Request=3 / Disable=4 ]

Ndisuio - Type of startup = 3

EapHost - Type of startup = 2

Ip6Fw - Type of startup = 2

SharedAccess - Type of startup = 2

wuauserv - Type of startup = 2

wscsvc - Type of startup = 2



--------------- [ Searching in removable drives ] ----------------


+- Informations :

C: - Unit… fissa

D: - Unit… fissa


+- Presence of files :



--------------- [ Registry / Mountpoint2 ] ----------------


-> Not found !


------------------- ! End of report ! --------------------

[Amantide]

Non si tratta di Bagle.

Scarica ComboFix ed esegui la scansione seguendo queste istruzioni (giù in fondo). Al termine della scansione verrà creato il file di report C:\combofix.txt, copia qui il suo contenuto.

Se non riesci ad avviare Combofix prova con questo file rinominato.