Aiuto, PC indemoniato di virus, malware di ogni sorta.

[Skymon.mars]

Ciao a tutti!
Ho un problemone, il pc di mio fratello. E' da poco che è entrato a confrontarsi col computer dunque ha fatto una serie di cavolate, ora quel pc è pieno di infezioni di ogni sorta. Anche il famoso falso antivirus XP 2008, che non capisco se è ancora presente o meno. Ciò che io sono riuscito a fare è stato installare Avira PE, spybot e spywareblaster per limitare i danni in attesa di richiedervi aiuto qui. Spybot trova sempre almeno 90 infezioni, che ho cancellato ed immunizzato, anche Avira nella sua scansione trova sempre qualcosa, credo si rigenerino. Si aprono anche automaticamente pagine di Mozilla che portano a siti di donnine nude E' anche presente My Web Search..insomma tutto..
Credo sia il caso di usare i vari Hijackthis e Avenger..
Potete seguirmi per "debellare" il male che attanaglia quel portatile?!
Cosa devo fare?
Grazie

[Amantide]

Scarica ComboFix ed esegui la scansione seguendo queste istruzioni (giù in fondo). Al termine della scansione verrà creato il file di report C:\combofix.txt, copia qui il suo contenuto.

[Skymon.mars]

Ciao Amantide! Grazie mille dell'aiuto! Scusa se non ti ho potuto rispondere prima, ma il pc era impraticabile, non potevo connettermi ad internet, e siccome non avevo quello dal quale ti scrivo non potevo nemmeno scaricare combofix.. ora ho fatto però!
Allego il file log di Combofix al link sottostante di mediafire.. dimmi poi come procedere! Tu o chi possa aiutarmi insomma!
Grazie ancora

http://www.mediafire.com/?vrm2y1yjz2z

[Amantide]

La prossima volta incolla il log direttamente qui sul forum inserendolo tra i tag LOG.

Allora, Combofix ha rimosso da quel pc di tutto e di più e dalla quantità di programmi installati negli ultimi 30 giorni direi che il tuo fratello installa sul pc tutto ciò che gli capita sotto la mano, e le conseguenze si vedono

Scarica The Avenger, estrailo in una cartella ed avvia il file avenger.exe.
Incolla il seguente spript nello spazio bianco sotto alla voce Input script here, togli la spunta alla voce Scan for rootkits e clicca su Execute.

Codice: Seleziona tutto

Files to delete:
c:\windows\gilolo.exe
c:\windows\system32\xuqyd.scr
c:\documents and settings\All Users\Dati applicazioni\utag.exe
c:\documents and settings\mirko\Dati applicazioni\qoziwevixa.pif
c:\windows\system32\kexebuc.reg
c:\windows\udop.dll
c:\programmi\File comuni\lusi.bat
c:\windows\system32\rymyro.lib
c:\windows\system32\cowyg.sys
c:\documents and settings\mirko\delself.bat
c:\documents and settings\mirko\Menu Avvio\Programmi\Esecuzione automatica\iWin Desktop Alerts.lnk

Folders to delete:
c:\documents and settings\mirko\Dati applicazioni\VirusRemover2008
c:\programmi\wuvhmxb
c:\documents and settings\All Users\Dati applicazioni\nidifato
c:\documents and settings\All Users\Dati applicazioni\TEMP
c:\programmi\temp01
c:\documents and settings\All Users\Dati applicazioni\services

Il pc dovrebbe riavviarsi, se così non fosse, riavvialo manualmente.
Al riavvio dovrebbe apparire il log avenger.txt, posta qui il suo contenuto.

E farà anche bene a disinstallarsi tutti quei giochetti cui l'unico scopo è riempire il pc di vari spyware ed adware.

[Skymon.mars]

Ok, eccomi qua! Scusami se ci metto tanto, ma sto facendo la spola tra il mio ed il suo pc con una usb (che scansiono ogni volta, visto che quel pc mi fa schifo)
Chiaro che hai ragione, sono qui per insegnargli come funziona la rete, visto che non ci sta proprio dentro..
Dunque ti posto i due log di avenger, dico due poichè per sbaglio prima ho copiato cio che mi hai detto di copiare solo fino alla parte che comprendeva files to delete, poi me ne sono accorto cosi ho rifatto la scansione di avenger incollando solo piu la parte di folders to delete..
Ecco i risultati:

Files to delete

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File "c:\windows\gilolo.exe" deleted successfully.
File "c:\windows\system32\xuqyd.scr" deleted successfully.
File "c:\documents and settings\All Users\Dati applicazioni\utag.exe" deleted successfully.
File "c:\documents and settings\mirko\Dati applicazioni\qoziwevixa.pif" deleted successfully.
File "c:\windows\system32\kexebuc.reg" deleted successfully.

Error: file "c:\windows\udop.dll" not found!
Deletion of file "c:\windows\udop.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
the object does not exist

File "c:\programmi\File comuni\lusi.bat" deleted successfully.
File "c:\windows\system32\rymyro.lib" deleted successfully.
File "c:\windows\system32\cowyg.sys" deleted successfully.
File "c:\documents and settings\mirko\delself.bat" deleted successfully.
File "c:\documents and settings\mirko\Menu Avvio\Programmi\Esecuzione automatica\iWin Desktop Alerts.lnk" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

Folders to delete

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Folder "c:\documents and settings\mirko\Dati applicazioni\VirusRemover2008" deleted successfully.
Folder "c:\programmi\wuvhmxb" deleted successfully.
Folder "c:\documents and settings\All Users\Dati applicazioni\nidifato" deleted successfully.
Folder "c:\documents and settings\All Users\Dati applicazioni\TEMP" deleted successfully.

Error: "c:\programmi\temp01" is not a folder! It may instead be a file.
Deletion of folder "c:\programmi\temp01" failed!
Status: 0xc0000103 (STATUS_NOT_A_DIRECTORY)
use "Files to delete:" instead of "Folders to delete:" to delete an ordinary file

Folder "c:\documents and settings\All Users\Dati applicazioni\services" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

Ok, sono tutto orecchi!

[Skymon.mars]

Tra l'altro, gli ho appena fatto fare una scansione rapida con Malwarebytes.. gli ha trovato ben 25 file infetti, che sono i rogue del falso antivirus xp antivirus, xp antispyware ed un trojan.. ma per ora non cancello aspetto di sentire cosa mi dici...

[Amantide]

Hai fatto benissimo a fare la scansione con Malwarebytes, sarebbe stata la prossima mossa che ti avrei suggerito. Le voci rilevate sono sicuramente da rimuovere, ma sei vuoi essere sicuro al 100% prima di procedere, puoi postare prima il report qui, così gli do un'occhiata.

[Skymon.mars]

Ah, benissimo!
Et voilà il log di Malwarebytes:

Malwarebytes' Anti-Malware 1.30
Versione del database: 1306
Windows 5.1.2600 Service Pack 3

30/11/2008 22.53.43
mbam-log-2008-11-30 (22-53-37).txt

Tipo di scansione: Scansione rapida
Elementi scansionati: 40799
Tempo trascorso: 5 minute(s), 42 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 3
Valori di registro infetti: 0
Elementi dato del registro infetti: 0
Cartelle infette: 6
File infetti: 16

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
HKEY_LOCAL_MACHINE\SOFTWARE\XP_Antispyware (Rogue.XPAntiSpyware) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\virusremover2008 (Rogue.VirusRemove) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\SoftLand Ltd (Trojan.FakeAlert) -> No action taken.

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\BASE (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\DELETED (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\SAVED (Rogue.XPAntivirus) -> No action taken.

File infetti:
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080720030427619.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080720030540804.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080720030705727.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080720044144687.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080720193501370.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080720224438339.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080721034848370.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080721140424285.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080721161201430.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080721182234744.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080721231315229.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080722155418820.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080722163956215.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080722175133664.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080802182106370.log (Rogue.XPAntivirus) -> No action taken.
C:\Documents and Settings\All Users\Dati applicazioni\SoftLand Ltd\Antivirus 2008 XP\LOG\20080802182224512.log (Rogue.XPAntivirus) -> No action taken.

[Amantide]

Rimuovi tutto

[Skymon.mars]

Andata Ora tutto ok giusto?
Bene, io ho apportato modifiche alla sicurezza al suo pc, ho installato avira premium, inserito Spywareblaster, spybot senza il tea timer (ancora fa altri casini a livello di decisioni..), poi Malwarebytes e si, anche Ccleaner.
Se tiene aggiornato tutto e scansionerà regolarmente credo si possa dire che sia al sicuro..
Per quei giochini, che ci devo fare.. se ci gioca ancora dici che entrano spyware etc anche se ora dovrebbe essere abbstanza protetto..?
Grazie ancora per tutto, sei stata fondamentale.

[Amantide]

Disinstalla solo questo gioco per il momento, iWin Games, e magari digli di disconnettersi da internet quando gioca ad altri, così si evita che questi si connettono in rete per scaricare le schifezze varie.
Ah, e fagli conoscere anche www.virustotal.com

[enea83]

Andata avira premium, inserito Spywareblaster, spybot senza il tea timer (ancora fa altri casini a livello di decisioni..), poi Malwarebytes e si, anche Ccleaner.

dubito che avra altri promlemi di malware se tiene tutto aggiornato(firefox compreso)

attento solo a non fargli fare scansioni con malwarebytes senza la tua supervisione se intoppa in un falso positivo puo fare diversi danni, e malwarebytes(ottimo comunque) ultimamente qualche errorino lo fa...

ciao

[Skymon.mars]

Ok!
Disinstallato iwin games, si, almeno può continuare a giocarci senza che comunichino, appunto.
Non so che dire se non ancora grazie
Grazie anche a te Enea, ok farò scansionare con me presente