findykill.exe - virus total

[vibe]

ciao

scusate, ho preso il virus bagle e leggendo qui come rimuoverlo, ho visto che dovevo scaricare Findykill.exe.
Così ho fatto e per curiosità l'ho scansianto con VIRUS TOTAL il quale mi ha segnlato che sarebbero presenti virus nel file come:
Trojan.banker-151
Toll. Prockill
Win 32/Bancos.KLG
Adware/Eshoper.bg

Che devo fare? E' sicuro o davvero ci sono questi viris nel file Findykill?

Grazie per l'aiuto

[Amantide]

Se guardi bene dentro alla cartella d'installazione di FindyKill noterai li alcuni file che hanno gli stessi nomi di quelli di Bagle. Ora, non sono esperta, ma direi che per rimuovere l'infezione il FindyKill cerca prima di sostituire i file infetti con queste copie per imbrogliare il worm. Può essere che all'interno di questi file e chiavi di registro c'è qualche codice che fa credere all'antivirus che si tratta di un file malevole.

[vibe]

ok, è che sono terrorizzato adesso a scaricare qualsiasi cosa..è la prima volta che prendo un virus e non sono pratico...
il virus ce l'ho sul notebook dove il Norton 360 non me l'ha segnalato ( soldi buttati via...) l'ho scoperto scansionandolo sul PC con AVAST...adesso il nrton è bloccato, non ho nessuna protezione e non risco a colegarmi ad Internet, nè a mezzo wireless nè direttamente al router...in questo caso findykill funziona ugualemente?
grazie di cuore per il tuo aiuto...

[Amantide]

in questo caso findykill funziona ugualemente?

Si, scegliendo l'opzione 2 dovrebbe rimuovere il bagle.

[vibe]

bene, adesso sono fuso, domani provo sperando di riuscire a farcela...grazie ancora dell' aiuto e ti farò sapere l'esito...

[vibe]

ciao

ho eseguito findykill e ho notato che le impostazioni di sicurezza di window si sono sbloccate, ma ancora il norton è morto.
La cosa peggiore è che non riesco a collegarmi ad internet. Il pc riconosce il collegamento wireless ma dice che è una rete non identificata e non mi fa collegare ad internet. Cosa posso fare?

[Amantide]

ma ancora il norton è morto.

L'antivirus va reinstallato e spero che questa volta non si tratterà di Norton Prova un ottimo Avira, anche nella versione free.

La cosa peggiore è che non riesco a collegarmi ad internet. Il pc riconosce il collegamento wireless ma dice che è una rete non identificata e non mi fa collegare ad internet. Cosa posso fare?

Ripristina Zero Configuration reti senza fili come è spiegato in questo articolo.

[vibe]

quindi basta che faccia questa operazione? Dove salvo il file registro.reg? Ho Windows VISTA, va nebe lo stesso?
Perdonami, considerami un principiante...

Ripristino di Zero Configuration reti senza fili

Per ripristinare l'uso del servizio Zero Configuration reti senza fili dovete prima riattivare questi componenti di sistema, NDISUIO e RPC.

Incollate il testo sottostante sul Blocco note e salvate il file con il nome registro.reg Assicuratevi che l'estensione del file sia REG e non TXT. Fate il doppio click sul file registro.reg e date la conferma per due volte. Per apportare le modifiche al registro dovrete riavviare il computer.


view plaincopy to clipboardprint?
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Ndisuio]
"Start"=dword:00000003
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Rpc]
"UuidSequenceNumber"=dword:0cdae01e
[HKEY_CURRENT_USER\Session\Information]
"ProgramCount"=dword:00000004

[Amantide]

Dovrebbe andare bene anche per Vista.
Ti allego qui il file bello pronto, lo devi solo estrarre dul desktop e cliccarci sopra.

[vibe]

purtroppo non ha funzionato...esiste qualche altra possibilità? Provo a lanciarlo di nuov e riavviarlo? devo prima disinstallare norton?

[Amantide]

Hai riavviato il pc dopo aver eseguito Findykill?
Mi posti il contenuto del log che trovi in C:\findykill.txt?

[vibe]

Eccolo qui sotto:



----------------- FindyKill V4.709 ------------------

* User : vibe - PC-VIBE
* executed from : C:\Program Files\FindyKill
* Update on 10/12/08 par Chiquitine29
* Start at 18:26:26 the 11/12/2008
* Windows Vista - Internet Explorer 7.0.6001.18000


((((((((((((((( *** deleting *** ))))))))))))))))))


--------------- [ Active Processes ] ----------------


C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Acer\ALaunch\ALaunchSvc.exe
C:\Windows\system32\LogonUI.exe
C:\Windows\system32\Ati2evxx.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSService.exe
C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
C:\Acer\Empowering Technology\eNet\eNet Service.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Acer\Mobility Center\MobilityService.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe
C:\Windows\system32\svchost.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Acer Arcade Deluxe\TV Joy\Kernel\TV\TVECapSvc.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
C:\Acer\Empowering Technology\eSettings\Service\capuserv.exe
C:\Program Files\Acer Arcade Deluxe\TV Joy\Kernel\TV\TVESched.exe
C:\Acer\Empowering Technology\ePower\ePowerSvc.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\DllHost.exe
C:\Windows\system32\userinit.exe
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\system32\runonce.exe
C:\Windows\system32\conime.exe

--------------- [ Infected files / folders ] ----------------


»»»» Supression files in C:


»»»» Supression files in C:\Windows


»»»» Supression files in C:\Windows\Prefetch

Deleted ! - C:\Windows\prefetch\KEYGEN.EXE-31DD62AB.pf

»»»» Supression files in C:\Windows\system32


»»»» Supression files in C:\Windows\system32\config\systemprofile\AppData\Roaming


»»»» Supression files in C:\Windows\system32\drivers

Deleted ! - C:\Windows\system32\drivers\srosa.sys
Deleted ! - C:\Windows\system32\drivers\srosa2.sys

»»»» Supression files in C:\Users\vibe\AppData\Roaming

Deleted ! - "C:\Users\vibe\AppData\Roaming\drivers\srosa.sys"
Deleted ! - "C:\Users\vibe\AppData\Roaming\drivers\srosa2.sys"
Deleted ! - "C:\Users\vibe\AppData\Roaming\drivers\winupgro.exe"
Deleted ! - "C:\Users\vibe\AppData\Roaming\drivers\downld"
Deleted ! - "C:\Users\vibe\AppData\Roaming\drivers"

»»»» Supression files in C:\Users\vibe\AppData\Local\Temp

Deleted ! - C:\Users\vibe\AppData\Local\Temp\N360.1.0.0.184\N360\Browser\APP\Patch25d.dll
Deleted ! - C:\Users\vibe\AppData\Local\Temp\N360.1.0.0.184\N360\Setup\NORTON\App\patch25d.dll
Deleted ! - C:\Users\vibe\AppData\Local\Temp\N360.1.0.0.184\Support\AV\AV\patch25.dll
Deleted ! - C:\Users\vibe\AppData\Local\Temp\N360.2.0.0.242\N360\Setup\patch25.dll
Deleted ! - C:\Users\vibe\AppData\Local\Temp\N360.2.0.0.242\N360\Setup\NORTON\App\patch25d.dll
Deleted ! - C:\Users\vibe\AppData\Local\Temp\N360.2.0.0.242\Support\AV\patch25.dll
Deleted ! - C:\Users\vibe\AppData\Local\Temp\N360.2.0.0.242\Support\NCO\NCO\patch25.dll
Deleted ! - C:\Users\vibe\AppData\Local\Temp\N360.2.0.0.242\Support\NCO\NCO\APP\Patch25d.dll
Deleted ! - C:\Users\vibe\AppData\Local\Temp\Rar$EX00.854\keygen.exe

»»»» Supression files in C:\Users\vibe\Local Settings\Temporary Internet Files\Content.IE5


--------------- [ Other deleting ] ----------------

Infected ! - "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" -> Deleted !

--------------- [ Registry / Infected keys ] ----------------

Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SK9OU0S
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SK9OU0S
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SK9OU0S
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SK9OU0S
Deleted ! - HKEY_USERS\S-1-5-21-660695555-1164798293-3962842474-1000\Software\Local AppWizard-Generated Applications\keygen
Deleted ! - HKEY_USERS\S-1-5-21-660695555-1164798293-3962842474-1000\Software\Local AppWizard-Generated Applications\msnmsgr
Deleted ! - HKEY_USERS\S-1-5-21-660695555-1164798293-3962842474-1000\Software\Local AppWizard-Generated Applications\winupgro

--------------- [ States / Restarting of services ] ----------------



+- Services : [ Auto=2 / Request=3 / Disable=4 ]

Ndisuio - Type of startup = 3

EapHost - Type of startup = 2

Wlansvc - Type of startup = 2

SharedAccess - Type of startup = 2

wuauserv - Type of startup = 2

wscsvc - Type of startup = 2

WinDefend - Type of startup = 2


--------------- [ Cleaning removable drives ] ----------------

+- Informations :

C: - Unit… fissa
D: - Unit… fissa
E: - Unit… fissa

+- deleting files :


--------------- [ Registry / Mountpoint2 ] ----------------


-> Not found !


--------------- [ Searching Cracks / Keygen ] ----------------

C:\Users\vibe\AppData\Roaming\uTorrent\Nero_Burning_ROM_v6.6.0.13 + keygen.torrent
C:\Users\vibe\Desktop\VARIE VIBE\All Oberon Media Games Crack
C:\Users\vibe\Desktop\VARIE VIBE\All Oberon Media Games Crack\dag.nfo
C:\Users\vibe\Desktop\VARIE VIBE\All Oberon Media Games Crack\oberon games
C:\Users\vibe\Desktop\VARIE VIBE\All Oberon Media Games Crack\oberon games.zip
C:\Users\vibe\Desktop\VARIE VIBE\All Oberon Media Games Crack\oberon games\oberon_games_crack.exe
C:\Users\vibe\Desktop\VARIE VIBE\All Oberon Media Games Crack\oberon games\readme.eng
C:\Users\vibe\Desktop\VARIE VIBE\All Oberon Media Games Crack\oberon games\readme.txt
C:\Users\vibe\Documents\Downloads\Nero_Burning_ROM_v6.6.0.13 + keygen
C:\Users\vibe\Documents\Downloads\Nero_Burning_ROM_v6.6.0.13 + keygen\Nero_Burning_ROM_v6.6.0.13
C:\Users\vibe\Documents\Downloads\Nero_Burning_ROM_v6.6.0.13 + keygen\Nero_Burning_ROM_v6.6.0.13\keygen.exe
C:\Users\vibe\Documents\Downloads\Nero_Burning_ROM_v6.6.0.13 + keygen\Nero_Burning_ROM_v6.6.0.13\nero-6.6.0.13.exe


---------------- ! End of report ! ------------------

[Amantide]

Eppure i vari servizi compromessi sono stati riattivati da Findykill.
Prova a riavviare il pc e vedi se cambia qualcosa.

[vibe]

Purtroppo non ci sono novità. E' corretto che sotto la cartella RETI non ci sia niente?

[Amantide]

Prova ad eseguire quest'altra chiave di registro.

[vibe]

non lo esegue completamente, mi da il seguente messaggio:non tutti i dati sono stati scritti correttamente sul registro. Alcune chiavi sono utilizzate dal sistema o da altri processi.

[vibe]

sono stanchissimo, esco dal forum, ti ringrazio davvero per come hai cercato di darmi una mano.
Se hai novità, anche per questa nuova chiave di registro, ti prego comunicarmela così che possa
provare domani.
Buona notte

[Amantide]

Purtroppo non ho più Vista da un po' di tempo e quindi non posso verificare di persona, mi spiace

[vibe]

quindi immagino non ci sia altro da fare, per rimediare immagino dovrei resettare tutto....oppure c'è un alternativa?

[Amantide]

Ce l'hai il DVD d'installazione di Vista? Potresti fare il boot da questo DVD e riparare il SO.