help malware( rootkit)

[Martina Stella]

ho fatto una scansione anti rootkit con avira premium e mi ha segnalato due oggetti nasosti e mi ha consigliato una scansione completa che è risultata pulita, come quella di SUPERAntySpyware. Rifacendo la scansione però sono ancora lì! come eliminarli??
questo è il log della scansione di avira premium

Avira AntiVir Premium
Data del file di report: domenica 15 febbraio 2009 21:05

Ricerca di 1245440 virus e programmi indesiderati.

Informazioni sulla versione:
BUILD.DAT : 8.2.0.33 20010 Bytes 02/12/2008 15:03:00
AVSCAN.EXE : 8.1.4.10 315649 Bytes 18/11/2008 08:21:30
AVSCAN.DLL : 8.1.4.0 48385 Bytes 27/06/2008 07:11:03
LUKE.DLL : 8.1.4.5 164097 Bytes 12/06/2008 12:44:16
LUKERES.DLL : 8.1.4.0 12545 Bytes 23/06/2008 08:08:48
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 11:30:36
ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11/02/2009 14:18:55
ANTIVIR2.VDF : 7.1.2.13 2048 Bytes 11/02/2009 14:18:57
ANTIVIR3.VDF : 7.1.2.26 69632 Bytes 15/02/2009 18:06:18
Motore : 8.2.0.79
AEVDF.DLL : 8.1.1.0 106868 Bytes 01/02/2009 14:15:01
AESCRIPT.DLL : 8.1.1.47 348539 Bytes 13/02/2009 14:12:01
AESCN.DLL : 8.1.1.7 127347 Bytes 13/02/2009 14:11:58
AERDL.DLL : 8.1.1.3 438645 Bytes 04/11/2008 13:58:38
AEPACK.DLL : 8.1.3.8 397684 Bytes 06/02/2009 13:28:07
AEOFFICE.DLL : 8.1.0.33 196987 Bytes 19/01/2009 17:33:22
AEHEUR.DLL : 8.1.0.90 1573237 Bytes 06/02/2009 13:28:04
AEHELP.DLL : 8.1.2.0 119159 Bytes 19/01/2009 17:32:53
AEGEN.DLL : 8.1.1.16 332148 Bytes 13/02/2009 14:11:56
AEEMU.DLL : 8.1.0.9 393588 Bytes 14/10/2008 10:05:56
AECORE.DLL : 8.1.6.5 176501 Bytes 13/02/2009 14:11:52
AEBB.DLL : 8.1.0.3 53618 Bytes 14/10/2008 10:05:56
AVWINLL.DLL : 1.0.0.12 15105 Bytes 09/07/2008 08:40:02
AVPREF.DLL : 8.0.2.0 38657 Bytes 16/05/2008 09:27:58
AVREP.DLL : 8.0.0.2 98344 Bytes 31/07/2008 12:02:15
AVREG.DLL : 8.0.0.1 33537 Bytes 09/05/2008 11:26:37
AVARKT.DLL : 1.0.0.23 307457 Bytes 12/02/2008 08:29:19
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 12/06/2008 12:27:46
SQLITE3.DLL : 3.3.17.1 339968 Bytes 22/01/2008 17:28:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 12/06/2008 12:49:36
NETNT.DLL : 8.0.0.1 7937 Bytes 25/01/2008 12:05:07
RCIMAGE.DLL : 8.0.0.51 2564353 Bytes 23/06/2008 09:37:52
RCTEXT.DLL : 8.0.51.1 90369 Bytes 25/07/2008 06:38:33

Impostazioni di configurazione per la scansione attuale:
Nome del job.....................: Cerca Rootkits
File di configurazione...........: C:\Documents and Settings\All Users\Dati applicazioni\Avira\AntiVir PersonalEdition Premium\PROFILES\rootkit.avp
Report...........................: elevato
Azione primaria..................: interattivo
Azione secondaria................: elimina
Scansione dei record master di avvio: Attivo
Scansiona record di avvio........: Attivo
Scansione dei programmi attivi...: Non attivo
Scansiona la registrazione.......: Non attivo
Cerca Rootkits...................: Attivo
Modalità di scansione file.......: Tutti i file
Scansione degli archivi..........: Attivo
Limita la profondità di ricorsione: 20
Archivio estensioni Smart........: Attivo
Tipi di archivi irregolari.......: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,
Macro euristico..................: Attivo
File euristico...................: elevato
Impostazioni aggiuntive di ricerca: 0x00300922

Avvio della scansione: domenica 15 febbraio 2009 21:05

È stata avviata la scansione per accertare la presenza di oggetti nascosti.
HKEY_USERS\S-1-5-21-1851492687-807267017-54199308-1007\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{7D258A50-14F5-01CD-863A-A5AC74CC3F29}\iajphbinbibmdpckfp
[INFO] L'inserimento della registrazione non è visibile.
HKEY_USERS\S-1-5-21-1851492687-807267017-54199308-1007\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{7D258A50-14F5-01CD-863A-A5AC74CC3F29}\hapojaolgipdmfmk
[INFO] L'inserimento della registrazione non è visibile.
Sono stati esaminati '417554' oggetti, sono stati rilevati '2' oggetti nascosti.


Fine della scansione: domenica 15 febbraio 2009 21:08
Tempo impiegato: 03:11 Minuto(i)

La scansione è stata completamente eseguita.

0 Directory scansionate
0 I file sono stati scansionati
0 Rilevati virus e/o programmi indesiderati
0 I file sono stati classificati come sospetti
0 I file sono stati eliminati
0 I virus o i programmi indesiderati sono stati riparati
0 File spostati in quarantena
0 File rinominati
0 Impossibile scansionare i file
0 File non infetti
0 Archivi scansionati
0 Avvisi
0 Note
417554 Oggetti scansionati durante la scansione dei rootkit
2 Sono stati rilevati oggetti nascosti

Ho poi fatto una scansione con gmer

GMER 1.0.14.14536 - http://www.gmer.net
Rootkit scan 2009-02-16 16:32:29
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.14 ----

SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu Pty Ltd) ZwEnumerateKey [0xAF6AAE20]
SSDT \??\C:\WINDOWS\system32\drivers\OADriver.sys (OA Helper Driver/Tall Emu Pty Ltd) ZwEnumerateValueKey [0xAF6AAE50]

---- Devices - GMER 1.0.14 ----

Device \Driver\Tcpip \Device\Ip OAmon.sys (TDI Helper Driver/Tall Emu Pty Ltd)
Device \Driver\Tcpip \Device\Tcp OAmon.sys (TDI Helper Driver/Tall Emu Pty Ltd)
Device \Driver\Tcpip \Device\Udp OAmon.sys (TDI Helper Driver/Tall Emu Pty Ltd)
Device \Driver\Tcpip \Device\RawIp OAmon.sys (TDI Helper Driver/Tall Emu Pty Ltd)

---- EOF - GMER 1.0.14 ----

COSA DEVO FARE??

PER COMPLETEZZA ECCO IL LOG HijackThis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16.39.14, on 16/02/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Tall Emu\Online Armor\oasrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir PersonalEdition Premium\sched.exe
C:\Programmi\acer\Acer eConsole\MediaServerService.exe
C:\Programmi\Avira\AntiVir PersonalEdition Premium\avguard.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\system32\SupportAppMH\cdrom_mon.exe
C:\Programmi\Avira\AntiVir PersonalEdition Premium\avesvc.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe
C:\Programmi\Tall Emu\Online Armor\oacat.exe
C:\Programmi\Avira\AntiVir PersonalEdition Premium\avmailc.exe
C:\Programmi\Avira\AntiVir PersonalEdition Premium\AVWEBGRD.EXE
C:\WINDOWS\System32\alg.exe
C:\Programmi\Acer\Acer eMode Management\AspireService.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programmi\Acer\Acer eConsole\MediaSync.exe
C:\Programmi\Avira\AntiVir PersonalEdition Premium\avgnt.exe
C:\Programmi\Tall Emu\Online Armor\oaui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\IObit\Advanced SystemCare 3\AWC.exe
C:\Programmi\Tall Emu\Online Armor\oahlp.exe
C:\Programmi\MH600HS Wizard\Modem.exe
C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Proprietario\Desktop\Collegamenti desktop inutilizzati\HiJackThis\HiJackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/webhp?hl=it
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - C:\Programmi\Crawler\Toolbar\ctbr.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - C:\Programmi\Crawler\Toolbar\ctbr.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: Toolbar &Crawler - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - C:\Programmi\Crawler\Toolbar\ctbr.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [AspireService] C:\Programmi\Acer\Acer eMode Management\AspireService.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [MediaSync] C:\Programmi\Acer\Acer eConsole\MediaSync.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir PersonalEdition Premium\avgnt.exe" /min
O4 - HKLM\..\Run: [@OnlineArmor GUI] "C:\Programmi\Tall Emu\Online Armor\oaui.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Advanced SystemCare 3] "C:\Programmi\IObit\Advanced SystemCare 3\AWC.exe" /startup
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Windows Live Search - res://C:\Programmi\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: Crawler Search - tbr:iemenu
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{CCFE309B-8CA0-4111-B81E-BE53FD6E5D2C}: NameServer = 62.13.171.4 62.13.171.5
O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - C:\Programmi\Crawler\Toolbar\ctbr.dll
O20 - AppInit_DLLs:
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Acer Media Server - Acer Inc. - C:\Programmi\acer\Acer eConsole\MediaServerService.exe
O23 - Service: Avira AntiVir Premium MailGuard (AntiVirMailService) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Premium\avmailc.exe
O23 - Service: Avira AntiVir Premium Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Premium\sched.exe
O23 - Service: Avira AntiVir Premium Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Premium\avguard.exe
O23 - Service: Avira AntiVir Premium WebGuard (antivirwebservice) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Premium\AVWEBGRD.EXE
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Autorun CDROM Monitor - Unknown owner - C:\WINDOWS\system32\SupportAppMH\cdrom_mon.exe
O23 - Service: Servizio assistenza di Avira AntiVir Premium MailGuard (AVEService) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Premium\avesvc.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Nero\Lib\NMIndexingService.exe
O23 - Service: Online Armor Helper Service (OAcat) - Tall Emu - C:\Programmi\Tall Emu\Online Armor\oacat.exe
O23 - Service: Online Armor (SvcOnlineArmor) - Tall Emu - C:\Programmi\Tall Emu\Online Armor\oasrv.exe

--
End of file - 8807 bytes

ho Online Armor come firewall

[francesco betatester]

se è uno spyware scaricati MALWAREBYTES,se e un rootkit scaricati GMER

[crazy.cat]

se e un rootkit scaricati GMER

Già fatto

Ho poi fatto una scansione con gmer

Se gmer non ti ha indicato voci rosse (ma gli hai fatto fare lo stesso una scansione completa della sezione rootkit? Il log mi sembra piuttosto corto) direi che dei veri rootkit non ci sono.
Le voci di avira sono piuttosto strane, vediamo se passa di qui Ste_95 che ha dei buoni rapporti con il forum di avira e trova qualche altra idea.

X Martina
I log li devi incollare all'interno del tag LOG che si apre premendo l'apposito pulsante presente nel form di apertura discussione.
Vedi adesso come la discussione è più leggibile...

[ste_95]

HKEY_USERS\S-1-5-21-1851492687-807267017-54199308-1007\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{7D258A50-14F5-01CD-863A-A5AC74CC3F29}\iajphbinbibmdpckfp
[INFO] L'inserimento della registrazione non è visibile.
HKEY_USERS\S-1-5-21-1851492687-807267017-54199308-1007\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{7D258A50-14F5-01CD-863A-A5AC74CC3F29}\hapojaolgipdmfmk
[INFO] L'inserimento della registrazione non è visibile.

Penso che usino queste frasi complesse solo per dire che di fatto la chiave non è visibile. Da regedit la vedi? Con GMER, dalla sezione Regitry, te la segna in rosso?

[kronos]

prova con RootRepeal e vedi se trova elementi nascosti (hidden)...
http://rootrepeal.googlepages.com/RootRepeal.rar

se RR viene rilevato dal tuo antivirus come infetto non preoccuparti, si tratta di un falso positivo