Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

domanda su BAGLE worm (hldrrr)....

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

domanda su BAGLE worm (hldrrr)....

Messaggioda manero478 » sab feb 17, 2007 1:14 pm

ho scaricato un file credendo fosse una utility..(controllo temp. processore) e all'apparenza cosi sembrava..
anche se appena lanciato non succedeva nulla subito..poi mi chiedeva di aprire un file..cosa per cui non era preposto allora l'ho chiuso.
Poi ho aperto il tack manager e mi sono trovato un IEXPLORER aperto pur non avendolo lanciato dato che uso FIREFOX..così ho cancellato il processo..
ma come per incanto si e riaperto..
allora ricordandomi della volta precedente..(e si gia' l'ho avuto)
ho controllato tutti i processi e ho trovato anche HLDRRR attivo..
casì l'ho chiuso e ante iexplorer..
ho lanciato la scansione l'antivirus e lo spyware AVG...piu' spyware search&destroy..ma non ha trovato nulla...
memore della prima volta ho lanciato GMER e ho fatto i log di autostart e rootkit e HijackThis ..li ho uniti in un file che ti allego....
poi sempre dietro le info dell'ultima volta ho controllato quanto dettomi e cioe :
File remove.txt
C:\WINDOWS\system32\hldrrr.exe
C:\Documents and Settings\Gilberto\Dati applicazioni\hidires\hidr.exe
C:\Documents and Settings\Gilberto\Dati applicazioni\hidires\m_hook.sys
C:\Windows\System32\wintems.exe

folders to delete:
C:\Documents and Settings\Gilberto\Dati applicazioni\hidires

registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | hldrrr
HKCU\Software\Microsoft\Windows\CurrentVersion\Run | drvsyskit
HKCU\Software\Microsoft\Windows\CurrentVersion\Run | hldrrr
HKCU\Software\Microsoft\Windows\CurrentVersion\Run | german.exe

registry keys to delete:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\m_hook

ma non ho trovato nulla di queste info..
ho fatto la ricerca e ho cancellato l'unico file che ho trovato (hldrrr.exe)
in teoria sembra tutto apposto..ma ho paura a fare la ripartenza..perche l'altra volta il casino e sucesso al riavvio..
pero la differenza sta che quella volta non avevo cancellato il file HLDRRR.EXE in anticipo..
quindi che faccio???
Ho paura a riavviare... [cry+]
grazie...
Avatar utente
manero478
Senior Member
Senior Member
 
Messaggi: 384
Iscritto il: ven dic 23, 2005 3:14 pm

Messaggioda research » sab feb 17, 2007 1:21 pm

Ciao,da Hijackthis leva questa stringa

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

Ti consiglio di sostituire il DAP con un altro acceleratore di download,puoi scegliere download express.

Ciao

PS:Di bagle nemmeno l'ombra
Chi sa vincere non ha bisogno di dar battaglia,chi sa guidare gli esseri umani
si mette al loro servizio.
Avatar utente
research
Aficionado
Aficionado
 
Messaggi: 33
Iscritto il: sab feb 17, 2007 10:45 am
Località: Italy

segue...

Messaggioda manero478 » sab feb 17, 2007 1:24 pm

grazie..
allora mo' provo a ripartire..
vediamo che succede...

comunque..
come mai ne l'antivirus ne il firawall hanno impedito al file HLDRRR.exe
di andare in esecuzione??

???????
[8)]

ciao
Avatar utente
manero478
Senior Member
Senior Member
 
Messaggi: 384
Iscritto il: ven dic 23, 2005 3:14 pm


Re: segue...

Messaggioda research » sab feb 17, 2007 1:28 pm

manero478 ha scritto:grazie..
allora mo' provo a ripartire..
vediamo che succede...

comunque..
come mai ne l'antivirus ne il firawall hanno impedito al file HLDRRR.exe
di andare in esecuzione??

???????
[8)]

ciao

Evidentemente non riconoscono il malware,il firewall,poteva avvertirti nel caso il processo voleva accedere ad internet,in questo caso l'unica cosa che poteva salvarti era un software hips oppure un altro antivirus che riconosce il malware [;)]
Chi sa vincere non ha bisogno di dar battaglia,chi sa guidare gli esseri umani
si mette al loro servizio.
Avatar utente
research
Aficionado
Aficionado
 
Messaggi: 33
Iscritto il: sab feb 17, 2007 10:45 am
Località: Italy

Re: domanda su BAGLE worm (hldrrr)....

Messaggioda Amantide » sab feb 17, 2007 6:42 pm

manero478 ha scritto:ho fatto la ricerca e ho cancellato l'unico file che ho trovato (hldrrr.exe)

I log sono puliti e sembra che hldrrr.exe era l'unico file presente.
Devi tener conto che il Bagle che conosciamo noi è composto di 3 varianti di Bagle... a volte anche di più.
come mai ne l'antivirus ne il firawall hanno impedito al file HLDRRR.exe

Il consiglio è lo stesso di prima: sostituire il firewall con uno più aggiornato, io ti consiglio vivamente Comodo Firewall, avverte non solo della tentazione di certi processi di accedere in rete ma anche dei cambiamentie coportamenti sospetti. Aggiungi anche Spyware Terminator e sei apposta.

***edit***
Dimenticavo...
Esegui Hijackthis, vai su Oper the Misc Tools section e seleziona Oper ADS Spy... Togli la spunta accanto alla voce Quick scan e clicca su Scan. A scansione terminata trova e seleziona le seguenti voci e clicca su Remove Selected:
ADS C:\Documents and Settings\All Users\Dati applicazioni\TEMP:2A81F9CE
ADS C:\Documents and Settings\All Users\Dati applicazioni\TEMP:3B71D0B4
...per volare alto, bisogna saper cadere...
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

...

Messaggioda manero478 » sab feb 17, 2007 7:13 pm

allora :
Ho fatto il riavvio del PC e per fortuna non si e' infettato nulla..

per quanto riguarda il firewall ho appunto comodo firewall (aggiornato) messo dietro tua segnalazione....(come mai non mi ha detto nulla di hldrrr.exe??)

l'antyspyware oh avg...ma se non va' bene ...provvedero'..

per hijackthis ti ringrazio e ho fatto quanto mi hai detto e ho cancellato quelle righe, le quali peraltro erano 2 per segnalazione...

ma ancor di piu' ti ringrazio perche' mi hai aperto un mondo nuovo, io neanche sapevo dell'esistenza delle opzioni Oper ADS Spy... o altro..
infatti lo usavo pedestemente..con le impostazioni standard..
...
ora da profano ti chiedo...rimetto la spunta a Quick scan o lo lascio così??

grazie e grazie ancora..

ciao sei mitica [applauso+]
Avatar utente
manero478
Senior Member
Senior Member
 
Messaggi: 384
Iscritto il: ven dic 23, 2005 3:14 pm

Re: ...

Messaggioda Amantide » sab feb 17, 2007 7:19 pm

manero478 ha scritto:per quanto riguarda il firewall ho appunto comodo firewall (aggiornato) messo dietro tua segnalazione....(come mai non mi ha detto nulla di hldrrr.exe??)

Evidentemente hldrrr.exe stava li buono buono [:D]

l'antyspyware oh avg...ma se non va' bene ...provvedero'..

Per la protezione in tempo reale va meglio Spyware Terminator, tra altro ha anche un modulo HIPS integrato.

ma ancor di piu' ti ringrazio perche' mi hai aperto un mondo nuovo, io neanche sapevo dell'esistenza delle opzioni Oper ADS Spy... o altro..
infatti lo usavo pedestemente..con le impostazioni standard..

Guarda che all'inizi ho usato anche io Hijacthis solo per fare la scansione "tipica" [fischio]

ora da profano ti chiedo...rimetto la spunta a Quick scan o lo lascio così??

é indifferente... tanto appena riavvii HJT questa opzione si rimetterà all'impostazione di default.
...per volare alto, bisogna saper cadere...
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

scusatemi

Messaggioda nickboss100 » dom lug 08, 2007 7:24 pm

ciao avete ragione sono stato troppo duro e schizzofrenico comunque ho dei seri problemi ancora.
non mi mandava in modalità provvisoria e così ho usato elibagle e ho eliminato tre bagle.... ora mi fa andare nella modalità provvisoria ma il problema persiste,da deglli errori al norton e skybot nn rileva nulla ho già postato il log
Avatar utente
nickboss100
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: dom lug 08, 2007 4:31 pm

Re: scusatemi

Messaggioda crazy.cat » dom lug 08, 2007 7:26 pm

nickboss100 ha scritto:ciao avete ragione sono stato troppo duro e schizzofrenico comunque ho dei seri problemi ancora.
non mi mandava in modalità provvisoria e così ho usato elibagle e ho eliminato tre bagle.... ora mi fa andare nella modalità provvisoria ma il problema persiste,da deglli errori al norton e skybot nn rileva nulla ho già postato il log

si continua qui
http://www.MegaLab.it/forum/viewtopic.php?t=33104
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre


Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Nessuno e 4 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising