Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

Vi chiedo aiuto. schermo blu

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

Vi chiedo aiuto. schermo blu

Messaggioda paolo_fia » mer feb 21, 2007 10:46 am

Ciao a tutti,

premetto di aver usato l'opzione "cerca" come da voi consigliato in fase di registrazione senza però riscontrare niente di utile anche perché a differenza degli altri problemi "a schermo blu" che ho riscontrato in passato questa volta nella schermata non ci sono riferimenti a file o applicazioni non funzionanti ma solo una stringa che riporto di seguito.

STOP: 0x0000007E (0xC0000005 , 0x80573CF7, 0xF7A63B3C, 0xF7A63838)

mi succede qualche secondo dopo essermi connesso ad internet e al riavvio nell'avviso "Il sistema è stato riavviato in seguito a un errore grave" mi da le seguenti coordinate



BCCode : 1000007e BCP1 : C0000005 BCP2 : 80573CF7
BCP3 : F79E7B3C BCP4 : F79E7838 OSVer : 5_1_2600 SP : 2_0 Product : 768_1


e se chiedo ulteriori informazioni mi segnala i file su cui il sistema ha crushato (credo)


C:\WINDOWS\TEMP\WERc3f0.dir00\Mini022107-05.dmp
C:\WINDOWS\TEMP\WERc3f0.dir00\sysdata.xml

inoltre al riavvio Avast, il mio antivirus, dice di non poter effettuare la protezione d'accesso in quanto
"Il sottosistema AAVM ha trovato un errore RPC"

Ho Windows Xp Sp2 se puo essere utile

Grazie per l'attenzione e grazie a chi potrà aiutarmi

Paolo F.
Avatar utente
paolo_fia
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: mer feb 21, 2007 10:02 am

Messaggioda crazy.cat » mer feb 21, 2007 1:02 pm

Intanto prova a disinstallare avast e poi reinstallarlo.
L'errore 0x0000007E senza un nome di un file è difficile.
Potrebbe essere un driver qualsiasi come lo stesso avast a provocare il problema.
Nel visualizzatore eventi non c'è qualche riferimento più chiaro dell'errore?
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Messaggioda paolo_fia » mer feb 21, 2007 1:34 pm

Ciao,

andando per tentativi ho sfogliato qualche post e sono arrivato alla guida sui worm bagle e in effetti ho trovato quei maledetti file nella cartella system32 di windows.

sempre per tentativi ho provato ad usare avenger con lo script postato da uno di voi e sembrerebbe tutto a posto adesso.

non si spegne piu'...avast (reinstallato) funziona bene e devo ancora controllare se la mod.provvisoria è tornata come prima.


posto il log di avenger:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\gjucsvmr

*******************

Script file located at: \??\C:\WINDOWS\svhcyehq.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



Could not open file C:\Documents and Settings\Administrator\Dati applicazioni\hidires\m_hook.sys for deletion
Deletion of file C:\Documents and Settings\Administrator\Dati applicazioni\hidires\m_hook.sys failed!

Could not process line:
C:\Documents and Settings\Administrator\Dati applicazioni\hidires\m_hook.sys
Status: 0xc000003a



Could not open file C:\Documents and Settings\Administrator\Dati applicazioni\hidires\hidr.exe for deletion
Deletion of file C:\Documents and Settings\Administrator\Dati applicazioni\hidires\hidr.exe failed!

Could not process line:
C:\Documents and Settings\Administrator\Dati applicazioni\hidires\hidr.exe
Status: 0xc000003a

File C:\WINDOWS\system32\wintems.exe deleted successfully.
File C:\WINDOWS\system32\hldrrr.exe deleted successfully.


Could not open folder C:\Documents and Settings\Administrator\Dati applicazioni\hidires for deletion
Deletion of folder C:\Documents and Settings\Administrator\Dati applicazioni\hidires failed!

Could not process line:
C:\Documents and Settings\Administrator\Dati applicazioni\hidires
Status: 0xc000003a

Folder C:\WINDOWS\exefld deleted successfully.
Registry key HKLM\SYSTEM\CurrentControlSet\Services\m_hook deleted successfully.


Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK
Status: 0xc0000034

Registry value HKLM\Software\Microsoft\Windows\CurrentVersion\Run|hldrrr deleted successfully.

Completed script processing.

*******************

Finished! Terminate.




c'è qualche problema secondo te?

alla fine credo di aver risolto ed è solo grazie a questo sito, lo consiglierò ai miei amici perché merita.

Ciao e grazie per l'attenzione

Paolo F.
Avatar utente
paolo_fia
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: mer feb 21, 2007 10:02 am


Messaggioda Amantide » mer feb 21, 2007 1:41 pm

Non credo che hai risolto definitivamente, sono stati eliminati alcune chavi di registro ed i file hldrrr.exe e wintems.exe ed è per questo hai notato il miglioramento, resta da eliminare però la cartella hidires che nel tuo caso non credo che si trovi in C:\Documents and Settings\Administrator.
Al posto di Administrator devi inserire il nome del tuo utente e rieseguire lo script.
Dopo leggiti anche questo articolo, sull'ultima pagina trovi le spiegazioni su come eliminare i residui di Bagle e come ripristinare l'uso di alcuni servizi e la modalità provvisoria.
...per volare alto, bisogna saper cadere...
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda paolo_fia » mer feb 21, 2007 2:28 pm

Ciao,

ora ho rieseguito avenger cambiando lo script con il mio nome utente e ciò che è venuto fuori è il seguente log:



Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\gcnfbeib

*******************

Script file located at: \??\C:\Documents and Settings\npqqienl.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\Documents and Settings\Paolo\Dati applicazioni\hidires\m_hook.sys deleted successfully.
File C:\Documents and Settings\Paolo\Dati applicazioni\hidires\hidr.exe deleted successfully.


File C:\WINDOWS\system32\wintems.exe not found!
Deletion of file C:\WINDOWS\system32\wintems.exe failed!

Could not process line:
C:\WINDOWS\system32\wintems.exe
Status: 0xc0000034



File C:\WINDOWS\system32\hldrrr.exe not found!
Deletion of file C:\WINDOWS\system32\hldrrr.exe failed!

Could not process line:
C:\WINDOWS\system32\hldrrr.exe
Status: 0xc0000034

Folder C:\Documents and Settings\Paolo\Dati applicazioni\hidires deleted successfully.


Folder C:\WINDOWS\exefld not found!
Deletion of folder C:\WINDOWS\exefld failed!

Could not process line:
C:\WINDOWS\exefld
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Services\m_hook not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Services\m_hook failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Services\m_hook
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_HOOK
Status: 0xc0000034



Could not delete registry value HKLM\Software\Microsoft\Windows\CurrentVersion\Run|hldrrr
Deletion of registry value HKLM\Software\Microsoft\Windows\CurrentVersion\Run|hldrrr failed!
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.




Tieni conto che avevo già cancellato i file del system32 con il precedente e quindi ora non li trova più ma questo sicuramente già lo sai.

le operazioni sul registro tramite il regedit le avevo già fatte quindi dovrebbe essere tutto a posto.

un ultima logorroica domanda....c'è modo di sapere con certezza di averlo tolto? c'è un tool apposta o un removal che mi confermi la sua assenza?

Ciao e grazie mille davvero

Paolo
Avatar utente
paolo_fia
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: mer feb 21, 2007 10:02 am

Messaggioda Amantide » mer feb 21, 2007 2:38 pm

paolo_fia ha scritto:un ultima logorroica domanda....c'è modo di sapere con certezza di averlo tolto? c'è un tool apposta o un removal che mi confermi la sua assenza?

No... hai solo la mia parola... non so se ti basta [fischio]

Intanto dovresti trovare il file veicolo di Bagle, prima di ricaderci un altra volta.
Al 99% si tratta di un file attorno a 1-2 MB che imita qualche programma o simili ed è un file scaricato dalle reti p2p. Dovrebbe essere un file rar o zip con all'suo interno un file exe ed un altro file dll con il nome casuale.
Per fare le verifiche puoi caricare i file sospetti su www.virustotal.com
...per volare alto, bisogna saper cadere...
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda paolo_fia » mer feb 21, 2007 3:31 pm

Certo che mi basta mi hai salvato il notebook oltre che la mia igiene mentale.

ho caricato il sospetto infame sul sito ed effettivamente era lui il responsabile solo che me lo vedono come tanti tipi diversi di virus..non è che devo debellarli tutti ora vero?

tra parentesi Avast me lo sta ancora cercando......no comment

AntiVir 7.3.1.37 02.21.2007 TR/Crypt.XPACK.Gen
AVG 386 02.20.2007 I-Worm/Bagle
CAT-QuickHeal9.00 02.20.2007 (Suspicious) - DNAScan
eTrust-Vet 30.4.3417 02.21.2007 Win32/Glieder.FB
Fortinet 2.85.0.0 02.21.2007 suspicious
Kaspersky 4.0.2.24 02.21. Trojan-Downloader.Win32.Agent.bgy
Norman 5.80.02 02.21.2007 W32/Agent.BBYU
TheHacker 6.1.6.062 02.21.2007 Trojan/Downloader.Agent.bgy


stavo valutando di cambiare su AVG

Ciao
Paolo
Avatar utente
paolo_fia
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: mer feb 21, 2007 10:02 am

Messaggioda Amantide » mer feb 21, 2007 3:36 pm

Potresti caricare questo file su www.mytempdir.com e mandarmi il link tramite PM? Grazie.

Come antivirus ti consiglierei Antivir PE o Active Virus Shield, il fatto che AVG è riuscito a riconoscerti quel file proprio con il nome di Bagle non dire che sia l'antivirus migliore, anche se tra quelli gratuiti occupa il meritevole terzo posto.
...per volare alto, bisogna saper cadere...
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

AVG trova I-Worm\Bagle

Messaggioda bussola » gio lug 24, 2008 9:54 am

Ragazzi mi collego a questa discussione perché ho un problema con qsto IWormBagle che AVG mi trova ad ogni apertura di windows e ogni volta gli dò il comando di "heal" ma nn ha effetti perché nel successivo riavvio si ripresenta la stessa situazione!
ho letto un po di cose su questo Worm ma nn corrispondono alla mia situazione..(ho usato lo strumento "cerca" anche.. [;)] )
ora..la situazione non si sblocca di qui..si ripete sempre il tran tran ad ogni avvio io lo "elimino" conAVG ma al riavvio dopo tutto è uguale..
problemi però nn mi sembra che ne crei..
l'unico "sintomo" è un processo: iexplorer.exe che si apre all'avvio da solo e che quando apro le mie pagine di internet explorer mi fa apparire fienstre di siti pubblicitari..
ma non so se le due cose siano collegate..
per il resto il mio antivirus sembra funzionare correttamente..dato che ho letto che la funzione di qsto worm è "congelare" l'antivirus..
qualcuno può illuminarmi sul mio problema?
grazie a tutti anticipatamente!!
Bussola
Avatar utente
bussola
Neo Iscritto
Neo Iscritto
 
Messaggi: 11
Iscritto il: gio lug 24, 2008 9:27 am

Messaggioda gio! » gio lug 24, 2008 1:32 pm

Hai eseguito le istruzioni nel post in rilievo?
Ci dici il percorso del rilevamento?
Posta anche un log hijackthis.
Avatar utente
gio!
Senior Member
Senior Member
 
Messaggi: 275
Iscritto il: sab gen 19, 2008 3:13 pm

Messaggioda Fred » gio lug 24, 2008 1:40 pm

@ paolo_fia: come AV prendi antivir professionale... c'è la promozione segnalata nella sezione segnalazione siti: 3 mesi gratis
Asus M3N78SE;AMD Athlon 64X2 5200+@5400;2 GB DDR2;NVIDIA GeForce 9500GT;Windows 7 Pro 64bit;
AcerASPIRE5230;Windows 7 Pro 64bit
Skype: nellopc90
Avatar utente
Fred
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 3623
Iscritto il: mer apr 27, 2005 4:13 pm
Località: Urbe


Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Nessuno e 4 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising