Kaspersky: Your computer is infected

[alessiomu]

Ho fatto una scansione online con kaspersky perché pensavo di avere una partizione infettata da qualche virus, ma il risultato è peggio di quanto immaginassi.
Vi spiego in breve la configurazione del sistema.
Ho partizionato il disco in 4 parti e in 2 ho installato win xp.
Oggi mi sono accorto che l'antivirus nod32 non era in esecuzione in e che la connessione senza fili non era attiva.

Help!!!

Dopo avere tentato inutilmente di installare diversi antivirus ho fatto la scansione online con kaspersky ed il risultato è questo:


-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
Monday, November 26, 2007 10:42:31 PM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.98.0
Kaspersky Anti-Virus database last update: 26/11/2007
Kaspersky Anti-Virus database records: 466085
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: extended
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\
F:\
G:\

Scan Statistics:
Total number of scanned objects: 218177
Number of viruses found: 3
Number of infected objects: 12
Number of suspicious objects: 0
Duration of the scan process: 01:24:37

Infected Object Name / Virus Name / Last Action
C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\AdvertPop.dll.bac_a03916 Infected: Trojan.Win32.Agent.qc skipped
C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\UI_Upd_SYS.exe.bac_a03916 Infected: Trojan.Win32.Agent.qc skipped
F:\WINDOWS\system32\drivers\hidr.exe Infected: Trojan-Downloader.Win32.Bagle.ga skipped
F:\WINDOWS\system32\drivers\srosa.sys Infected: Trojan-Downloader.Win32.Bagle.ga skipped
G:\EMULE\Incoming\Outlook Password Recovery Master 1.0.0.7.zip/Outlook Password Recovery Master 1.0.0.7.exe Infected: Trojan-Downloader.Win32.Bagle.ga skipped
G:\EMULE\Incoming\Outlook Password Recovery Master 1.0.0.7.zip ZIP: infected - 1 skipped

Scan process completed.

[ste_95]

scarica elabagla e fai una scansione del sistema, alal fine in C:\InfoSat.txt riporta il log

[alessiomu]

Anzitutto grazie per la tua risposta....
Ho fatto 2 scansioni differenti con elibagla, una per C e una per F. I file infetti in G li ho eliminati manualmente (erano contenuti in un file .zip e l'unità è solo una partizione senza S.O. installato).
I log di elibagla sono:


****** C:


Tue Nov 27 09:07:42 2007
EliBagle v10.73 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):

Tue Nov 27 09:07:56 2007
EliBagle v10.73 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios: 7444
Nº Total de Ficheros: 77929
Nº de Ficheros Analizados: 8590
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0


******F:


Tue Nov 27 09:26:11 2007
EliBagle v10.73 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):

Tue Nov 27 09:26:15 2007
EliBagle v10.73 (c)2007 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad F:\

Nº Total de Directorios: 6082
Nº Total de Ficheros: 65753
Nº de Ficheros Analizados: 9925
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados: 0

[crazy.cat]

Usa avenger e questo script per rimuovere il virus
In questo articolo trovi le istruzioni per ripristinare la rete
http://www.MegaLab.it/2657

Files to delete:
f:\WINDOWS\system32\drivers\hidr.exe
f:\WINDOWS\system32\drivers\srosa.sys
f:\WINDOWS\system32\wintems.exe
f:\WINDOWS\system32\hldrrr.exe
f:\WINDOWS\system32\trusted.exe
f:\WINDOWS\system32\drivers\pci32.sys
C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\AdvertPop.dll.bac_a03916 C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\UI_Upd_SYS.exe.bac_a03916
G:\EMULE\Incoming\Outlook Password Recovery Master 1.0.0.7.zip

folders to delete:
f:\WINDOWS\exefnd
f:\WINDOWS\exefld

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
HKLM\SYSTEM\CurrentControlSet\Services\pci32
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32

[alessiomu]

Ho lanciato lo script ed il log risultante è questo:


Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\dmrvveog

*******************

Script file located at: \??\C:\kaxoyxuj.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File f:\WINDOWS\system32\drivers\hidr.exe deleted successfully.
File f:\WINDOWS\system32\drivers\srosa.sys deleted successfully.


File f:\WINDOWS\system32\wintems.exe not found!
Deletion of file f:\WINDOWS\system32\wintems.exe failed!

Could not process line:
f:\WINDOWS\system32\wintems.exe
Status: 0xc0000034



File f:\WINDOWS\system32\hldrrr.exe not found!
Deletion of file f:\WINDOWS\system32\hldrrr.exe failed!

Could not process line:
f:\WINDOWS\system32\hldrrr.exe
Status: 0xc0000034



File f:\WINDOWS\system32\trusted.exe not found!
Deletion of file f:\WINDOWS\system32\trusted.exe failed!

Could not process line:
f:\WINDOWS\system32\trusted.exe
Status: 0xc0000034



File f:\WINDOWS\system32\drivers\pci32.sys not found!
Deletion of file f:\WINDOWS\system32\drivers\pci32.sys failed!

Could not process line:
f:\WINDOWS\system32\drivers\pci32.sys
Status: 0xc0000034



Could not open file C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\AdvertPop.dll.bac_a03916 C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\UI_Upd_SYS.exe.bac_a03916 for deletion
Deletion of file C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\AdvertPop.dll.bac_a03916 C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\UI_Upd_SYS.exe.bac_a03916 failed!

Could not process line:
C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\AdvertPop.dll.bac_a03916 C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\UI_Upd_SYS.exe.bac_a03916
Status: 0xc0000033



File G:\EMULE\Incoming\Outlook Password Recovery Master 1.0.0.7.zip not found!
Deletion of file G:\EMULE\Incoming\Outlook Password Recovery Master 1.0.0.7.zip failed!

Could not process line:
G:\EMULE\Incoming\Outlook Password Recovery Master 1.0.0.7.zip
Status: 0xc0000034



Folder f:\WINDOWS\exefnd not found!
Deletion of folder f:\WINDOWS\exefnd failed!

Could not process line:
f:\WINDOWS\exefnd
Status: 0xc0000034

Folder f:\WINDOWS\exefld deleted successfully.


Registry key HKLM\SYSTEM\CurrentControlSet\Services\srosa not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Services\srosa failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Services\pci32 not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Services\pci32 failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Services\pci32
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

[alessiomu]

Scusa ma io lo script l'ho lanciato così come me lo hai dato da C:
E' giusto o devo laciarlo anche da F:?

[alessiomu]

Ho rifatto la scansione con kaspersky ed il risultato è questo (mimmi che ora è tutto OK ):


-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
Tuesday, November 27, 2007 11:33:42 AM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.98.0
Kaspersky Anti-Virus database last update: 27/11/2007
Kaspersky Anti-Virus database records: 466316
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: extended
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\
F:\
G:\

Scan Statistics:
Total number of scanned objects: 217381
Number of viruses found: 3
Number of infected objects: 11
Number of suspicious objects: 0
Duration of the scan process: 01:29:49

Infected Object Name / Virus Name / Last Action
C:\3b456988a504b99c6cf95647\msxml4-KB927978-enu.log Object is locked skipped
C:\avenger\backup.zip/avenger/hidr.exe Infected: Trojan-Downloader.Win32.Bagle.ga skipped
C:\avenger\backup.zip/avenger/srosa.sys Infected: Trojan-Downloader.Win32.Bagle.ga skipped
C:\avenger\backup.zip ZIP: infected - 2 skipped
C:\Documents and Settings\Alessio\.housecall6.6\Quarantine\AdvertPop.dll.bac_a03916 Infected: Trojan.Win32.Agent.qc skipped

Scan process completed.

[crazy.cat]

Scusa ma io lo script l'ho lanciato così come me lo hai dato da C:
E' giusto o devo laciarlo anche da F:?

Se hai un sistema operativo anche nel disco f devi lanciarlo da li con quel windows attivo, perche' mi sembra non siano state cancellate la chiavi nel registro di windows.

dopo di questo cancella le cartelle di backup che ho lasciato visibili nel log di kaspersky.

Poi reinstalla l'antivirus se non hai gia' provato a farlo.

[alessiomu]

adesso sto facendo un'ultima (spero) scansione con kaspersky.
Poi ti dico...
Però ho un altro problema credo causato sempre dal virus..
Nella partizione F: non riesco a connettermi alla rete senza fili...
Guardando un po in giro ho visto che potrebbe dipendere dal registro, ma lanciando il file registry.reg trovato in MegaLab non ho risolto..
Un'idea?
Grazie ancora...

[ste_95]

per la rete guarda qui:

http://www.MegaLab.it/2657/4

[alessiomu]

TORNATO TUTTO COME PRIMA!!!!!
Ragazzi siete grandi!!!!

Per il file di registro dovevo solamente riavviare il sistema ma il file andava!!!
Altra cosa che magari serve a qualcuno...
Non andava la posta con outlook, quindi leggendo l'ultima guida che mi hai suggerito ho riavviato tuti i servizi ed è andato a posto anche quello.
BRAVI, BRAVI, BRAVI....