Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

AIUTO - Trojan:Win NT/Bagle.Gen

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

AIUTO - Trojan:Win NT/Bagle.Gen

Messaggioda trisan » mar feb 05, 2008 8:53 pm

Ho riscontrato il virus in oggetto nel mio PC e non riesco ad eliminarlo
qualcuno mi sa aiutare ? [cry]

Questa è la cronistoria:
dopo aver aggiornato Windows XP SP2 Professional con la funzione di aggiornamento automatico, al riavvio il sistema di rilevamento di Malicious software di Microsoft mi ha segnalato il seguente virus: ( Trojan:Win NT/Bagle.Gen )
Ho provato allora ad installare l'antivirus NOD32 ma non è andato a buon fine.
Guardando un po nel forum ho visto il suggerimento di utilizzare Avenger con uno script, ci ho provato ma il computer non si è più riavviato. [cry+]
Ho allora avviato il PC con il CD di Windows e dalla modalità recover ho provato a cambiare nome ai file di avenger per non farli eseguire, ma il PC continuava a non avviarsi,
allora ho reinstallato Windows su quello già presente così sono riuscito a riavviare il PC, ritrovandomi il windows senza tutti gli aggiornamenti automatici che erano stati man mano installati, ma almeno i programmi non li dovevo reinstallare.
A questo punto ho guardato ancora nel forum (qualche giorno dopo) e così mi sono accorto che lo script da applicare dipendeva dalla macchina e non è uguale per tutti.

Ecco quindi che chiedo aiuto, ho fatto girare GMER ed allego il log generato.
Si può ancora fare qualcosa per ripristinare il sistema ? [boh]

Grazie in anticipo
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm

Messaggioda ste_95 » mar feb 05, 2008 8:55 pm

«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda trisan » mar feb 05, 2008 9:31 pm

OK Grazie,

ho iniziato la scansione con Kaspersky Online Scanner
quando avrà finito invierò il report.
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm


Messaggioda trisan » mar feb 05, 2008 11:46 pm

Ecco il report di Kaspersky online scanner.
Devo preoccuparmi dato che ha trovato 6 virus [cry+]
Cosa devo fare adesso?

Grazie


P.S.
Mi sono accorto che durante la scansione con Kaspersky si è aperto un messaggio di Windows File Protection (vedi immagine allegata).
Non è la prima volta che mi succede, poi inserisco il CD originale di Windows e sparisce automaticamente.
E' sempre il virus che sta lavorando?
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm

Messaggioda ste_95 » mer feb 06, 2008 8:22 am

Sono stupito, una versione vecchia di Bagle:

Disabilita il ripristino configurazione di sistema.

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Metti il pallino su input script manually
Quindi scegli la lente e cliccaci
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto
Files to delete:
C:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\hldrrr.exe
C:\WINDOWS\system32\trusted.exe
C:\WINDOWS\system32\drivers\pci32.sys
C:\windows\system32\drivers\hldrrr.exe
C:\WINDOWS\system32\mdelk.exe

folders to delete:
C:\WINDOWS\exefnd
C:\WINDOWS\exefld
C:\WINDOWS\system32\drivers\down

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA
HKLM\SYSTEM\CurrentControlSet\Services\pci32
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 


Adesso devi cliccare su Done in basso nella box
Seleziona il semaforino in alto a destra
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

Riscarica gli installer dei programmi di sicurezza e prova a reinstallare un antivirus.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda trisan » mer feb 06, 2008 5:46 pm

Ecco qui il risultato presente in Avenger.txt, ma non mi sembra tutto a posto, o sbaglio?


Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\iqykxagw

*******************

Script file located at: \??\C:\WINDOWS\hhcmsbdl.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\drivers\hidr.exe deleted successfully.
File C:\WINDOWS\system32\drivers\srosa.sys deleted successfully.
File C:\WINDOWS\system32\wintems.exe deleted successfully.


File C:\WINDOWS\system32\hldrrr.exe not found!
Deletion of file C:\WINDOWS\system32\hldrrr.exe failed!

Could not process line:
C:\WINDOWS\system32\hldrrr.exe
Status: 0xc0000034



File C:\WINDOWS\system32\trusted.exe not found!
Deletion of file C:\WINDOWS\system32\trusted.exe failed!

Could not process line:
C:\WINDOWS\system32\trusted.exe
Status: 0xc0000034



File C:\WINDOWS\system32\drivers\pci32.sys not found!
Deletion of file C:\WINDOWS\system32\drivers\pci32.sys failed!

Could not process line:
C:\WINDOWS\system32\drivers\pci32.sys
Status: 0xc0000034



File C:\windows\system32\drivers\hldrrr.exe not found!
Deletion of file C:\windows\system32\drivers\hldrrr.exe failed!

Could not process line:
C:\windows\system32\drivers\hldrrr.exe
Status: 0xc0000034



File C:\WINDOWS\system32\mdelk.exe not found!
Deletion of file C:\WINDOWS\system32\mdelk.exe failed!

Could not process line:
C:\WINDOWS\system32\mdelk.exe
Status: 0xc0000034



Folder C:\WINDOWS\exefnd not found!
Deletion of folder C:\WINDOWS\exefnd failed!

Could not process line:
C:\WINDOWS\exefnd
Status: 0xc0000034

Folder C:\WINDOWS\exefld deleted successfully.


Folder C:\WINDOWS\system32\drivers\down not found!
Deletion of folder C:\WINDOWS\system32\drivers\down failed!

Could not process line:
C:\WINDOWS\system32\drivers\down
Status: 0xc0000034

Registry key HKLM\SYSTEM\CurrentControlSet\Services\srosa deleted successfully.
Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA deleted successfully.


Registry key HKLM\SYSTEM\CurrentControlSet\Services\pci32 not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Services\pci32 failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Services\pci32
Status: 0xc0000034



Registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 not found!
Deletion of registry key HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32 failed!

Could not process line:
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI32
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm

Messaggioda ste_95 » mer feb 06, 2008 5:50 pm

Prova a reinstallare un antivirus.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda trisan » mer feb 06, 2008 8:40 pm

Me ne sai consigliare uno in particolare ?
Grazie
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm

Messaggioda ste_95 » mer feb 06, 2008 8:42 pm

Io ti consiglio Avira Antivir.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda trisan » mer feb 06, 2008 10:39 pm

Prima di installare l'antivirus, ho fatto girare ancora Kaspersky Online, e mi ha rilevato 2 Trojan Win32 Downloader, uno tra i file temporanei di internet explore e l'altro nella cartella Windows\System32, li ho cancellati manualmente ed ho riavviato,
controllando nuovamente non me li ha più segnalati ma, che stupido non ho salvato il log di kaspersky. [acc2]
Infine ho scaricato NOD32 (in prova per 30gg) e l'installazione è andata a buon fine.

Ora sembra tutto a posto, forse però devo anche ripristinare qualcosa per poter partire in modalità provvisoria, dato che prima non partiva più?

Un'altra cosa, l'accesso a questo forum mi sembra un po' lento, mentre da un'altro computer è più veloce, può esserci qualcosa che infastidisce?

Beh intanto grazie ste_95, il grosso del problema sembra risolto. [applauso+] [applauso+]
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm

Messaggioda trisan » mer feb 06, 2008 10:48 pm

Oops, mi sa che ho parlato troppo presto. [cry]

Ho dato l'OK all'installazione di "Microsoft Windows Installer 3.1" proposto dalla funzione di aggiornamento automatico di Windows XP, ma non è andata a buon fine, mi dice che non può essere installata.

Adesso cosa può essere successo?, già quando avevo scoperto bagle non mi aveva installato alcune patch di protezione scaricate dall'aggiornamento automatico.

AIUTO !!!! cosa posso fare? [cry+]
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm

Messaggioda Fred » mer feb 06, 2008 10:58 pm

Mmmm, posta i soliti log (hijackthis e kaspersky online) prima di attivare questi due programmi disabilita il ripristino di sistema. E usa questo per vedere se magari è solo una "banalità": http://www.MegaLab.it/2779 .
Asus M3N78SE;AMD Athlon 64X2 5200+@5400;2 GB DDR2;NVIDIA GeForce 9500GT;Windows 7 Pro 64bit;
AcerASPIRE5230;Windows 7 Pro 64bit
Skype: nellopc90
Avatar utente
Fred
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 3623
Iscritto il: mer apr 27, 2005 4:13 pm
Località: Urbe

Messaggioda trisan » ven feb 08, 2008 3:19 pm

In quanto al suggerimento di verificare se non fosse una stupidata, ho provato ad eseguire il file batch con le istruzioni riportate ma non è cambiato nulla, l'aggiornamento automatico continua a fallire.

Allora ecco i log di Kaspersky Online e HijackThis.
Tra l'altro la prima volta che ho lanciato HijackThis mi ha dato l'errore di cui allego l'immagine.
Beh ovviamente ho disattivato il system restore.
N.B. Forse cambia qualcosa perché la versione di Windows XP SP2 Pro è in inglese?

AIUTO, mi sà che si è incasinato tutto il windows. [cry+]

Grazie
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm

Messaggioda crazy.cat » ven feb 08, 2008 3:44 pm

Rifai la scansione con hijackthis, seleziona queste righe e premi fix checked per eliminarle.

O1 - Hosts: 69.60.111.224 localhost #this is not an ad server this is your PC
O1 - Hosts: 69.60.111.224 www.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.doubleclick.net #remove this for atomfilms problems
O1 - Hosts: 69.60.111.224 ad.preferences.com
O1 - Hosts: 69.60.111.224 ads.doubleclick.com
O1 - Hosts: 69.60.111.224 ads.infospace.com
O1 - Hosts: 69.60.111.224 ads.msn.com
O1 - Hosts: 69.60.111.224 ads.switchboard.com
O1 - Hosts: 69.60.111.224 doubleclick.net
O1 - Hosts: 69.60.111.224 ads.doubleclick.net
O1 - Hosts: 69.60.111.224 ad2.doubleclick.net
O1 - Hosts: 69.60.111.224 ad3.doubleclick.net
O1 - Hosts: 69.60.111.224 ad4.doubleclick.net
O1 - Hosts: 69.60.111.224 ad5.doubleclick.net
O1 - Hosts: 69.60.111.224 ad6.doubleclick.net
O1 - Hosts: 69.60.111.224 ad7.doubleclick.net
O1 - Hosts: 69.60.111.224 ad8.doubleclick.net
O1 - Hosts: 69.60.111.224 ad9.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.ch.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.linkexchange.com
O1 - Hosts: 69.60.111.224 ads.enliven.com
O1 - Hosts: 69.60.111.224 oz.valueclick.com
O1 - Hosts: 69.60.111.224 banner.linkexchange.com
O1 - Hosts: 69.60.111.224 commonwealth.riddler.com
O1 - Hosts: 69.60.111.224 ad-up.com
O1 - Hosts: 69.60.111.224 ad.adsmart.net
O1 - Hosts: 69.60.111.224 ad.atlas.cz
O1 - Hosts: 69.60.111.224 ad.blm.net
O1 - Hosts: 69.60.111.224 ad.dogpile.com
O1 - Hosts: 69.60.111.224 ad.infoseek.com
O1 - Hosts: 69.60.111.224 ad.net-service.de
O1 - Hosts: 69.60.111.224 adbot.com
O1 - Hosts: 69.60.111.224 ads.criticalmass.com
O1 - Hosts: 69.60.111.224 ads.csi.emcweb.com
O1 - Hosts: 69.60.111.224 ads.filez.com
O1 - Hosts: 69.60.111.224 ads.imagine-inc.com
O1 - Hosts: 69.60.111.224 ads.imdb.com
O1 - Hosts: 69.60.111.224 ads.jwtt3.com
O1 - Hosts: 69.60.111.224 ads.newcitynet.com
O1 - Hosts: 69.60.111.224 ads.realcities.com
O1 - Hosts: 69.60.111.224 ads.realmedia.com
O1 - Hosts: 69.60.111.224 ads.tripod.com
O1 - Hosts: 69.60.111.224 ads.usatoday.com
O1 - Hosts: 69.60.111.224 ads.web.de
O1 - Hosts: 69.60.111.224 ads.web21.com
O1 - Hosts: 69.60.111.224 adserv.newcentury.net
O1 - Hosts: 69.60.111.224 adservant.guj.de
O1 - Hosts: 69.60.111.224 adservant.mediapoint.de
O1 - Hosts: 69.60.111.224 adserver-espnet.sportszone.com
O1 - Hosts: 69.60.111.224 advert.heise.de
O1 - Hosts: 69.60.111.224 banners.internetextra.com
O1 - Hosts: 69.60.111.224 bannerswap.com
O1 - Hosts: 69.60.111.224 dino.mainz.ibm.de
O1 - Hosts: 69.60.111.224 Garden.ngadcenter.net
O1 - Hosts: 69.60.111.224 Ogilvy.ngadcenter.net
O1 - Hosts: 69.60.111.224 ResponseMedia-ad.flycast.com
O1 - Hosts: 69.60.111.224 Suissa-ad.flycast.com
O1 - Hosts: 69.60.111.224 UGO.eu-adcenter.net
O1 - Hosts: 69.60.111.224 VNU.eu-adcenter.net
O1 - Hosts: 69.60.111.224 ad.preferances.com
O1 - Hosts: 69.60.111.224 ad.doubleclick.com
O1 - Hosts: 69.60.111.224 adforce.adtech.de
O1 - Hosts: 69.60.111.224 adforce.imgis.com
O1 - Hosts: 69.60.111.224 adimage.blm.net
O1 - Hosts: 69.60.111.224 adlink.deh.de
O1 - Hosts: 69.60.111.224 ad-adex3.flycast.com
O1 - Hosts: 69.60.111.224 ad.ca.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.de.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.fr.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.jp.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.linksynergy.com
O1 - Hosts: 69.60.111.224 ad.nl.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.no.doubleclick.net
O1 - Hosts: 69.60.111.224 ad.sma.punto.net
O1 - Hosts: 69.60.111.224 ad.uk.doubleclick.net
O1 - Hosts: 69.60.111.224 ad08.focalink.com
O1 - Hosts: 69.60.111.224 adcontroller.unicast.com
O1 - Hosts: 69.60.111.224 adimg.egroups.com
O1 - Hosts: 69.60.111.224 admedia.xoom.com
O1 - Hosts: 69.60.111.224 adremote.pathfinder.com
O1 - Hosts: 69.60.111.224 ads.bfast.com
O1 - Hosts: 69.60.111.224 ads.clickhouse.com
O1 - Hosts: 69.60.111.224 adpick.switchboard.com
O1 - Hosts: 69.60.111.224 ads.fairfax.com.au
O1 - Hosts: 69.60.111.224 ads.fool.com
O1 - Hosts: 69.60.111.224 ads.freshmeat.net
O1 - Hosts: 69.60.111.224 ads.hollywood.com
O1 - Hosts: 69.60.111.224 ads.i33.com
O1 - Hosts: 69.60.111.224 ads.infi.net
O1 - Hosts: 69.60.111.224 ads.link4ads.com
O1 - Hosts: 69.60.111.224 ads.lycos.com
O1 - Hosts: 69.60.111.224 ads.madison.com
O1 - Hosts: 69.60.111.224 ads.mediaodyssey.com
O1 - Hosts: 69.60.111.224 ads.ninemsn.com.au
O1 - Hosts: 69.60.111.224 ads.seattletimes.com
O1 - Hosts: 69.60.111.224 ads.smartclicks.com
O1 - Hosts: 69.60.111.224 ads.smartclicks.net
O1 - Hosts: 69.60.111.224 ads.sptimes.com
O1 - Hosts: 69.60.111.224 ads.web.aol.com
O1 - Hosts: 69.60.111.224 ads.x10.com
O1 - Hosts: 69.60.111.224 ads.xtra.co.nz
O4 - HKLM\..\Run: [sfdyyafn] C:\qaoenvsy.bat
O4 - HKCU\..\Run: [drvsyskit] C:\WINDOWS\system32\drivers\hidr.exe
O4 - HKCU\..\Run: [german.exe] C:\WINDOWS\system32\wintems.exe

Fai una scansione anche con superantispyware freeware per fare pulizia
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Messaggioda trisan » sab feb 09, 2008 11:30 am

Ho rifatto la scansione con hijackthis, ed eliminato le righe come suggerito,
poi ho scaricato ed installato superantispyware, ma non ha rilevato niente.
Quindi ho riprovato a fare l'automatic update ma sempre con il solito risultato.

Accidenti ma allora cosa blocca questi aggiornamenti?
Devo proprio riformattare tutto?
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm

Messaggioda crazy.cat » sab feb 09, 2008 12:25 pm

trisan ha scritto:Devo proprio riformattare tutto?

Prova a scaricarlo e installarlo a mano il windows installer
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Messaggioda trisan » gio mar 06, 2008 9:16 am

Scusate il ritardo con il quale replico, ma ho avuto problemi.

Comunque per farla breve, dopo diversi tentativi sono riuscito ad installare il windows installer manualmente.
A questo punto ho eseguito tutti gli aggiornamenti proposti ed adesso il sistema sembra essere tornato a posto e stabile. [:)]

Grazie a tutti per l'aiuto
Avatar utente
trisan
Neo Iscritto
Neo Iscritto
 
Messaggi: 15
Iscritto il: mar feb 05, 2008 6:31 pm

Messaggioda ste_95 » gio mar 06, 2008 1:23 pm

Ripristina anche la modalità provvisoria utilizzando questo file.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda Fred » gio mar 06, 2008 10:06 pm

Di nulla, sempre lieto di aiutare [^]
Asus M3N78SE;AMD Athlon 64X2 5200+@5400;2 GB DDR2;NVIDIA GeForce 9500GT;Windows 7 Pro 64bit;
AcerASPIRE5230;Windows 7 Pro 64bit
Skype: nellopc90
Avatar utente
Fred
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 3623
Iscritto il: mer apr 27, 2005 4:13 pm
Località: Urbe


Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Nessuno e 2 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising