Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

win32/trojanclicker.delf NAZ non rimovibile

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

win32/trojanclicker.delf NAZ non rimovibile

Messaggioda figio87 » mar feb 12, 2008 11:29 am

ciao a tutti mi sono appena iscritto in questo bel sito
e volevo far i complimenti a tutti per l'impegno e la partecipazione,
soprattutto perché grazie a MegaLab son riuscito a eliminare un fastidioso Bagle. [^]

però ora ho un altro problema:ho un virus "asintomatico" diciamo così che non mi blocca alcuna applicazione però insomma non riesco a rimuoverlo con NOD32.
E' win32/trojanclicker.delf.NAZ in c:/windows/kbdbenev.dll.
questa il messaggio: [uhm]
"C:\WINDOWS\system32\kbdbenev.dll.bak - Win32/TrojanClicker.Delf.NAZ cavallo di troia"

ovviamente nod32 lo trova ma dice che non può rimuoverlo perché bloccato. [cry+]

Ho provato a fare il controllo con kaspersky online...
e con gmer...
[...]

riuscite a darmi qualche consiglio per risolvere questo problema?
grazie
Ste
Avatar utente
figio87
Aficionado
Aficionado
 
Messaggi: 44
Iscritto il: mar feb 12, 2008 10:07 am

Messaggioda ste_95 » mar feb 12, 2008 1:48 pm

C'è più di una cosa...

Con GMER, esegui la scansione anche della sezione autostart.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

gmer autostart

Messaggioda figio87 » mar feb 12, 2008 2:38 pm

io non capisco molto. [cry]
...
confido in lei...
Avatar utente
figio87
Aficionado
Aficionado
 
Messaggi: 44
Iscritto il: mar feb 12, 2008 10:07 am


Messaggioda ste_95 » mar feb 12, 2008 2:46 pm

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Metti il flag su input script manually
Quindi scegli la lente e cliccaci
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto
Files to delete:
C:\WINDOWS\system32\f3PSSavr.scr
C:\Programmi\Common Files\Companion Wizard\compwiz.exe
C:\WINDOWS\system32\kbdbenev.dll
C:\WINDOWS\system32\kbdbenev.dll.bak
C:\WINDOWS\system32\drivers\exhapvxy.dat
C:\WINDOWS\vVX1000.exe

Folders to delete:
C:\WINDOWS\Temp


Adesso devi cliccare su Done in basso nella box
Seleziona il semaforino in alto a destra
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

Poi scarica SuperAntiSpyware ed esegui una scansione completa del tuo computer, visto che si vedevano anche degli spyware e degli adware.

Alla fine di tutto, esegui nuovamente le scansioni delle sezioni autostart e rootkit con GMER.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

...

Messaggioda figio87 » mar feb 12, 2008 3:49 pm

ecco avenger:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\pqabcauh

*******************

Script file located at: \??\C:\WINDOWS\kusigepu.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\f3PSSavr.scr deleted successfully.


Could not open file C:\Programmi\Common Files\Companion Wizard\compwiz.exe for deletion
Deletion of file C:\Programmi\Common Files\Companion Wizard\compwiz.exe failed!

Could not process line:
C:\Programmi\Common Files\Companion Wizard\compwiz.exe
Status: 0xc000003a



Could not open file C:\WINDOWS\system32\kbdbenev.dll for deletion
Deletion of file C:\WINDOWS\system32\kbdbenev.dll failed!

Could not process line:
C:\WINDOWS\system32\kbdbenev.dll
Status: 0xc0000022



Could not open file C:\WINDOWS\system32\kbdbenev.dll.bak for deletion
Deletion of file C:\WINDOWS\system32\kbdbenev.dll.bak failed!

Could not process line:
C:\WINDOWS\system32\kbdbenev.dll.bak
Status: 0xc0000022



Could not open file C:\WINDOWS\system32\drivers\exhapvxy.dat for deletion
Deletion of file C:\WINDOWS\system32\drivers\exhapvxy.dat failed!

Could not process line:
C:\WINDOWS\system32\drivers\exhapvxy.dat
Status: 0xc0000022

File C:\WINDOWS\vVX1000.exe deleted successfully.
Folder C:\WINDOWS\Temp deleted successfully.

Completed script processing.

*******************

Finished! Terminate.
Avatar utente
figio87
Aficionado
Aficionado
 
Messaggi: 44
Iscritto il: mar feb 12, 2008 10:07 am

gmer

Messaggioda figio87 » mar feb 12, 2008 3:50 pm

purtroppo gmer ha trovato le cose di prima... [cry]
Avatar utente
figio87
Aficionado
Aficionado
 
Messaggi: 44
Iscritto il: mar feb 12, 2008 10:07 am

Messaggioda ste_95 » mar feb 12, 2008 3:53 pm

Ripeti il procedimento in modalità provvisoria.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda figio87 » mar feb 12, 2008 5:40 pm

niente...

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\ulqvboyk

*******************

Script file located at: \??\C:\Documents and Settings\dartjrop.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\system32\f3PSSavr.scr not found!
Deletion of file C:\WINDOWS\system32\f3PSSavr.scr failed!

Could not process line:
C:\WINDOWS\system32\f3PSSavr.scr
Status: 0xc0000034



Could not open file C:\Programmi\Common Files\Companion Wizard\compwiz.exe for deletion
Deletion of file C:\Programmi\Common Files\Companion Wizard\compwiz.exe failed!

Could not process line:
C:\Programmi\Common Files\Companion Wizard\compwiz.exe
Status: 0xc000003a



Could not open file C:\WINDOWS\system32\kbdbenev.dll for deletion
Deletion of file C:\WINDOWS\system32\kbdbenev.dll failed!

Could not process line:
C:\WINDOWS\system32\kbdbenev.dll
Status: 0xc0000022



Could not open file C:\WINDOWS\system32\kbdbenev.dll.bak for deletion
Deletion of file C:\WINDOWS\system32\kbdbenev.dll.bak failed!

Could not process line:
C:\WINDOWS\system32\kbdbenev.dll.bak
Status: 0xc0000022



Could not open file C:\WINDOWS\system32\drivers\exhapvxy.dat for deletion
Deletion of file C:\WINDOWS\system32\drivers\exhapvxy.dat failed!

Could not process line:
C:\WINDOWS\system32\drivers\exhapvxy.dat
Status: 0xc0000022



File C:\WINDOWS\vVX1000.exe not found!
Deletion of file C:\WINDOWS\vVX1000.exe failed!

Could not process line:
C:\WINDOWS\vVX1000.exe
Status: 0xc0000034



Folder C:\WINDOWS\Temp not found!
Deletion of folder C:\WINDOWS\Temp failed!

Could not process line:
C:\WINDOWS\Temp
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

ma secondo te è normale che dopo le scansioni in modalità provvisoria quando torno nella modalità normale non mi fa accedere più al browser?
poi lo risolvo scrivendo sfc/ scannow su esegui e riavvio.
Avatar utente
figio87
Aficionado
Aficionado
 
Messaggi: 44
Iscritto il: mar feb 12, 2008 10:07 am

Messaggioda ste_95 » mar feb 12, 2008 5:47 pm

Prova a eliminare i file seguenti con KillBox:

C:\WINDOWS\system32\kbdbenev.dll
C:\WINDOWS\system32\kbdbenev.dll.bak
C:\WINDOWS\system32\drivers\exhapvxy.dat
C:\Programmi\Common Files\Companion Wizard\compwiz.exe
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda figio87 » mar feb 12, 2008 6:32 pm

purtroppo anche qui mi dice che non posso eliminarlo.
i primi 2 kbdbenev non può eliminarli
gli altri due dice di non trovarli...
Avatar utente
figio87
Aficionado
Aficionado
 
Messaggi: 44
Iscritto il: mar feb 12, 2008 10:07 am

Messaggioda ste_95 » mar feb 12, 2008 6:46 pm

Disabilita il ripristino configurazione di sistema.

Crea il MegaLabCD e fai il boot da quello all'avvio. Dopo che lo hai avviato apri il menù Start -> Gestione Risorse -> A43 Management. Elimina ora i seguenti file e cartelle dal disco C:\ come se fossi nel tuo computer:

C:\WINDOWS\system32\kbdbenev.dll
C:\WINDOWS\system32\kbdbenev.dll.bak
C:\WINDOWS\system32\drivers\exhapvxy.dat
C:\Programmi\Common Files\Companion Wizard\compwiz.exe

Torna in modalità normale e rifai i log di GMER.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

niente da fare

Messaggioda figio87 » mer feb 13, 2008 9:00 am

niente mi dice accesso negato! il file potrebbe essere protetto da scrittura o essere in uso.
[acc2]
Avatar utente
figio87
Aficionado
Aficionado
 
Messaggi: 44
Iscritto il: mar feb 12, 2008 10:07 am

Messaggioda chtomma » mer feb 13, 2008 10:58 am

Ciao a tutti,

sto combattendo ora contro questa variante anche io. Il file infetto è dpvacmo e si comporta allo stesso modo di figio87. Provando a cancellare con avenger o killbox mi dice che è impossibile effettuare l'operazione anche in modalità provvisoria. Ho visto che ci sono molti riferimenti dentro al registro e sopratutto si associa al winlogon. spero di essre d'aiuto con qualche informazioni in piu'|
Avatar utente
chtomma
Neo Iscritto
Neo Iscritto
 
Messaggi: 9
Iscritto il: mer feb 13, 2008 10:43 am

Re: niente da fare

Messaggioda ste_95 » mer feb 13, 2008 1:58 pm

figio87 ha scritto:niente mi dice accesso negato! il file potrebbe essere protetto da scrittura o essere in uso.
[acc2]


Non ci posso credere, anche dal MegaLabCD?

@chtomma

Prova a seguire le istruzioni che ho dato a figio87 nel mio precedente post.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda sole2608 » mer feb 13, 2008 2:03 pm

ciao a tutti ragazzi.. mi sono appena iscritta..

sto combattendo anche io da 2 giorni contro questo virus.. e pure io ho nod 32.. non mi da nessun problema.. per poter navigare su internet mi basta mettere ad icona l'avviso dell'antivirus..
ho cercato di eliminarlo ma nulla... "file in uso o bloccato"..
se qualcuno ha qualche illuminazione divina su come eliminarlo.. sarò lieta di leggere i post..
[cry+]

ho seguito la procedura che avete detto.. ma idem..
Ultima modifica di sole2608 il mer feb 13, 2008 2:06 pm, modificato 1 volta in totale.
Avatar utente
sole2608
Neo Iscritto
Neo Iscritto
 
Messaggi: 4
Iscritto il: mer feb 13, 2008 1:54 pm

Messaggioda ste_95 » mer feb 13, 2008 2:05 pm

sole2608 ha scritto:ciao a tutti ragazzi.. mi sono appena iscritta..

sto combattendo anche io da 2 giorni contro questo virus.. e pure io ho nod 32.. non mi da nessun problema.. per poter navigare su internet mi basta mettere ad icona l'avviso dell'antivirus..
ho cercato di eliminarlo ma nulla... "file in uso o bloccato"..
se qualcuno ha qualche illuminazione divina su come eliminarlo.. sarò lieta di leggere i post..
[cry+]


Prova anche tu con queste istruzioni:

http://www.MegaLab.it/forum/viewtopic.p ... 261#331261
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Risolto!!!

Messaggioda chtomma » mer feb 13, 2008 4:01 pm

ho risolto!!!

C'è un processo nascosto che attiva tutte le volte il virus e soprattto lo tiene occupato rendendolo impossibile da cancellare, postate i log di gmer che provo a capire se riesco a riconoscere anche il vostro.
Avatar utente
chtomma
Neo Iscritto
Neo Iscritto
 
Messaggi: 9
Iscritto il: mer feb 13, 2008 10:43 am

Messaggioda ste_95 » mer feb 13, 2008 4:04 pm

Il tuo come si chiamava?
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda chtomma » mer feb 13, 2008 4:07 pm

allora figio!

Vedendo il tuo log di gmer devi fare così:

start
esegui
regedit

modifica
trova: xqqeboln

elimini tutte le stringhe che lo contengono...forse ti daranno errore le ultime due chiavi ma non importa, quello importante sono quelle prima.

Riavvi il pc e a questp punto vai ad eliminare

system32\drivers\exhapvxy.dat

e il file dove ti segnalava il virus il nod che ora dovrebbe cancellartelo.

L'ho fatto stamattina da un amico ma poi sono dovuto scappare via quindi spero di essermi ricordato tutti i passaggi.

Fammi sapere.
Avatar utente
chtomma
Neo Iscritto
Neo Iscritto
 
Messaggi: 9
Iscritto il: mer feb 13, 2008 10:43 am

Messaggioda chtomma » mer feb 13, 2008 4:11 pm

scusa ste ma non me lo ricordo esattamente ma a memoria il servizio doveva essere uguale a quello di figio (xqqeboln)...mentre il nome del file infetto invece era differente ma simile.

comunque aspetto il log di sole per vedere se si assomigliano ed eventualmente di sapere come se l'è cavata figio.
Avatar utente
chtomma
Neo Iscritto
Neo Iscritto
 
Messaggi: 9
Iscritto il: mer feb 13, 2008 10:43 am

Prossimo

Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Google [Bot] e 5 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising