Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

Aiuto per un infezione con Bagle...

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

Aiuto per un infezione con Bagle...

Messaggioda ubpapi » sab mar 22, 2008 2:20 pm

Salve a tutti ragazzi, dal titolo avete capito che ho un problema con questo virus.
Premetto che ho letto diversi post in diversi forum (soprattutto qui [bleh] [bleh] ) per cui ho, più o meno, chiara la situazione.
Ho anche già fatto la scansione con Kaspersky (online), solo che la scansione on line l'avevo iniziata prima ancora di rendermi conto che si trattasse di bagle, per cui non avevo disattivato il ripristino della configurazione. cosa che ho fatto stamattina, dopo che è finita la scansione.
Premetto che ho due HD, il primo è partizionato in due (una con Win xp sp2 e l'altra con Ubuntu 7.10); il secondo in unica partizione dedicato esclusivamente a file e dati.

Vi allego il report della scansione in modo che qualche anima buona possa aiutarmi e seguirmi nella procedura.
[grazie]
Avatar utente
ubpapi
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: sab mar 22, 2008 2:01 pm

Messaggioda crazy.cat » sab mar 22, 2008 3:07 pm

Disattiva il ripristino della configurazione su tutti i dischi poi riavvia il pc
http://www.MegaLab.it/2330

Scarica Avenger nuova versione http://swandog46.geekstogo.com/avenger.zip

Se non dovesse funzionare (Applicazione non valida) utilizzate questi
http://www.MegaLab.it/forum/viewtopic.p ... 172#325172

Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Ora incolla queste righe nella box bianca che si è aperta:

Codice:

Files to delete:
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\trusted.exe
C:\windows\system32\drivers\hldrrr.exe
C:\WINDOWS\system32\mdelk.exe
C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\1NF33RJK\b64_2[1].jpg
C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\1NF33RJK\b64_31[1].jpg
C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\1YHQIKY9\b64_31[1].jpg
C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\1YHQIKY9\b64_31[2].jpg
C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\3IDEJ2MS\b64_1[1].jpg
C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\3IDEJ2MS\b64_2[1].jpg
C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\RVSA209F\b64_1[1].jpg
C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\RVSA209F\b64_2[1].jpg
C:\WINDOWS\system32\AnalFTP2.exe
D:\Privacy\Privacy_MULTILANGUAGE.rar
D:\Privacy\003.part

folders to delete:
c:\WINDOWS\system32\drivers\down

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA


Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

Dopo prova a reinstallare subito l'antivirus e cancella la cartella c:\avenger.

Dovrai, quasi sicuramente, riscaricare i file d'installazione dei programmi di sicurezza perché danneggiati dal virus.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Messaggioda ubpapi » sab mar 22, 2008 3:16 pm

grazie crazy.cat, solo una curiosità:
perche' nel log non hai inserito anche i "C:\System Volume Information\_restore{CEFA3EB0..........................."
e i "D:\System Volume Information\_restore{CEFA3EB0..........................." ?

Ancora grazie
Avatar utente
ubpapi
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: sab mar 22, 2008 2:01 pm


Messaggioda crazy.cat » sab mar 22, 2008 3:27 pm

ubpapi ha scritto:grazie crazy.cat, solo una curiosità:


perché dicendoti questo
Codice: Seleziona tutto
Disattiva il ripristino della configurazione su tutti i dischi poi riavvia il pc
http://www.MegaLab.it/articoli.php?id=510

ti faccio già cancellare quei file
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Messaggioda ubpapi » sab mar 22, 2008 3:36 pm

ah.. ok...
grazie, allora dovrebbero gia' essere cancellati, dato che l'ho gia' fatto stamattina la disattivazione del ripristino....


P.S:
in effetti ho controllato e quei "file" non ci sono piu'. [applauso+] (sto scrivendo da ubuntu dove ho montato sia la partizione di win che il disco D; che grande cosa avere le due partizioni, si potrebbe fare tutto manualmente da qui, tranne per il registro naturalmente....)

ancora grazie. [grazie]
a dopo per il risultato...
[;)]
Avatar utente
ubpapi
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: sab mar 22, 2008 2:01 pm

Messaggioda ubpapi » sab mar 22, 2008 8:18 pm

allora, dopo tanto tribolare, purtroppo la situazione non è ancora ristabilita completamente:

Ho fatto tutta procedura e questo è il file di log di avenger:
Logfile of The Avenger Version 2.0, (c) by Swandog46

http://swandog46.geekstogo.com



Platform: Windows XP



*******************



Script file opened successfully.

Script file read successfully.



Backups directory opened successfully at C:\Avenger



*******************



Beginning to process script file:



File "C:\WINDOWS\system32\drivers\srosa.sys" deleted successfully.

File "C:\WINDOWS\system32\wintems.exe" deleted successfully.



Error: file "C:\WINDOWS\system32\trusted.exe" not found!

Deletion of file "C:\WINDOWS\system32\trusted.exe" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

--> the object does not exist



File "C:\WINDOWS\system32\drivers\hldrrr.exe" deleted successfully.

File "C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\1NF33RJK\b64_2[1].jpg" deleted successfully.

File "C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\1NF33RJK\b64_31[1].jpg" deleted successfully.

File "C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\1YHQIKY9\b64_31[1].jpg" deleted successfully.

File "C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\1YHQIKY9\b64_31[2].jpg" deleted successfully.

File "C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\3IDEJ2MS\b64_1[1].jpg" deleted successfully.

File "C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\3IDEJ2MS\b64_2[1].jpg" deleted successfully.

File "C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\RVSA209F\b64_1[1].jpg" deleted successfully.



Error: file "C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\RVSA209F\b64_2[1].jpg" not found!

Deletion of file "C:\Documents and Settings\Papi\Impostazioni locali\Temporary Internet Files\Content.IE5\RVSA209F\b64_2[1].jpg" failed!

Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

--> the object does not exist





File "C:\WINDOWS\system32\AnalFTP2.exe" deleted successfully.

File "C:\WINDOWS\system32\mdelk.exe" deleted successfully.

File "D:\Documenti\Ex Desktop C\tpk\Torpark 2.0.0.3a\App\Tconfig.exe" deleted successfully.

File "D:\Privacy\Privacy_MULTILANGUAGE.rar" deleted successfully.

File "D:\Privacy\003.part" deleted successfully.





Folder "c:\WINDOWS\system32\drivers\down" deleted successfully.

Registry key "HKLM\SYSTEM\CurrentControlSet\Services\srosa" deleted successfully.

Registry key "HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA" deleted successfully.



Completed script processing.



*******************



Finished! Terminate.
Avatar utente
ubpapi
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: sab mar 22, 2008 2:01 pm

Messaggioda ubpapi » sab mar 22, 2008 8:32 pm

Al riavvio subito si è ripristinato anche Spybot, perché TeaTimer ha subito bloccato il reinserimento nell'esecuzione automatica di questi due valori:
drvsyskit richiesto da (hldrrr) e di german.exe richiesto da (wintems).
Questo basta per capire che è rimasto ancora qualcosa, sicuramente nel registro, di questo maledetto.
Ho subito avviato spybot e l'ho fatto girare e mi ha trovato questo:

--- Spybot - Search & Destroy version: 1.5.2 (build: 20080128) ---

Microsoft.WindowsSecurityCenter_disabled: [SBI $2E20C9A9] Impostazioni (Modifica al registro, nothing done)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Start



IPFW: [SBI $FC681CD8] Dati (File, nothing done)

C:\WINDOWS\system32\1.exe



Win32.Agent.bgy: [SBI $3FF5579E] Impostazioni (Chiave di registro, nothing done)

HKEY_USERS\S-1-5-21-329068152-1965331169-725345543-1003\Software\FirstRRRun



Win32.Bagle.E: [SBI $FC4E0548] Impostazioni (Chiave di registro, nothing done)

HKEY_USERS\S-1-5-21-329068152-1965331169-725345543-1003\Software\DateTime4





ed ho provveduto ad eliminare; per la verità aveva anche trovato che la "protezione Pc di windows era disabilitata" e per questo ho attivato il relativo servizio manualmente.

Contemporaneamente il video "lampeggia", ovvero si freeza per una decina di secondi poi riprende, con il monitor che diventa nero per un secondo e poi qualche secondo di movimenti e di nuovo freeza (questo il loop:
freeza-->nero-->normale-->freeza...). Ho notato anche con task manager che quando freeza la cpu và al 100% di utilizzo....
Ho disinstallato Avast, ho messo Avira dal cd di "pc professionale" che mi trovavo qui in casa; ho fatto una pulizia con CCleaner, sia dei file che del registro.....
Adesso dopo tre riavvi che ho fatto io manualmente, all'ultimo ho visto che anche Avira non parte piu'... non c'è piu' nel tray....
E ora cosa si fa?

P.S: scusate la lungaggine ma ho preferito fare una "piccola" relazione per chiarire al massimo (spero...)

[sconsolato]
Avatar utente
ubpapi
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: sab mar 22, 2008 2:01 pm

Messaggioda crazy.cat » dom mar 23, 2008 8:38 am

Ho paura che dovrai rifare la scansione sul sito di kaspersky.
Lo script sembra anche aver eliminato quello che doveva togliere, non è che hai riutilizzato qualche programma infetto?
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Messaggioda ubpapi » dom mar 23, 2008 9:53 am

no... non ho utilizzato nessun programma, a parte quelli che ho indicato nel post (Spybot, Ccleaner, disinstallato Avast, installato Avira da CD, Usato YU Uninstaller solo per eliminare file temp)....

Secondo me nel registro c'è altro... non è che potresti indicarmi il percorso "probabile" dove andare a verificare almeno?

Poi provo di nuovo con lo scan dal sito kaspersky...
Grazie
e

AUGURI DI BUONA PASQUA A TUTTI ! [applauso+]
Avatar utente
ubpapi
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: sab mar 22, 2008 2:01 pm

Messaggioda ubpapi » dom mar 23, 2008 10:56 am

Nuovo aggiornamento:
Ho fatto fare una scansione totale ad Avira su entrambi i dischi e mi ha trovato ancora un po' di schifezze che ho prontamente eliminato (se vi interessa il log lo posto, ma si tratta di file [random_num].exe presenti nel cestino di ubuntu, che io avevo comunque svuotato, ma chissà perché sono rimasti li.... uhm....).
Dopo ho riavviato e lo schermo dopo pochi secondi di "normalità" è diventato tutto nero freezato, non tornava piu' alla normalità.
Ho premuto il reset sul case e quindi riavviato.... adesso funziona bene senza piu' nessun freez e nessun schermo nero ad intermittenza.
L'unica cosa che è rimasta è uno "sfasamento del video" sempre dopo l'avvio in windows (allego foto) che dura un paio di secondi, poi tutto ok.
Adesso provo a reinstallare i driver della scheda video e vedo se mi rifà il problema. Con ubuntu questo "difetto" non si presenta.
Ciao

P.S: un ultima cosa: il file "safeboot.zip" presente su questo sito, posso tranquillamente utilizzarlo per aggiungere di nuovo la "modalità provvisoria" al mio win_xp_professional_sp2 ? Va bene per tutti i "win_xp"?
Ancora grazie.
Avatar utente
ubpapi
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: sab mar 22, 2008 2:01 pm

Messaggioda crazy.cat » dom mar 23, 2008 11:43 am

Il file safeboot va bene per tutti i windows xp.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Messaggioda ubpapi » dom mar 23, 2008 10:57 pm

eccomi di nuovo, allora, il problema sembra definitivamente risolto, sia per il virus Bagle che per la sk.video. per quest'ultima confermo che avevo un problema di driver (forse lo stesso virus ha potuto creare anche questo problemuccio.... [uhm] )che ho reinstallato nuovamente e ora niente piu'"sfasamento" e schermate nere [^] .
Adesso carico il safeboot e sono di nuovo "on the road" grazie ad un "SUPER crazy.cat" [applauso+] [applauso+] [applauso+] che saluto davvero affettuosamente e rinnovo gli Auguri di una Felice Pasqua.

La prima cosa che faro' sarà di dire la mia nel 3d relativo agli antivirus, nel quale scongliero' vivamente di tenere Avast (che non è stato in grado di difendermi da Bagle, visto che la scansione sul file infetto l'ho richiesta io a manina prima di lanciare l'eseguibile e non mi ha segnalato nulla [:p] [:p] [nonono] [nonono] .

A presto
Ciao
Avatar utente
ubpapi
Neo Iscritto
Neo Iscritto
 
Messaggi: 10
Iscritto il: sab mar 22, 2008 2:01 pm


Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Nessuno e 6 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising