Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

Pc infettato da virus Netsky

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

Pc infettato da virus Netsky

Messaggioda falcao » dom mar 23, 2008 3:27 pm

Il computer di mia nipote è infettato dal virus in oggetto. Qual' è la procedura per rimuoverlo? Prima di accorgermi della sua presenza ho inserito la mia chiavetta usb nel suo pc per trasferirle un file, corro il rischio di infettarmi anchio utilizzandola sul mio? [cry+]
Avatar utente
falcao
Senior Member
Senior Member
 
Messaggi: 216
Iscritto il: lun gen 21, 2008 10:42 am

Messaggioda The King of GnG » dom mar 23, 2008 3:38 pm

Questa è bella, Netsky che da grane. E' uno di quei vecchi worm in circolazione da anni ma che ancora risulta essere il malware più diffuso nel traffico di e-mail spazzatura. Utile sarebbe sapere la bestiaccia con cui si ha a che fare, vale a dire quale variante con precisione viene individuata dall'antivirus. O il sito VirusTotal. Riguardo l'infezione automatica collegando la pendrive non dovrebbe essere il caso, visto che a quanto mi risulta NetSky non usa strategie tipo autorun.inf modificato per replicarsi tra i sistemi. Ma non si può mai dire, quindi io userei prudenza.....
People should just buy a cd and rip it. You are legal then" - William Henry Gates III (detto "Bill")
Avatar utente
The King of GnG
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 11144
Iscritto il: mer mar 02, 2005 8:24 pm
Località: La Biblioteca di Babele

Messaggioda crazy.cat » dom mar 23, 2008 4:55 pm

Un qualsiasi antivirus appena decente dovrebbe riuscire a rimuoverlo.
Prova a scaricare Stinger o avast cleaner e lanciarli dalla modalità provvisoria se non c'è altro modo di toglierlo.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre


Messaggioda SteelBolter » dom mar 23, 2008 8:05 pm

Che ne dite della versione free di AVIRA?
Avatar utente
SteelBolter
Silver Member
Silver Member
 
Messaggi: 1110
Iscritto il: sab mag 26, 2007 8:04 pm

Messaggioda falcao » lun mar 24, 2008 10:57 am

Credo di aver dato una informazione troppo avventata di quello che è realmente il problema. Riassumo brevemente: accendo il portatile di mia nipote e alla schermata del desktop un messaggio di avvertimento (di Windows...... [...] ) mi segnala di essere infettato da Netsky e mi invita a fare una scansione online per eliminarlo, e nel frattempo lampeggia insistentemente un' icona con una croce rossa nella tray. Annullando, puntualmente dopo poco salta fuori di nuovo. Ho scansionato con un paio di tools per la rimozione di Netsky, ma non risulta nulla. Non ho trovato nulla di anormale nelle chiavi di avvio, ma l' unico problema oltre a quello già esposto e che mi trovo disabilitato (dall' amministratore..... [rolleyes] ) il task manager. Come devo procedere a questo punto?

P.s.: L' antivirus (Nod32 aggiornato) non rivela nulla.
Avatar utente
falcao
Senior Member
Senior Member
 
Messaggi: 216
Iscritto il: lun gen 21, 2008 10:42 am

Messaggioda crazy.cat » lun mar 24, 2008 11:05 am

Allora riabilita il task manager http://www.MegaLab.it/2448
e poi vediamo il log di una scansione di hijackthis.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Messaggioda ste_95 » mar mar 25, 2008 7:20 am

Prova anche a dare una passata con Rogue Remover Free.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda falcao » mer mar 26, 2008 7:22 am

Tutto risolto. [:)] Erano un paio di trojan downloader che avevano messo a ferro e fuoco tutto il sistema, come mai non ne avevo visti finora. Li ho comunque eliminati agevolmente con Spyware Terminator e con il programma gentilmente suggerito da Ste. Un saluto a tutti e grazie del supporto tecnico.
Avatar utente
falcao
Senior Member
Senior Member
 
Messaggi: 216
Iscritto il: lun gen 21, 2008 10:42 am

Messaggioda falcao » gio mar 27, 2008 7:36 am

falcao ha scritto:Tutto risolto. [:)]


Non ho risolto un bel niente. [V] Dopo una mezza giornata di funzionamento regolare, dopo aver spento e riacceso il pc un paio di volte il maledetto è risaltato fuori più cattivo di prima. Ha anche impostato uno sfondo del desktop che risulta cliccabile e sicuramente indirizza ad una pagina infetta. A questo punto come mi consigliate di procedere?

P.S.: il notebook è un Acer Extensa e tra le sue utility dovrebbe avere anche una partizione di recovery in configurazione EISA. In ultima analisi si potrebbe tentare il ripristino ma non so come accedervi.
Avatar utente
falcao
Senior Member
Senior Member
 
Messaggi: 216
Iscritto il: lun gen 21, 2008 10:42 am

Messaggioda ste_95 » gio mar 27, 2008 7:40 am

Scarica HijackThis
Salvalo in una cartella (non aprirlo direttamente, sennò non farà i backup!)
Apri l'eseguibile
Clicca quindi su "Do a System Scan and Save a Logfile"
Attendi che finisca la scansione
Quindi copia il contenuto del blocco note qui sul forum.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda falcao » gio mar 27, 2008 6:44 pm

Ho fatto una scansione con Superantispyware, e mi ha trovato ed eliminato una serie di schifezze. Ho anche eseguito una scansione con HijackThis di cui unisco report:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18.20.50, on 27/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Programmi\Intel\Intel Matrix Storage Manager\Iaantmon.exe
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Programmi\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\ScsiAccess.EXE
C:\Programmi\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Documents and Settings\nome\Desktop\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_04\bin\ssv.dll
O2 - BHO: GNX Rolex - {7DEE5BA2-CB70-4BBB-BD94-208BBA8AA6C4} - C:\WINDOWS\drnpfdxlsk.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O3 - Toolbar: etlrlws - {EF04FFC1-16A5-4683-95AC-BE24D11152F3} - C:\WINDOWS\etlrlws.dll
O4 - HKLM\..\Run: [egui] "C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_04\bin\ssv.dll
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Organizzatore ricerche - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programmi\File comuni\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programmi\File comuni\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O21 - SSODL: bokpkov - {FB88A50F-FE4D-4C83-B1D5-888BACE4D725} - C:\WINDOWS\bokpkov.dll
O21 - SSODL: altvxvm - {3921C257-2B2F-462B-AB71-455BFCB13A20} - C:\WINDOWS\altvxvm.dll (file missing)
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: eLock Service (eLockService) - - C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Programmi\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programmi\CyberLink\Shared Files\RichVideo.exe
O23 - Service: ScsiAccess - Unknown owner - C:\WINDOWS\system32\ScsiAccess.EXE
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe
O23 - Service: Utilità di pianificazione di LiveUpdate automatico - Unknown owner - C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)


--
End of file - 6661 bytes
Avatar utente
falcao
Senior Member
Senior Member
 
Messaggi: 216
Iscritto il: lun gen 21, 2008 10:42 am

Messaggioda ste_95 » gio mar 27, 2008 6:59 pm

Seleziona a sinistra queste voci e premi fix checked:

O2 - BHO: GNX Rolex - {7DEE5BA2-CB70-4BBB-BD94-208BBA8AA6C4} - C:\WINDOWS\drnpfdxlsk.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: etlrlws - {EF04FFC1-16A5-4683-95AC-BE24D11152F3} - C:\WINDOWS\etlrlws.dll
O21 - SSODL: bokpkov - {FB88A50F-FE4D-4C83-B1D5-888BACE4D725} - C:\WINDOWS\bokpkov.dll
O21 - SSODL: altvxvm - {3921C257-2B2F-462B-AB71-455BFCB13A20} - C:\WINDOWS\altvxvm.dll (file missing)

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto
Files to delete:
C:\WINDOWS\altvxvm.dll
C:\WINDOWS\drnpfdxlsk.dll
C:\WINDOWS\etlrlws.dll
C:\WINDOWS\bokpkov.dll


Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda falcao » ven mar 28, 2008 12:15 pm

Missione compiuta. Ti allego il contenuto del file log di Avenger:
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:


Error: file "C:\WINDOWS\altvxvm.dll" not found!
Deletion of file "C:\WINDOWS\altvxvm.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\WINDOWS\drnpfdxlsk.dll" not found!
Deletion of file "C:\WINDOWS\drnpfdxlsk.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

File "C:\WINDOWS\etlrlws.dll" deleted successfully.
File "C:\WINDOWS\bokpkov.dll" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.
Avatar utente
falcao
Senior Member
Senior Member
 
Messaggi: 216
Iscritto il: lun gen 21, 2008 10:42 am

Messaggioda ste_95 » ven mar 28, 2008 2:11 pm

Hai ancora problemi?
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am

Messaggioda falcao » ven mar 28, 2008 4:08 pm

Per ora tutto funge alla perfezione. [^] Ti ringrazio del supporto tecnico e del tempo prezioso che mi hai dedicato. Ciao.
Avatar utente
falcao
Senior Member
Senior Member
 
Messaggi: 216
Iscritto il: lun gen 21, 2008 10:42 am


Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Bing [Bot] e 3 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising