Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

Ho ripreso il Bagle....

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 12:01 pm

Crazy...Ciao...Ahimè ho ripreso il virus Bagle a distanza di un paio di anni....Sto seguendo la procedura descritta ad un altro ragazzo avente lo stesso problema...Sto facendo la scansione con Malwarebytes visto che anch'io non riesco ad utilizzare kaspersky online.....Volevo sapere dopo postare il log successivo alla scansione....Grazie...
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 12:04 pm

Crazy...ok..ok....Ho visto cm postare il log...Appena finito il controllo mi ci dai una okkiata gentilmente...
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda crazy.cat » gio gen 08, 2009 12:07 pm

Ho bisogno del file che genera l'infezione per poterlo studiare, se riesci a caricarlo su un sito di hosting dati come questo http://www.wikifortio.com/ e poi mandarmi il link per poterlo scaricare con un PM.

Scarica FindyKill ed installalo (è in francese però è di facile comprensione).
Una volta installato chiudi tutte le applicazioni attive e disconnettiti dal internet, poi clicca sull'icona di FindyKill e nella finestra dos che si aprirà scrivi 2 e premi Invio. Attendi il termine della scansione ed il riavvio e posta qui il log che trovi in C:\FindyKill.txt
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre


Re: Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 12:24 pm

Scusami...Ma attualmente sto facendo la scansione con Malwarebytes...non devo farla..cioè devo interromperla?? E pi...Che file deve farti avere sul sito che mi hai appena dato...per poter studiare l'origine dell'infezione,dove lo prendo???SE ho capito bene non è il log che mi uscirà fuori da questo programma francese,giusto?
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle...

Messaggioda kandiska » gio gen 08, 2009 1:14 pm

Crazy...Ritornando al file d'origine del problema sinceramente non so qual è precisamente quello infetto anche perché il problema è sorto stamani improvvisamente quando ho riacceso il pc...questo mi fa supporre che il virus l'ho preso ieri ma è entrato in funzione nel momento in cui ho spento e riacceso il pc..giusto.. credi che sia così?Sono sicuro che è un bagle per il semplice motivo che tutti i programmi di protezione sono disabilitati,come il ripristino di sistema che non mi parte ed idem per la modalità provvisoria...Questo è quello che è successo...ora ti chiedo cosa devo fare??Qui ti posto il file log che mi è uscito fuori dalla scansione completa con Malwarebytes' Anti-Malware non so se ti servirà o meno,ma ho preferito finire la scansione e ci sono ben 27 file infetti..Devo cancellarli??Aspetto tue notizie

Malwarebytes' Anti-Malware 1.32
Versione del database: 1630
Windows 5.1.2600 Service Pack 3

08/01/2009 13.08.54
mbam-log-2009-01-08 (13-08-49).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 118999
Tempo trascorso: 1 hour(s), 10 minute(s), 55 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 5
Valori di registro infetti: 1
Elementi dato del registro infetti: 0
Cartelle infette: 5
File infetti: 10

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sk9ou0s (Worm.Bagel) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sk9ou0s (Worm.Bagel) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sk9ou0s (Worm.Bagel) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sk9ou0s (Worm.Bagel) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\webmediaplayer (Rogue.WebMediaPlayer) -> No action taken.

Valori di registro infetti:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mule_st_key (Trojan.Agent) -> No action taken.

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
C:\Programmi\WebMediaPlayer (Rogue.WebMediaPlayer) -> No action taken.
C:\Programmi\WebMediaPlayer\resources (Rogue.WebMediaPlayer) -> No action taken.
C:\Programmi\WebMediaPlayer\skins (Rogue.WebMediaPlayer) -> No action taken.
C:\Programmi\WebMediaPlayer\updates (Rogue.WebMediaPlayer) -> No action taken.
C:\Documents and Settings\pc\Dati applicazioni\m (Trojan.Agent) -> No action taken.

File infetti:
C:\Documents and Settings\pc\Dati applicazioni\drivers\srosa2.sys (Worm.Bagel) -> No action taken.
C:\Programmi\WebMediaPlayer\sqlite3.dll (Rogue.WebMediaPlayer) -> No action taken.
C:\Programmi\WebMediaPlayer\uninst.exe (Rogue.WebMediaPlayer) -> No action taken.
C:\Programmi\WebMediaPlayer\WebMediaPlayer.exe (Rogue.WebMediaPlayer) -> No action taken.
C:\Programmi\WebMediaPlayer\resources\wmp_translation_file.xml (Rogue.WebMediaPlayer) -> No action taken.
C:\Programmi\WebMediaPlayer\skins\classic.skn (Rogue.WebMediaPlayer) -> No action taken.
C:\WINDOWS\system32\mdelk.exe (Trojan.Spammer) -> No action taken.
C:\WINDOWS\system32\wintems.exe (Trojan.Spammer) -> No action taken.
C:\Documents and Settings\pc\Dati applicazioni\m\flec006.exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\All Users\Desktop\WebMediaPlayer.lnk (Adware.EGDAccess) -> No action taken.
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda crazy.cat » gio gen 08, 2009 1:32 pm

si cancella tutto quello che ha trovato malwarebytes, e poi fai la scansione con findykill.
Per il file lascia stare se non sai quale sia.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Re: Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 1:53 pm

Crazy...allora...questo è il log della scansione di Findykill...

----------------- FindyKill V4.711 ------------------

* User: pc - MELVIN
* Executed from : C:\Programmi\FindyKill
* Update on 05/01/09 by Chiquitine29
* Start at 13:54:07 the 08/01/2009
* Windows XP - Internet Explorer 7.0.5730.11

((((((((((((((((( *** Searching *** ))))))))))))))))))


--------------- [ Active Processes ] ----------------


C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\File comuni\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programmi\Mozilla Firefox\firefox.exe

--------------- [ Infected files / folders ] ----------------


»»»» Presence Files in C:


»»»» Presence Files in C:\WINDOWS


»»»» Presence Files in C:\WINDOWS\Prefetch


»»»» Presence Files in C:\WINDOWS\system32


»»»» Presence Files in C:\WINDOWS\system32\drivers


»»»» Presence Files in C:\Documents and Settings\pc\Dati applicazioni


»»»» Presence Files in C:\DOCUME~1\pc\IMPOST~1\Temp


»»»» Presence Files in C:\Documents and Settings\pc\Local Settings\Temporary Internet Files\Content.IE5


--------------- [ Registry / Startup ] ----------------

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run]
CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe
msnmsgr="C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
yawgois="c:\documents and settings\pc\impostazioni locali\dati applicazioni\yawgois.exe" yawgois

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run]
RemoteControl=C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
NvCplDaemon=RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
nwiz=nwiz.exe /install
ADMTray.exe="C:\Acer\Empowering Technology\admtray.exe"
LManager=C:\PROGRA~1\LAUNCH~1\LManager.exe
RTHDCPL=RTHDCPL.EXE
Alcmtr=ALCMTR.EXE
AzMixerSel=C:\Programmi\Realtek\InstallShield\AzMixerSel.exe
SynTPEnh=C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
IntelZeroConfig="C:\Programmi\Intel\Wireless\bin\ZCfgSvc.exe"
IntelWireless="C:\Programmi\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
EOUApp="C:\Programmi\Intel\Wireless\Bin\EOUWiz.exe"
AVP="C:\Programmi\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe"
TkBellExe="C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
muBlinder=C:\Documents and Settings\pc\Desktop\muBlinder\muBlinder.exe -startup
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
<NO NAME>=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL=
<NO NAME>=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI=
<NO NAME>=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS=
<NO NAME>=


--------------- [ Registry / Infected keys ] ----------------




--------------- [ States / Services ] ----------------



+- Services : [ Auto=2 / Request=3 / Disable=4 ]

Ndisuio - Type of startup = 3

EapHost - Type of startup = 2

Ip6Fw - Type of startup = 2

SharedAccess - Type of startup = 2

wuauserv - Type of startup = 2

wscsvc - Type of startup = 2


--------------- [ Searching in removable drives ] ----------------


+- Informations :

C: - Unit… fissa


+- Presence of files :



--------------- [ Registry / Mountpoint2 ] ----------------


-> Not found !


------------------- ! End of report ! --------------------
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda crazy.cat » gio gen 08, 2009 2:04 pm

Ma l'antivirus ti funziona adesso?
Il bagle non sembra essersi attivato del tutto.

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Ora incolla queste righe nel box bianco che si è aperto:

Codice: Seleziona tutto
Files to delete:
c:\documents and settings\pc\impostazioni locali\dati applicazioni\yawgois.exe
c:\documents and settings\pc\impostazioni locali\dati applicazioni\yawgois.dat
c:\documents and settings\pc\impostazioni locali\dati applicazioni\yawgois_nav.dat
c:\documents and settings\pc\impostazioni locali\dati applicazioni\yawgois_navps.dat


Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

Se ti da un errore di script errato, prova a riscrivere manualmente la prima riga (Files to delete:) ricordando i due punti.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Re: Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 2:13 pm

No...l'antivirus non mi funziona...Mi dice che è un'applicazione di win32 non valida...Ora provo a fare la procedura con Avenger...Grazie per l'aiuto...sempre gentilissimo Crazy!
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 2:19 pm

Ecco il resoconto di Avenger che sembra andato a buon fine ma continua a non funzionare nessun programma di sicurezza incluso Kaspersy:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File "c:\documents and settings\pc\impostazioni locali\dati applicazioni\yawgois.exe" deleted successfully.
File "c:\documents and settings\pc\impostazioni locali\dati applicazioni\yawgois.dat" deleted successfully.
File "c:\documents and settings\pc\impostazioni locali\dati applicazioni\yawgois_nav.dat" deleted successfully.
File "c:\documents and settings\pc\impostazioni locali\dati applicazioni\yawgois_navps.dat" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 2:52 pm

Che mi consigli di fare...?...Dammi qualche dritta perché non sono in grado di risolvere da solo!!!
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda crazy.cat » gio gen 08, 2009 3:11 pm

kandiska ha scritto:Che mi consigli di fare...?.

Hai reinstallato gli antivirus scaricando nuovamente i programmi di installazione originali?
hai provato ad installare un altro antivirus?

Prova a ripensare a quali file provenienti dal p2p hai usato ieri e vedi se riesci a recuperarlo e passarmelo.
Mi serve il file originale infetto per fare delle prove.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Re: Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 3:27 pm

Ok provo prima a disinstallare e reinstallare l'antivirus...poi provo a recuperare i file sospetti e te li posto sul sito...A tal proposito volevo chiederti...posso postarteli più di una alla volta o è possibile solo singolarmente???
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda crazy.cat » gio gen 08, 2009 3:38 pm

kandiska ha scritto:.A tal proposito volevo chiederti...posso postarteli più di una alla volta o è possibile solo singolarmente???

Fai un archivio unico e caricali su quel sito che ti ho indicato, al termine dell'upload ti danno un link per poter scaricare il file e mi passi il link con un messaggio privato.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Re: Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 4:07 pm

Crazy...allora ..prima di inviarti i file sospetti che sono riuscito a recuperare voglio farti il resoconto generale della situazione del mio notebook...Praticamente non mi funziona Il ripristino di sistema.modalità provvisoria,problema con la rilevazione wireless di windows,suoni di sistema,periferiche usb e altre cose simili oltre ai vari programmi kaspersky,msn e così via...Spero che in quei file ci sia quello che potrà farti capire cosa fare per risolvere sto bordello...!!
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda crazy.cat » gio gen 08, 2009 4:48 pm

Intanto prova a reinstallare l'antivirus, se non funziona kaspersky, scarica avira freeware e prova con quello.
Poi leggi questo
http://www.MegaLab.it/2657/4/bagle-un-w ... -antivirus
e usa gli allegati all'articolo per ripristinare qualche problema.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Re: Ho ripreso il Bagle....

Messaggioda kandiska » gio gen 08, 2009 8:16 pm

Ok...perfetto...Per chi sta seguendo la discussione...ho inviato i programmi sospetti contenenti i potenziali virus ed effettivamente crazy mi ha confermato che sono presenti particolari tipi di bagle più evoluti penso...Li studierà e ci farà sapere domani su come intervenire...Nel frattempo vi dico che apparentemente il mio pc sembra essere privo di imperfezioni nel senso che tutti i vari problemi elencati sopra ora non sono più presenti(Kaspersky dopo l'installazione parte tranquillamente,così come tutti i programmi di sicurezza,perfiriche audio e usb perfettamente funzionanti...Ho riattivato tutti i servizi disattivati dal virus tramite la guida nel link precedente postatomi da Crazy...In attesa di maggiori sviluppi ringrazio Crazy per la gentile ed efficiente collaborazione
Avatar utente
kandiska
Aficionado
Aficionado
 
Messaggi: 60
Iscritto il: gio gen 17, 2008 4:59 pm

Re: Ho ripreso il Bagle....

Messaggioda crazy.cat » ven gen 09, 2009 8:01 am

Una volta reinstallato kaspersky, fai una scansione completa del disco fisso e di eventuali periferiche esterne per eventuali rimasugli di virus che possono essere sfuggiti.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre


Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Nessuno e 7 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising