Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

presenza virus anche dopo aver formattato?

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

presenza virus anche dopo aver formattato?

Messaggioda ata60 » mar feb 10, 2009 11:51 am

Ciao a tutti, mi è capitato un problema con un pc con xp sp2 installato.
Praticamente questo pc essendo in rete lan, quando navigavo in internet mi reindirizzava su altra pagina es. scrivevo www.MegaLab.it e invece di portarmi sul vostro sito mi reindirizzava in altro sito, tanto che dovevo scrivere un altra volta il vostro url per indirizzare internet explorer sul vostro sito.
Ho dato una controllata ai dns e mi sono accorto che me li cambiava automaticamente a mia insaputa.
Allora ho deciso di formattare e stranamente mi sono ritrovato lo stesso problema.
Che tipo di virus è?
Possibile che dopo aver formattato si è ripresentato lo stesso problema?
Altro particolare, non mi faceva scaricare l'aggiornamento di avira antivir.
Inoltre ho dovuto mettere l'hd infetto come secondario su un secondo pc per eliminare i virus, avira mi ha trovato: (TrVundo/TDss.qux, DRSdbot.184987....TrVundo.gen, Tr/Patched.ck..).
Dopo tale eliminazione, quando navigo mi si è ripresentato lo stesso problema, cioè il reindirizzamento su url diverso da quello digitato, anche se i dns non sono stati cambiati.
Domanda: Come devo fare per eliminare questo virus? Formatto a basso livello?
Grazie.
P.S.
Spero di essere stato chiaro e di non essere stato troppo lungo.
Avatar utente
ata60
Senior Member
Senior Member
 
Messaggi: 274
Iscritto il: lun feb 05, 2007 12:56 pm

Re: presenza virus anche dopo aver formattato?

Messaggioda crazy.cat » mar feb 10, 2009 12:11 pm

Il virus sembrerebbe un trojan dns changer, un effetto simile lo faceva anche il malware che è pubblicato oggi in home page del sito.
Non è che sia presente anche su altri pc nella rete e quindi te lo sei ripassato appena ti sei rimesso in rete?
Non è che hai riutilizzato qualche programma infetto?

Prova ad utilizzare combofix e fare una scansione, poi posta il log che ti esce.
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Re: presenza virus anche dopo aver formattato?

Messaggioda ste_95 » mar feb 10, 2009 2:44 pm

Dai anche una letta a questo articolo, visto che potrebbe essere un malware anche di questa natura:
http://www.MegaLab.it/3915/mbr-rootkit- ... diffusione
«A volte è meglio tacere e sembrare stupidi che aprir bocca e togliere ogni dubbio.» Oscar Wilde
Avatar utente
ste_95
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 17271
Iscritto il: lun ago 06, 2007 11:19 am


Re: presenza virus anche dopo aver formattato?

Messaggioda ata60 » mer feb 11, 2009 9:18 am

Questo è il report del software combo fix:
ComboFix 09-02-08.02 - Amministratore 2009-02-10 13:38:24.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1040.18.511.298 [GMT 1:00]
Eseguito da: c:\documents and settings\Amministratore\Desktop\ComboFix.exe
AV: AVG Anti-Virus Free *On-access scanning enabled* (Updated)
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\resycled
c:\resycled\ntldr.com
c:\windows\system32\drivers\gaopdxkcpxrlng.sys
c:\windows\system32\gaopdxcounter
c:\windows\system32\gaopdxsyipfvac.dll
D:\Autorun.inf
D:\resycled
d:\resycled\ntldr.com

.
((((((((((((((((((((((((((((((((((((((( Driver/Servizi )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_gaopdxserv.sys


((((((((((((((((((((((((( Files Creati Da 2009-01-10 al 2009-02-10 )))))))))))))))))))))))))))))))))))
.

2009-02-10 12:08 . 2009-02-10 13:26 <DIR> d--h----- C:\$AVG8.VAULT$
2009-02-10 11:04 . 2004-08-19 13:00 221,184 --a------ c:\windows\system32\wmpns.dll
2009-02-10 10:22 . 2001-08-30 20:41 12,160 --a------ c:\windows\system32\drivers\mouhid.sys
2009-02-10 10:22 . 2001-08-30 20:41 12,160 --a--c--- c:\windows\system32\dllcache\mouhid.sys
2009-02-10 10:22 . 2001-08-17 22:02 9,600 --a------ c:\windows\system32\drivers\hidusb.sys
2009-02-10 10:22 . 2001-08-17 22:02 9,600 --a--c--- c:\windows\system32\dllcache\hidusb.sys
2009-02-09 13:19 . 2009-02-10 10:24 <DIR> d-------- c:\windows\system32\drivers\Avg
2009-02-09 13:19 . 2009-02-09 13:19 <DIR> d-------- c:\programmi\AVG
2009-02-09 13:19 . 2009-02-09 13:19 <DIR> d-------- c:\documents and settings\All Users\Dati applicazioni\avg8
2009-02-09 13:19 . 2009-02-09 13:19 325,128 --a------ c:\windows\system32\drivers\avgldx86.sys
2009-02-09 13:19 . 2009-02-09 13:19 107,272 --a------ c:\windows\system32\drivers\avgtdix.sys
2009-02-09 13:19 . 2009-02-09 13:19 10,520 --a------ c:\windows\system32\avgrsstx.dll
2009-02-09 13:03 . 2009-02-09 13:03 <DIR> d---s---- c:\documents and settings\Amministratore\UserData
2009-02-09 12:57 . 2007-04-05 10:44 221,184 --a------ c:\windows\system32\RICJC32.dll
2009-02-09 12:57 . 2007-04-05 10:43 155,648 --a------ c:\windows\system32\JCUI.exe
2009-02-09 12:57 . 2000-12-27 12:53 69,632 --a------ c:\windows\system32\TIFmtA.dll
2009-02-09 12:57 . 2007-02-21 18:13 61,440 --a------ c:\windows\system32\TrackID.DLL
2009-02-09 12:57 . 2002-08-06 03:47 53,248 --a------ c:\windows\system32\NRG619PI.DLL
2009-02-09 12:57 . 2007-06-22 18:01 52,224 --a------ c:\windows\system32\RIC619X.EXE
2009-02-09 12:57 . 2000-12-27 12:53 49,152 --a------ c:\windows\system32\TIBase64.dll
2009-02-09 12:26 . 2009-02-09 12:26 <DIR> d-------- c:\programmi\File comuni\Adobe
2009-02-09 12:25 . 2009-02-09 12:25 <DIR> d-------- c:\programmi\MSECache
2009-02-09 12:10 . 2009-02-09 12:10 <DIR> d-------- c:\documents and settings\Amministratore\Dati applicazioni\Malwarebytes
2009-02-09 12:10 . 2009-02-09 12:10 <DIR> d-------- c:\documents and settings\All Users\Dati applicazioni\Malwarebytes

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-02-09 11:14 504,832 ----a-w c:\windows\system32\winlogon.exe
2009-02-09 10:53 --------- d-----w c:\programmi\Microsoft.NET
2009-02-09 10:52 --------- d-----w c:\programmi\Microsoft Works
2009-02-09 10:49 410,984 ----a-w c:\windows\system32\deploytk.dll
2009-02-09 10:49 --------- d-----w c:\programmi\Java
2009-02-09 10:30 --------- d-----w c:\documents and settings\All Users\Dati applicazioni\WinZip
2009-02-09 10:29 --------- d-----w c:\programmi\Google
2009-02-09 10:26 --------- d--h--w c:\programmi\InstallShield Installation Information
2009-02-09 10:26 --------- d-----w c:\programmi\C-Media 3D Audio
2009-02-09 10:25 --------- d-----w c:\programmi\File comuni\InstallShield
2009-02-09 10:21 --------- d-----w c:\programmi\Hemera Products
2009-02-09 10:20 --------- d-----w c:\programmi\File comuni\Hewlett-Packard
2009-02-09 10:20 --------- d-----w c:\documents and settings\Amministratore\Dati applicazioni\Cartella di caricamento Share-to-Web
2009-02-09 10:19 82,380 ----a-w c:\windows\system32\drivers\AFS2K.SYS
2009-02-09 10:19 --------- d-----w c:\programmi\Hewlett-Packard
2009-02-09 10:09 --------- d-----w c:\programmi\microsoft frontpage
2009-02-09 10:06 --------- d-----w c:\programmi\Servizi in linea
2009-01-16 17:34 499,712 ----a-w c:\windows\system32\msvcp71.dll
2009-01-16 17:34 348,160 ----a-w c:\windows\system32\msvcr71.dll
.

------- Sigcheck -------

2009-02-09 12:14 504832 1dbd3966123ac2f6ade783f7f17f8c7f c:\windows\system32\winlogon.exe
.
((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-19 15360]
"swg"="c:\programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe" [2009-02-09 171448]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Share-to-Web Namespace Daemon"="c:\programmi\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe" [2002-04-11 69632]
"SunJavaUpdateSched"="c:\programmi\Java\jre6\bin\jusched.exe" [2009-02-09 136600]
"Adobe Reader Speed Launcher"="c:\programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]
"AVG8_TRAY"="c:\progra~1\AVG\AVG8\avgtray.exe" [2009-02-09 1601304]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-19 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\avgrsstarter]
2009-02-09 13:19 10520 c:\windows\system32\avgrsstx.dll

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programmi\\AVG\\AVG8\\avgemc.exe"=
"c:\\Programmi\\AVG\\AVG8\\avgupd.exe"=
"c:\\Programmi\\AVG\\AVG8\\avgnsx.exe"=

R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\system32\drivers\avgldx86.sys [2009-02-09 325128]
R1 AvgTdiX;AVG Free8 Network Redirector;c:\windows\system32\drivers\avgtdix.sys [2009-02-09 107272]
R2 avg8emc;AVG Free8 E-mail Scanner;c:\progra~1\AVG\AVG8\avgemc.exe [2009-02-09 903960]
R2 avg8wd;AVG Free8 WatchDog;c:\progra~1\AVG\AVG8\avgwdsvc.exe [2009-02-09 298264]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\C]
\Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL resycled\ntldr.com c:
\Shell\Open\command - c:\resycled\ntldr.com c:

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D]
\Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL resycled\ntldr.com d:
\Shell\Open\command - "resycled\ntldr.com d:

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{93b5a913-f693-11dd-a062-806d6172696f}]
\Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL resycled\ntldr.com c:
\Shell\Open\command - c:\resycled\ntldr.com c:

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{93b5a914-f693-11dd-a062-806d6172696f}]
\Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL resycled\ntldr.com d:
\Shell\Open\command - "resycled\ntldr.com d:
.
- - - - CHIAVI ORFANE RIMOSSE - - - -

HKLM-Run-Cmaudio - cmicnfg.cpl


.
------- Scansione supplementare -------
.
uStart Page = hxxp://www.google.it/
uInternet Connection Wizard,ShellNext = hxxp://www.winzip.com/instcmplt.cgi?pid ... 3pa=ggle:1
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: E&sporta in Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
TCP: {ECFF25FC-6128-4300-B43A-D0158D303128} = 192.168.20.1
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-02-10 13:39:54
Windows 5.1.2600 Service Pack 2 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
Ora fine scansione: 2009-02-10 13:41:25
ComboFix-quarantined-files.txt 2009-02-10 12:41:18

Pre-Run: 16,505,323,520 byte disponibili
Post-Run: 16,512,688,128 byte disponibili

WindowsXP-KB310994-SP2-Pro-BootDisk-ITA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
143
Adesso se formatto il virus è stato eliminato?
Ho notato chee il pc è lento per questo vorrei formattarlo.
Adesso ho rimosso avg ed ho installato avira e mi ha fatto fare anche gli aggiornamenti.
Come si può eliminare all'atto della installazione virus?
grazie.
P.S. una cosa importante che mi sono dimenticato di segnalare e che avendo una partizione di questo hdd (c: e d:) non mi faceva entrare da risorse del computer ne in c e ne in d, mi usciva un errore strano tipo rycycle.dll mancante o giù di li.
Avatar utente
ata60
Senior Member
Senior Member
 
Messaggi: 274
Iscritto il: lun feb 05, 2007 12:56 pm

Re: presenza virus anche dopo aver formattato?

Messaggioda crazy.cat » mer feb 11, 2009 11:58 am

guarda chi si vede
http://www.MegaLab.it/4176/4/videoplay- ... complicato

ata60 ha scritto:((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
C:\resycled
c:\resycled\ntldr.com
c:\windows\system32\drivers\gaopdxkcpxrlng.sys
c:\windows\system32\gaopdxcounter
c:\windows\system32\gaopdxsyipfvac.dll
D:\Autorun.inf
D:\resycled
d:\resycled\ntldr.com
((((((((((((((((((((((((((((((((((((((( Driver/Servizi )))))))))))))))))))))))))))))))))))))))))))))))))
-------\Service_gaopdxserv.sys
((((((((((((((((((((((((( Files Creati Da 2009-01-10 al 2009-02-10 )))))))))))))))))))))))))))))))))))


Avendo tu due partizioni, il rootkit si nasconde su tutte e due, se ne hai formattata una sola, alla prima occasione il virus si è ripropagato anche alla prima reinfettando il tutto. Oppure hai usato una chiavetta/disco usb che ti ha ributtato dentro il virus.

Se formatti, devi cancellare tutte e due le partizioni.
Altrimenti scansione completa con Avira e dovrebbe beccarti anche gli ultimi eventuali rimasugli del virus (ma già combofix ha tolto molte cose).
Quando i molti governano, pensano solo a contentar sé stessi, si ha allora la tirannia più balorda e più odiosa: la tirannia mascherata da libertà.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Re: presenza virus anche dopo aver formattato?

Messaggioda ata60 » gio feb 12, 2009 12:33 pm

Con combo fix credo di aver risolto, ma visto che il pc lo trovavo un più lento del solito, l'ho riformattato.
In effetti adesso sulla seconda partizione (d) adesso mi fa entrare (quindi non ho riformattato la d).
Non capisco che dopo la formattazione il virus non è stato eliminato, forse era nella seconda.
Avatar utente
ata60
Senior Member
Senior Member
 
Messaggi: 274
Iscritto il: lun feb 05, 2007 12:56 pm


Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Nessuno e 4 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising