Curiosità su Bagle

[Jon Paul Lord]

Buonasera a tutti, scusate la domanda:
Ho contratto il virus Bagle tramite un Key Generator (sono un idiota, lo so); ho letto che disattiva completamente tutti gli antivirus, ma vedo che Spyware Doctor blocca le azioni sul registro di quei processi dannosi. Tramite Process Viewer, sono riuscito a risalire alle cartelle che contengono i file .exe da cui partono i processi e li ho eliminati manualmente (Spyware Doctor ha eliminato aclune chiavi di registro e alcune infezioni); una cosa non mi quadra: non mi si apre Windows Messenger e prima, dopo aver eliminato quei file, quando l'ho lanciato, essi si sono rigenerati e sono ricomparsi gli avvisi di Spyware Doctor che mi diceva di aver bloccato alcuni processi dannosi...

La mia domanda è questa: possibile che sia Messenger il problema? Adesso sembra tutto sotto controllo (tra l'altro non c'è più nè il processo winupgro.exe nè l'altro che cominciava sempre con win ma non ricordo), sarò apposto? Come faccio con MSN?

Grazie della pazienza e della collaborazione...

[ste_95]

La mia domanda è questa: possibile che sia Messenger il problema? Adesso sembra tutto sotto controllo (tra l'altro non c'è più nè il processo winupgro.exe nè l'altro che cominciava sempre con win ma non ricordo), sarò apposto? Come faccio con MSN?

Probabile. Scarica ComboFix , salvandolo sul desktop con un nome di fantasia, ed esegui la scansione seguendo queste istruzioni (giù in fondo). Al termine della scansione verrà creato il file di report C:\combofix.txt, copia qui il suo contenuto inserendolo tra i tag LOG, in questo modo:

Codice: Seleziona tutto

[LOG]qui va inserito il log[/LOG]

[Jon Paul Lord]

La mia domanda è questa: possibile che sia Messenger il problema? Adesso sembra tutto sotto controllo (tra l'altro non c'è più nè il processo winupgro.exe nè l'altro che cominciava sempre con win ma non ricordo), sarò apposto? Come faccio con MSN?

Probabile. Scarica ComboFix , salvandolo sul desktop con un nome di fantasia, ed esegui la scansione seguendo queste istruzioni (giù in fondo). Al termine della scansione verrà creato il file di report C:\combofix.txt, copia qui il suo contenuto inserendolo tra i tag LOG, in questo modo:

Codice: Seleziona tutto

[LOG]qui va inserito il log[/LOG]

Nel frattempo che mi rispondessi (e grazie di averlo fatto ) con spyware doctor ho aggiunto alle azioni, quella di bloccare il file WINUPGRO.EXE; fatto ciò, quando lancio msn, spyware doctor mi dice che è stato bloccato il processo msnmsgr.exe perché stava tentando di chiudere un file (?) e il percorso rimanda a WINUPGRO.EXE: a bloccare l'ho bloccato, e stavo reinstallando msn...

P.S. Sto per andare off topic: sul sito di messenger, dove c'è scritto download, clicco, mi manda su un sito, ma poi mi reindirizza su un sito dove mi fa vedere un'immagine di musica (brutalizer.com)... Non riesco a scaricare il file!

[ste_95]

Usa Combofix.

[Jon Paul Lord]

Usa Combofix.

Ora sto andando a letto, grazie mille... Comunque, reinstallando msn il problema non me lo dà più...
Per sicurezza domani uso Combofix, thank you!

[ste_95]

Il problema è proprio MSN, perché Bagle infetta ogni volta un eseguibile in avvio automatico in modo da garantirsi la reinfezione. Una passata con ComboFIx io la darei comunque.

[Mikleman]

sono d'accordo con ste (meglio essere prudenti) ,fai una scansione con combofix e postaci il log.

[developerwinme]

ho letto che disattiva completamente tutti gli antivirus, ma vedo che Spyware Doctor blocca le azioni sul registro di quei processi dannosi.

Ciao, è vero che Bagle disattiva completamente quasi tutti gli antivirus ma basta un qualsiasi software HIPS o Antivirus/AntiSpyware/Firewall con questa funzionalità (Kaspersky, ZoneAlarm Pro, Comodo, Online Armor ecc...) che sia in grado di rilevare e bloccare il caricamento e la modifica dei servizi (e dei driver, che poi su windows sono la stessa cosa(o quasi)) e Bagle non può disattivare un bel niente. Inoltre sembra che alcune varianti di Bagle non funzionino quando è in eecuzione l'utility ProcessMonitor di Sysinternals.

Spero di aver soddisfatto la tua curiosità(come da titolo). Ciao

[antonpaco]

non dimentichiamo che del virus bagle esiteranno almeno un ventina di varianti, tutte diverse tra di loro, personalmente mi e' capitato di risolvere un bagle sul pc di mio fratello solamente con findykill mentre un altro tipo di bagle sul pc di un collega non c'e' stato nulla da fare, ha dovuto fromattare.

[developerwinme]

Ciao antonpaco,

non dimentichiamo che del virus bagle esiteranno almeno un ventina di varianti, tutte diverse tra di loro, personalmente mi e' capitato di risolvere un bagle sul pc di mio fratello solamente con findykill mentre un altro tipo di bagle sul pc di un collega non c'e' stato nulla da fare, ha dovuto fromattare.

questo è vero ma tutte le varianti (o almeno quelle più pericolose) necessitano di caricare un driver (normalmente srosa.sys) che serve per eliminare i software di sicurezza e nascondere i processi e le chiavi di registro del virus, oltre al driver stesso. Quello che voglio dire io è che Bagle potrebbe essere facilmente sconfitto, o almeno il risultato di una sua infezione molto ridotto, in presenza di un buon software HIPS configurato correttamente, come quelli citati nel mio precedente post.