Olimpo Informatico

[shadow2008]

Ciao
E' da ieri che sto perdendo la testa con questo virus... penso sia trojan.vundo ma non riesco proprio a toglierlo...
Il VundoFix trova questi quattro file... li elimina ma al riavvio si ricreano sempre!!!!

c:\windows\system32\awtqr.exe
c:\windows\system32\awtqr.dll
c:\windows\system32\rqtwa.ini
c:\windows\system32\rqtwa.ini2

il mio dubbio è che qualcosa li ricrei sempre....ma non so cosa o dove sia....
Anche quando il VundoFix parte appena dopo il riavvio del pc non cambia nulla. C'è un momento in cui si rigenerano tutti.
Prevx non riesce ad eliminarli, norton non li vede neanche, provato anche scansione online Bitdefender e TrendMicro.

Qualcuno mi aiuta?
Grazie!

[shadow2008]

Già che ci sono vi metto il link del log di HijackThis. Non riesce a fixare la voce relativa al file incriminato awtqr, che comunque non credo sia il solo. Inoltre ogni tanto il desktop sparisce e si ricarica.

hijackthis5.log

[bdoriano]

Ciao shadow2008,

Segui le istruzioni di questo topic per postare il log di combofix.

PS: se vuoi, puoi presentarti qui

[shadow2008]

Ecco pronto il log di combofix!

ComboFix.txt

e ho ripassato anche hijack
hijackthis6.log

[bdoriano]

Combofix ha rimosso qualcosina...

Scarica avenger e scompattalo in una sua cartella non temporanea e non sul desktop

Apri il notepad, e copia/incolla questo codice

[shadow2008]

Allora ho fatto tutto, al riavvio voleva installare qualcosa Sonic Update Manager ma ho fatto annulla... tanto eventualmente non mi serve.

Comunque il log di hijack nuovo:
hijackthis7.log

ed ecco quello che ha fatto avenger:
avenger.txt

però i file awtqr ci sono ancora per esempio...

[bdoriano]

Strano, perché Avenger ha fatto tutto il suo dovere...

Vabbene, fai questa scansione con SystemScan e posta il log su FreeFileHosting come indicato qui.

[shadow2008]

...sto provando....
systems scan mi da quell'errore sui privilegi e l'exe SeDebug-Restore non funziona... dice:

"\cscript.exe non è riconosciuto come comando interno o esterno, un programma eseguibile o un file batch.

Please reboot your machine.
Press any key to exit.

C'è qualcosa che fa ricreare tutto all'avvio... e poi ogni tanto tutto explorer si ricarica (il desktop). Adesso all'accessione ho dovuto far paritre explorer dal task manager


SCANSIONE PARTITA: ho messo i privilegi manualmente

[shadow2008]

Fatta la scansione con SystemScan....cavoli è grave vero??

Ecco qua il log... grazie per la pazienza....


23_12_2007_20_25_report.zip

[bdoriano]

Mi sa che è grave, si...
Intanto che mi leggo il log di systemscan, fai una passata con il Gromozon Removal Tool. Vediamo se trova qualcosa.

[shadow2008]

...non sembra ci siano problemi apparentemente...
il tool dice che il rootkit gromozon non c'è, ma per la scansione niente... praticamente mi fa riavviare, si è bloccato in una schermata blu dove diceva immagine danneggiata sfcfiles.dll. Spegnendo e riaccendendo è ripartito... che paura. Ma lo scan che è partito al riavvio ha detto che ha violato l'accesso leggendo una parte di memoria protetta e lo ha chiuso.

[bdoriano]

C'è qualcosa che non mi quadra... vedo parecchi files con uno (o più) spazi al termine del nome.

Scarica Norman Malware Cleaner.
Disabilita il ripristino di sistema e avvia il pc in modalità provvisoria.
Avvia Norman Malware Cleaner.
Viene generato un log sul desktop chiamandolo NFix_2007-12-gg_hh-mm-ss.log, alla fine della scansione postalo qui.

Riavvia il pc in modalità normale.
Scarica VirIt, installalo, aggiornalo (importante) e fai lo scan completo.
Al termine, posta qui il log della scansione.

[shadow2008]

ecco fatto:

log di norman: NFix_2007-12-24_09-27-59.log

e log di virit aggiornato (che non ha trovato niente):
VIRITEXP.LOG


Mi sono appena accorto che ci sono degli exe duplicati nelle cartelle di certi programmi... per esempio ci sono due zclient di zone alarm (che non mi mette consenti/nega in italiano ma in inglese da ieri)
ci sono tanti qttask di quicktime....cavoli cosa è???? (non credo sia quello che fa le cartelle bak)

Per esempio in norton c'è advchk buono e uno uguale con data di creazione sabato ore 19.50 che è quando ho beccato il virus credo... ma è un'altro virus oltre a vundo? boh

[bdoriano]

Mi sa di nuova infezione...

Giusto per sicurezza, fai questa scansione con FindAWF.

Dopo, collegati a Kaspersky on-line scanner e fai la scansione estesa, come indicato qui.
Salva il risultato della scansione in un file (in formato HTML), carica il file su Freefilehosting e posta qui il link che ti viene assegnato.

[bdoriano]

Credo di aver capito che si tratta di una variante di Instant Access (o qualcosa di simile).

Avvia AVENGER
Clicca su input script manually
Clicca sulla lente d'ingrandimento
Inserisci queste righe:

[shadow2008]

Allora il kaspersky trova un casino.... ben due... anche un certo dropper insieme a virtumonde.
Dunque... nel log ci sono anche un sacco di cose nelle varie quarantene e nel restore di sistema che ovviamente ora provvedo ad eliminare. E per fortuna sono quelle che fanno paura come spazio occupato nel log

Il punto è che non so ora come procedere. Devo scaricare la trial? Ma pensi che rimuove tutto? No perchè dovrei togliere tutto norton perchè è incompatibile. Posso fare in altro modo? Poi ovviamente penserò a cambiare antivirus....

Per quanto riguarda findAWF ti posto il log, ma tutte le cartelle bak si riferiscono al vecchio InstantAccess che avevo preso a febbraio e non c'entrano quindi non farci caso...
Il punto serio è Trojan.Dropper che è quello che duplica tutti gli exe!!!!!! Oltre al vundo... (vedi nel log in basso)

log kaspersky: kaspersky new.html

log AWF: awf.txt

LEGGO ORA L'ULTIMO POST... ORA VEDO
cmq ci sono altri file tra cui il client di zone alarm e l'utilità della connessione della adsl che hanno l'exe doppio e infetto.. infatti sparisce anche una lucina dal modem!!! AH!!!

Ecco fatto con avenger... ma per esempio awtqr.exe lo crea all'avvio infatti ora c'è e per avenger non c'era. Mi sembra non cambi niente.
avenger1.txt

Sono tentato di togliere norton e mettere kaspersky sperando che riesca a pulire. Aiutoooo!

[bdoriano]

Per il momento, NON ESEGUIRE LE ISTRUZIONI DI AVENGER.

Intanto cerco altre info.

Niente, ho visto ora che hai già fatto.

Il "ragazzo" si è infilato bene dappertutto.

Norton farai sicuramente meglio a farlo sparire.

Mi leggo gli ultimi logs e vediamo cosa fare.

[bdoriano]

ti ho mandato un MP

[bdoriano]

Ciao Shadow2008,
spero tu abbia risolto il problema con il tuo ospite indesiderato.

Il virus che hai preso è abbastanza recente da non essere riconosciuto da tutti gli antivirus, ancora.
Ma, piano piano, vari ricercatori antivirus lo stanno aggiungendo ai loro database. Fino a un paio di giorni fa, sembra che gli unici antivirus a riconoscerlo fossero Kaspersky e GData.
Dalle notizie che ho pescato in giro per internet, la rimozione manuale è molto complicata ed è consigliabile farla fare automaticamente al proprio antivirus dopo averne effettuato l'aggiornamento.
Infatti, il virus, si occupa di rinominare i files originali e di creare nuovi files con il proprio codice virale.

Aggiorna VirIt e ritenta la scansione.
Puoi anche scaricare drWeb CureIt (viene aggiornato frequentemente), avviare il pc in modalità provvisoria e usare CureIt per la pulizia del pc.

Puoi anche usare:

• Panda Active Scan
  
• ESET Online Scanner
  
• BitDefender online scanner
  
• F-Secure online scanner

che dovrebbero tentarne anche la rimozione.

[shadow2008]

Ciao bdoriano!

Si dai spero di aver risolto....
Ho trovato il sito www.virustotal.com che permette di inviare un singolo file e poi restituisce il risultato della scansione effettuata con molteplici antivirus. In questo modo, mandando uno degli exe modificati e il famigerato file awtqr, ho potuto vedere quali antivirus riconscevano il virus che per alcuni è lo stesso e per altri erano due diversi virus.
Facendo la scansione online con F-secure trovava il virus ma non riusciva a rimuoverlo.
Alla fine l'aiuto decisivo è venuto da eTrust-vet (ca.com) che identifica il virus come Win32/Vundo.IY.
La scansione online non riusciva a rimuovere tutto dato che i programmi erano attivi. Allora ho scaricato la versione di prova e riavviato in modalità provvisoria rimuovendo subito dopo l'antivirus perchè non facesse conflitto con norton.
Per sicurezza, anche se aveva pulito gli exe, quelli segnalati gli ho poi cancellati a mano (i programmi di avivo automatico) e rinominato quelli originali e puliti che aveva un carattere di spazio alla fine del nome.
Ora gli exe non sono più duplicati e awtqr exe e dll non ci sono più!!!

Grazie ancora...che fortuna... un bel virus nuovo di zecca... non si sa mai che antivirus installare!!! Cavoli