Olimpo Informatico

[Zeruel]

Salve a tutti, questo è il mio primo post, davvero un bel forum!!

Ma passiamo subito alla questione...Ieri sera casualmente sono andato a sfogliarmi il file "hosts.sam" e l'ho trovato pieno di associazioni IP/hostname che non avevo mai visto il cui commento era "##Added by CiD". a questo punto mi sono più che insospettito ho aperto HJT e fatto la scansione.
Mi sono ritrovato tra le altre le voci

[Sante62]

Ciao Zeruel e benvenuto...
Per cortesia posta il log tutto intero di Hijackthis;
Nel log di FindAwF non vedo tracce di Istant Access;
o si tratta di una nuova variante oppure non è riuscito a insediarsi per bene nel tuo PC; ma tu hai visto strani comportamenti del sistema?

[Zeruel]

Ciao Sante e grazie del benvenuto e dell'aiuto!
Ogni tanto (e solo da un sito di tablature per chitarra) si apre qualche popup, gli altri li blocca la google toolbar. Apparte quelle associazioni nel file hosts (che tra l'altro associavano l'IP de loopback, cosa che mi perplime...) niente.

Ecco il log

[Sante62]

OK, intanto fixa con HJT le righe che hai già indicato tu più una che ho aggiunto io:

[Zeruel]

Fixato con HJT.
Ecco il report HJT

[Sante62]

I log sembrano puliti....
Per il file host si deve tentare di ripristinarlo; assicurati che non sia messo in sola lettura prima di fare questo passaggio;
quindi scarica Hoster

Avvialo, clicca su "Restore Microsoft's Original Hosts File"
clicca su "Make Host Read Only"
e chiudilo.
Metti un firewall per una maggiore protezione scegliendone uno tramite questa discussione;
collegati a Kaspersky online scanner
Quando sta scaricando i file necessari, disattiva momentaneamente l'antivirus. Non appena inizia la scansione del PC disconnettiti da internet.
Alla fine carica il risultato su www.freefilehosting.net, riportando quì il link che ti viene assegnato come indicato quì

[Zeruel]

Ecco il link del report di Kaspersky :S

http://www.freefilehosting.net/download/3cbb2

[Sante62]

C'è un infezione da Bagle; e probabilmente da photoalbum.zip
Scarica e fai la scansione con Elibagla seguendo questa discussione;
ovviamente posta il risultato;
Scarica questo file sul desktop
decomprimi l'archivio, avvia il file MSNFix.bat.
Ti si apre una finestra dos, digita i dove lampeggia il cursore e dai l'invio.
Dopo un pò se l'infezione è presente, vedrai la scritta
" /!\ Infezione Presente /!\"
Premi un tasto qualsiasi per avviare la rimozione
Ti chiederà il riavvio.
Riavvia il pc.
Al riavvio, vedrai la finestra dos ridigita i e dai l'invio, finito tutto, riapparirà il desktop e si aprirà il block notes, gentilmente allega il contenuto del block notes nella tua risposta.
Alla fine allega un log di HJT.
Dopo rifai la scansione con Kaspersky...

[Zeruel]

Il virus è, per la maggior parte, presente nel disco C in cui ho un account diverso da quello che uso attualmente (D) e in cui probabilmente avrò difficoltà ad accedere. posso far partire MSNFix anche da questo account?

[Sante62]

Penso di no, dovresti farlo partire dall'account dove pensi risiedano i virus....
direi comunque di farlo partire da tutti e due gli account così come Elibagla...

[Zeruel]

Elibagla consentiva di scegliere il disco da scandire e l'ho fatto partire solo da un account.. Ecco i report.

Relativamente al disco C:
MSNFix
HJT

Relativamente al disco D:
MSNFix //non mi ha trovato niente su questo disco ma l'ho messo lo stesso
HJT

Questi valgono per entrambi i dischi:
Elibagla
Kaspersky

[Sante62]

Allora, Elibagla non è riuscito ad eliminare tutto...ma provvederemo.
Avvia HJT al disco C e fixa queste righe:

[Zeruel]

Antivirus e firewall li avevo lasciati disattivati perchè avevo appena finito la scansione, però li uso ^^

Faccio tutto e ti faccio sapere

Edit:
La prima volta che ho utilizzato Avenger non mi ha creato il log, l'ho usato una seconda volta e sembra che abbia effettivamente eliminato i files (non li trovava più)

Ecco il report di HJT:

[Sante62]

Il log di Avenger lo trovi su C:\Avenger.txt, vedi cosa contiene; se è vuoto non lo postare.
Adesso avvia Hijackthis e fixa queste altre righe se presenti:

[Zeruel]

Le voce non erano più presenti in HJT, ed il file era già stato eliminato.

In questi ultimi giorni mi è spuntato un problema (non so se c'era gia o se è nuovo). Al primo avvio della giornata il pc si avvia normalmente. Successivamente se riavvio, oppure spengo e riaccendo, anzichè farmi entrare nella schermata di selezione dell'account la salta e cerca direttamente di caricare windows e si blocca nella schermata "Accesso a Windows in corso..."

[Sante62]

E' probabile che il virus ti abbia danneggiato l'account che usi...
Prova a vedere su Pannello di controllo->Account Utente, e controlla quali account ti risultano; puoi cancellarlo e ricrearlo oppure modificarlo....