Olimpo Informatico

[Irnerio]

Ciao ,

sono riuscito ad eseguire la scansione con kaspersky on line, ed ho caricato il file su freefilehosting.

Questo è il relativo link:

Forum Link: Analisi_7_aprile_2008.html

Se ho compreso il risulato, il mio pc è affetto da un trojan , presente in una mail ricevuta (ma credo di averla cancellata, proprio perchè sospettavo non fosse autentica...).

E adesso?

[bdoriano]

Come hai giustamente notato, viene rilevato un trojan in un messaggio di posta in arrivo di OE.
Se l'hai già cancellato, devi provare a comprimere la cartella Posta in arrivo di OE:

• Avvia OE
  
• Seleziona la cartella Posta in arrivo
  
• Clicca File
  
• Clicca Cartella
  
• Clicca Comprimi

In teoria, dovresti essere a posto così.
Se non riscontri problemi, puoi riattivare il ripristino di sistema.

[Irnerio]

Ciao

effettivamente, avevo cancellato il messaggio col trojan il giorno in cui l'ho ricevuto.

Ho quindi seguito le tue istruzioni ed ho compresso la cartella di posta in arrivo in OE: l'ho fatto per tutti e tre gli indirizzi mail, per i quali ho configurato OE.

Ho visto il "messaggio di compressione", ma non è cambiato nulla in outlook.

E' giusto così?

Mi chiedevo poi, come ha fatto il trojan ad infettare il pc, dato che, sono sicuro, non ho aperto il messaggio infetto.

Intendo dire, che abitualmente apro solo i messaggi di mittenti conosciuti e cancello gli altri; tutt'al più, controllo il testo dei messaggi sconosciuti, cliccando su proprietà, ma sempre senza aprire la mail sospetta.

Il pc può essere infettato anche senza aprire la mail col malware?

Ad ogni modo, aspetto ancora un giorno o due a riattivare il ripristino di sistema, per vedere se il problema si ripresenta (speriamo di no.. )

[Irnerio]

Ciao bdoriano,

internet connection ha colpito per l'ennesima volta poco fa...

Ero collegato a internet e sono stato disconnesso.

Inoltre, è apparsa una nuova icona sul desktop che rimanda al seguente file: rundll32.exe bthprops

Cosa posso fare?

Non so proprio come liberarmi di questa maledizione..

[bdoriano]

Un'altra volta?

Ricominciamo... segui le istruzioni di questo topic per postare il log di combofix.

Poi dovremo capire da dove arriva.

PS: gli aggiornamenti di Windows, Java, etc... li fai regolarmente?

[Irnerio]

Anche io quasi non ci credo...

Comunque mi metto subito al lavoro con Combofix.

Ho fatto, ad ogni buon conto una scansione con Kaspersky on line: è venuto fuori che ho due virus: il Trojan.Win32.Agent.kag, ed il Trojan-Spy.HTML.Bankfraud.tx, sparpagliati in 18 files.

Se può servire, ho caricato il risultato su freefilehosting, qua:

Analisi_15_aprile_2008.html

Per quanto riguarda gli aggiornamenti di Windows e Java, posso dirti che ho il download automatico, ma non so come fare a controllare se sono effettivamente "aggiornato" o meno..

[Irnerio]

Ciao

ti posto di seguito, il log di combofix e quello di hijackthis:


ComboFix 08-04-14.2 - LORENZO 2008-04-15 23.16.24.10 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1040.18.404 [GMT 2:00]
Eseguito da: C:\Documents and Settings\LORENZO\Desktop\ComboFix.exe
* Creato nuovo punto di ripristino

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((( Files Creati Da 2008-03-15 al 2008-04-15 )))))))))))))))))))))))))))))))))))
.

2008-04-15 20:40 . 2008-04-14 22:10 14,348 --a------ C:\Documents and Settings\LORENZO\rundll32.exe bthprops .exe
2008-04-06 16:33 . 2008-04-06 20:47 <DIR> d-------- C:\WINDOWS\BDOSCAN8
2008-04-04 23:19 . 2008-04-04 23:19 <DIR> d-------- C:\Programmi\MSXML 6.0
2008-03-30 00:14 . 2008-04-14 22:05 664 --a------ C:\WINDOWS\system32\d3d9caps.dat
2008-03-29 21:55 . 2008-03-29 21:55 <DIR> d-------- C:\Programmi\TechSmith
2008-03-29 21:50 . 2008-03-29 21:50 <DIR> d-------- C:\WINDOWS\system32\it-IT
2008-03-29 21:49 . 2008-03-29 21:49 <DIR> d-------- C:\Programmi\MSBuild
2008-03-29 21:46 . 2008-03-29 21:50 <DIR> d-------- C:\WINDOWS\system32\XPSViewer
2008-03-29 21:45 . 2008-03-29 21:45 <DIR> d-------- C:\Programmi\Reference Assemblies
2008-03-29 21:45 . 2006-06-29 14:07 14,048 --------- C:\WINDOWS\system32\spmsg2.dll
2008-03-29 21:42 . 2008-04-09 23:31 1,355 --a------ C:\WINDOWS\imsins.BAK
2008-03-29 18:06 . 2008-03-29 18:07 2,945,816 --a------ C:\Programmi\Net Framework 3.0 dotnetfx3setup.exe
2008-03-29 16:08 . 2008-03-29 16:08 5,549,888 --a------ C:\Programmi\jing_setup.exe
2008-03-20 22:06 . 2008-03-20 22:06 16,648,248 --a------ C:\Programmi\Norman_Malware_Cleaner.exe
2008-03-19 22:24 . 2008-03-19 22:24 <DIR> d-------- C:\Programmi\CCleaner
2008-03-19 22:10 . 2008-03-19 22:10 671,968 --a------ C:\Programmi\ccsetup205_slim.exe
2008-03-19 22:05 . 2008-03-19 22:05 50,688 --a------ C:\Programmi\ATF-Cleaner.exe

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-04-15 18:44 --------- d-----w C:\Programmi\File comuni\Symantec Shared
2008-04-14 18:42 35,248 ----a-w C:\Documents and Settings\LORENZO\Dati applicazioni\GDIPFONTCACHEV1.DAT
2008-03-29 21:20 13,067 ----a-w C:\Programmi\hijackthis.log
2008-03-29 15:47 --------- d-----w C:\Programmi\File comuni\Wise Installation Wizard
2008-03-21 11:40 --------- d-----w C:\Programmi\Norton Internet Security
2008-03-20 08:06 1,845,248 ----a-w C:\WINDOWS\system32\win32k.sys
2008-03-15 14:30 --------- d-----w C:\Documents and Settings\All Users\Dati applicazioni\Lavasoft
2008-03-15 14:12 9,344 ----a-w C:\WINDOWS\system32\drivers\NSDriver.sys
2008-03-15 14:12 8,320 ----a-w C:\WINDOWS\system32\drivers\AWRTRD.sys
2008-03-15 14:12 12,632 ----a-w C:\WINDOWS\system32\lsdelete.exe
2008-02-20 06:50 282,624 ----a-w C:\WINDOWS\system32\gdi32.dll
2008-02-20 05:33 45,568 ----a-w C:\WINDOWS\system32\dnsrslvr.dll
2008-02-08 22:18 53,248 ----a-w C:\Programmi\Process.exe
2008-01-25 17:19 127,378 ----a-w C:\Programmi\avenger.zip
2008-01-24 21:17 189,718 ----a-w C:\Programmi\FindAWF.exe
2008-01-15 21:47 143,428 ----a-w C:\WINDOWS\system32\nvsvc32.exe
2008-01-15 14:09 401,720 ----a-w C:\Programmi\HiJackThis.exe
2008-01-13 11:45 17,990,864 ----a-w C:\Programmi\AAW2007.EXE
.

[bdoriano]

Crea un file di testo con le seguenti istruzioni:

[Irnerio]

Ciao, ecco il log aggiornato di combofix:


ComboFix 08-04-14.2 - LORENZO 2008-04-17 21.37.30.11 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1040.18.504 [GMT 2:00]
Eseguito da: C:\Documents and Settings\LORENZO\Desktop\ComboFix.exe
Command switches used :: C:\Documents and Settings\LORENZO\Desktop\CFScript.txt
* Creato nuovo punto di ripristino

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

FILE ::
C:\Documents and Settings\LORENZO\Desktop\rundll32.exe bthprops .exe
C:\Documents and Settings\LORENZO\rundll32.exe bthprops .exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched .exe
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\LORENZO\Desktop\rundll32.exe bthprops .exe
C:\Documents and Settings\LORENZO\rundll32.exe bthprops .exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched .exe

.
((((((((((((((((((((((((( Files Creati Da 2008-03-17 al 2008-04-17 )))))))))))))))))))))))))))))))))))
.

2008-04-06 16:33 . 2008-04-06 20:47 <DIR> d-------- C:\WINDOWS\BDOSCAN8
2008-04-04 23:19 . 2008-04-04 23:19 <DIR> d-------- C:\Programmi\MSXML 6.0
2008-03-30 00:14 . 2008-04-14 22:05 664 --a------ C:\WINDOWS\system32\d3d9caps.dat
2008-03-29 21:55 . 2008-03-29 21:55 <DIR> d-------- C:\Programmi\TechSmith
2008-03-29 21:50 . 2008-03-29 21:50 <DIR> d-------- C:\WINDOWS\system32\it-IT
2008-03-29 21:49 . 2008-03-29 21:49 <DIR> d-------- C:\Programmi\MSBuild
2008-03-29 21:46 . 2008-03-29 21:50 <DIR> d-------- C:\WINDOWS\system32\XPSViewer
2008-03-29 21:45 . 2008-03-29 21:45 <DIR> d-------- C:\Programmi\Reference Assemblies
2008-03-29 21:45 . 2006-06-29 14:07 14,048 --------- C:\WINDOWS\system32\spmsg2.dll
2008-03-29 21:42 . 2008-04-09 23:31 1,355 --a------ C:\WINDOWS\imsins.BAK
2008-03-29 18:06 . 2008-03-29 18:07 2,945,816 --a------ C:\Programmi\Net Framework 3.0 dotnetfx3setup.exe
2008-03-29 16:08 . 2008-03-29 16:08 5,549,888 --a------ C:\Programmi\jing_setup.exe
2008-03-20 22:06 . 2008-03-20 22:06 16,648,248 --a------ C:\Programmi\Norman_Malware_Cleaner.exe
2008-03-19 22:24 . 2008-03-19 22:24 <DIR> d-------- C:\Programmi\CCleaner
2008-03-19 22:10 . 2008-03-19 22:10 671,968 --a------ C:\Programmi\ccsetup205_slim.exe
2008-03-19 22:05 . 2008-03-19 22:05 50,688 --a------ C:\Programmi\ATF-Cleaner.exe

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-04-17 19:28 --------- d-----w C:\Programmi\File comuni\Symantec Shared
2008-04-16 19:04 13,271 ----a-w C:\Programmi\hijackthis.log
2008-04-14 18:42 35,248 ----a-w C:\Documents and Settings\LORENZO\Dati applicazioni\GDIPFONTCACHEV1.DAT
2008-03-29 15:47 --------- d-----w C:\Programmi\File comuni\Wise Installation Wizard
2008-03-21 11:40 --------- d-----w C:\Programmi\Norton Internet Security
2008-03-20 08:06 1,845,248 ----a-w C:\WINDOWS\system32\win32k.sys
2008-03-15 14:30 --------- d-----w C:\Documents and Settings\All Users\Dati applicazioni\Lavasoft
2008-03-15 14:12 9,344 ----a-w C:\WINDOWS\system32\drivers\NSDriver.sys
2008-03-15 14:12 8,320 ----a-w C:\WINDOWS\system32\drivers\AWRTRD.sys
2008-03-15 14:12 12,632 ----a-w C:\WINDOWS\system32\lsdelete.exe
2008-02-20 06:50 282,624 ----a-w C:\WINDOWS\system32\gdi32.dll
2008-02-20 05:33 45,568 ----a-w C:\WINDOWS\system32\dnsrslvr.dll
2008-02-08 22:18 53,248 ----a-w C:\Programmi\Process.exe
2008-01-25 17:19 127,378 ----a-w C:\Programmi\avenger.zip
2008-01-24 21:17 189,718 ----a-w C:\Programmi\FindAWF.exe
2008-01-15 14:09 401,720 ----a-w C:\Programmi\HiJackThis.exe
2008-01-13 11:45 17,990,864 ----a-w C:\Programmi\AAW2007.EXE
.

((((((((((((((((((((((((((((( snapshot_2008-04-15_23.19.19,15 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-04-15 18:44:00 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-04-17 19:28:33 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-04-17 19:28:48 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_848.dat
.
((((((((((((((((((((((((((((((((((((((((((((( AWF ))))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
----a-w 1,019,392 2004-09-23 09:33:44 C:\Programmi\File comuni\PCSuite\DataLayer\bak\DATALA~1.EXE

----a-w 49,152 2004-02-12 12:38:56 C:\Programmi\HP\HP Software Update\bak\HPWuSchd2.exe

----a-w 241,664 2004-05-12 14:18:56 C:\Programmi\HP\hpcoretech\bak\hpcmpmgr.exe

----a-w 148,992 2004-09-15 14:36:06 C:\Programmi\Nokia\Nokia PC Suite 6\bak\TRAYAP~1.EXE

----a-w 29,696 2006-06-22 14:11:18 C:\Programmi\Sony\AppMonUtil\bak\AppMonUtility.exe

----a-w 69,632 2005-12-27 11:58:10 C:\Programmi\Sony\VAIO Camera Utility\bak\VCUServe.exe

----a-w 151,552 2005-10-11 19:36:38 C:\Programmi\Sony\VAIO Update 2\bak\VAIOUpdt.exe

----a-w 64,512 2005-08-17 20:40:06 C:\WINDOWS\ehome\bak\ehtray.exe
----a-w 59,392 2004-08-10 03:04:42 C:\WINDOWS\ehome\ehtray.exe

----a-w 15,360 2004-09-07 12:00:00 C:\WINDOWS\system32\bak\ctfmon.exe
----a-w 15,360 2004-09-07 12:00:00 C:\WINDOWS\system32\ctfmon.exe

.
((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* i valori vuoti & legittimi/default non sono visualizzati.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-09-07 14:00 15360]
"MSMSGS"="C:\Programmi\Messenger\msmsgs.exe" [2004-10-13 18:24 1694208]
"SsAAD.exe"="C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe" [2008-02-09 00:12 81920]
"swg"="C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe" [2007-01-27 17:49 171448]
"Jing"="C:\Programmi\TechSmith\Jing\Jing.exe" [2008-01-28 13:48 709888]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-06-23 01:32 7561216]
"ehTray"="C:\WINDOWS\ehome\ehtray.exe" [2004-08-10 05:04 59392]
"ccApp"="C:\Programmi\File comuni\Symantec Shared\ccApp.exe" [2007-02-22 13:11 52840]
"URLLSTCK.exe"="C:\Programmi\Norton Internet Security\UrlLstCk.exe" [2007-02-01 18:21 23168]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-09-07 14:00 110592 C:\WINDOWS\system32\bthprops.cpl]
"Symantec PIF AlertEng"="C:\Programmi\File comuni\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" [2007-03-12 10:22 517768]
"Acrobat Assistant 7.0"="C:\Programmi\Adobe\Acrobat 7.0\Distillr\Acrotray.exe" [2005-03-03 21:47 483328]
"HP Software Update"="C:\Programmi\HP\HP Software Update\HPWuSchd2.exe" [ ]
"VAIOCameraUtility"="C:\Programmi\Sony\VAIO Camera Utility\VCUServe.exe" [ ]
"VAIO Update 2"="C:\Programmi\Sony\VAIO Update 2\VAIOUpdt.exe" [ ]
"HP Component Manager"="C:\Programmi\HP\hpcoretech\hpcmpmgr.exe" [ ]
"SunJavaUpdateSched"="C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe" [ ]
"Norton Ghost 10.0"="C:\Programmi\Norton Ghost\Agent\GhostTray.exe" [ ]
"AppMon Utility"="C:\Programmi\Sony\AppMonUtil\AppMonUtility.exe" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-09-07 14:00 15360]

C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\
Audio Filter.lnk - C:\Programmi\Sony\SonicStage Mastering Studio\Audio Filter\SSMSFilter.exe [2006-08-19 09:16:02 5649408]
Avvio rapido di HP Image Zone.lnk - C:\Programmi\HP\Digital Imaging\bin\hpqthb08.exe [2004-05-29 00:06:36 53248]
Avvio veloce di Adobe Reader.lnk - C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 22:05:26 29696]
HP Digital Imaging Monitor.lnk - C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe [2004-05-28 23:31:38 241664]
Microsoft Office.lnk - C:\Programmi\Microsoft Office\Office10\OSA.EXE [2001-02-13 10:01:04 83360]
Photo Loader residente.lnk - C:\Programmi\Casio\Photo Loader\Plauto.exe [2006-12-29 19:03:56 229376]
VAIO Action Setup (Server).lnk - C:\Programmi\Sony\VAIO Action Setup\VAServ.exe [2006-07-17 15:21:26 98304]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"InstallVisualStyle"= C:\WINDOWS\Resources\Themes\Royale\Royale.msstyles
"InstallTheme"= C:\WINDOWS\Resources\Themes\Royale.theme

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\VESWinlogon]
VESWinlogon.dll 2005-05-20 17:42 73728 C:\WINDOWS\system32\VESWinlogon.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programmi\\Adobe\\Photoshop Elements 4.0\\AdobePhotoshopElementsMediaServer.exe"=
"C:\\Programmi\\Messenger\\msmsgs.exe"=

R2 MSSQL$VAIO_VEDB;MSSQL$VAIO_VEDB;C:\Programmi\Microsoft SQL Server\MSSQL$VAIO_VEDB\Binn\sqlservr.exe [2002-12-17 17:56]
R2 Utilità di pianificazione di LiveUpdate automatico;Utilità di pianificazione di LiveUpdate automatico;"C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe" [2006-08-03 18:45]
R3 AVerM115S;AVerM115S service;C:\WINDOWS\system32\DRIVERS\AVerM115S.sys [2006-06-14 10:22]
R3 SonyImgF;Sony Image Conversion Filter Driver;C:\WINDOWS\system32\DRIVERS\SonyImgF.sys [2006-03-06 11:39]
R3 ti21sony;ti21sony;C:\WINDOWS\system32\drivers\ti21sony.sys [2006-02-21 11:32]
S3 Image Converter video recording monitor for VAIO Entertainment;Image Converter video recording monitor for VAIO Entertainment;C:\Programmi\Sony\Image Converter 2\IcVzMon.exe [2005-07-14 19:10]
S3 SQLAgent$VAIO_VEDB;SQLAgent$VAIO_VEDB;C:\Programmi\Microsoft SQL Server\MSSQL$VAIO_VEDB\Binn\sqlagent.EXE [2002-12-17 17:23]
S3 usbscan;Driver scanner USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 23:58]
S3 USBSTOR;Driver archiviazione di massa USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-04 00:08]

*Newly Created Service* - COMHOST
.
Contenuto della cartella 'Scheduled Tasks'
"2008-03-21 21:55:13 C:\WINDOWS\Tasks\Norton AntiVirus - Esegui scansione completa del sistema - LORENZO.job"
- C:\PROGRA~1\NORTON~1\NORTON~1\Navw32.exei/TASK:
"2007-06-16 07:00:41 C:\WINDOWS\Tasks\WebReg 20070616090041.job"
- C:\Programmi\HP\Digital Imaging\bin\hpqwrg.exe`/TaskName 20070616090041 /N
.
**************************************************************************

catchme 0.3.1353 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-04-17 21:39:43
Windows 5.1.2600 Service Pack 2 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
Ora fine scansione: 2008-04-17 21.41.06
ComboFix-quarantined-files.txt 2008-04-17 19:40:40
ComboFix2.txt 2008-04-15 21:19:51
ComboFix3.txt 2008-04-05 14:44:27
ComboFix4.txt 2008-04-04 19:28:24
ComboFix5.txt 2008-04-02 20:34:21

11 Directory 126,088,650,752 byte disponibili
15 Directory 126,077,120,512 byte disponibili
.
2008-04-09 21:31:28 --- E O F ---


Che ne dici?

[bdoriano]

Direi che sembra ok.

• Disabilita il tuo antivirus
  
• Collegati a BitDefender (con IE) e fai la scansione completa.
  
• Collegati a Kaspersky on-line scanner e fai la scansione estesa, come indicato qui.
  Salva il risultato della scansione in un file (in formato HTML), carica il file su Freefilehosting e posta qui il link che ti viene assegnato.

[Irnerio]

Eccomi qua ,

ho disabilitato Norton ed ho fatto la scansione con BitDefender prima, e con Kaspersky poi.

Il link di Freefilehosting è:


Analisi_20_aprile_2008.html

Sono pieno di virus, giusto?

[bdoriano]

Diciamo che ne hai una bella collezione.

Per cancellare i files infetti presenti nella System Volume Information, Disabilita il ripristino di sistema.

Crea un file di testo con le seguenti istruzioni:

[Irnerio]

Fatto! 8)
In effetti, a differenza dell'altra volta, ora le due icone "bthprops" sono scomparse dal desktop.

Aspetto però il tuo responso per sapere se è andata bene..

Ti posto il log di combofix:

ComboFix 08-04-14.2 - LORENZO 2008-04-21 20.49.40.12 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1040.18.467 [GMT 2:00]
Eseguito da: C:\Documents and Settings\LORENZO\Desktop\ComboFix.exe
Command switches used :: C:\Documents and Settings\LORENZO\Desktop\CFScript.txt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

FILE ::
C:\Documents and Settings\LORENZO\Desktop\rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe3427950180
C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe483058549
C:\Programmi\Sony\SonicStage\SsAAD.exe3006766571
C:\Programmi\Sony\SonicStage\SsAAD.exe393331901
C:\Programmi\TechSmith\Jing\Jing.exe130066323
C:\Programmi\TechSmith\Jing\Jing.exe554781497
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Documents and Settings\LORENZO\Desktop\rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe3427950180
C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe483058549
C:\Programmi\Sony\SonicStage\SsAAD.exe3006766571
C:\Programmi\Sony\SonicStage\SsAAD.exe393331901
C:\Programmi\TechSmith\Jing\Jing.exe130066323
C:\Programmi\TechSmith\Jing\Jing.exe554781497

.
((((((((((((((((((((((((( Files Creati Da 2008-03-21 al 2008-04-21 )))))))))))))))))))))))))))))))))))
.

2008-04-06 16:33 . 2008-04-19 17:26 <DIR> d-------- C:\WINDOWS\BDOSCAN8
2008-04-04 23:19 . 2008-04-04 23:19 <DIR> d-------- C:\Programmi\MSXML 6.0
2008-03-30 00:14 . 2008-04-14 22:05 664 --a------ C:\WINDOWS\system32\d3d9caps.dat
2008-03-29 21:55 . 2008-03-29 21:55 <DIR> d-------- C:\Programmi\TechSmith
2008-03-29 21:50 . 2008-03-29 21:50 <DIR> d-------- C:\WINDOWS\system32\it-IT
2008-03-29 21:49 . 2008-03-29 21:49 <DIR> d-------- C:\Programmi\MSBuild
2008-03-29 21:46 . 2008-03-29 21:50 <DIR> d-------- C:\WINDOWS\system32\XPSViewer
2008-03-29 21:45 . 2008-03-29 21:45 <DIR> d-------- C:\Programmi\Reference Assemblies
2008-03-29 21:45 . 2006-06-29 14:07 14,048 --------- C:\WINDOWS\system32\spmsg2.dll
2008-03-29 21:42 . 2008-04-09 23:31 1,355 --a------ C:\WINDOWS\imsins.BAK
2008-03-29 18:06 . 2008-03-29 18:07 2,945,816 --a------ C:\Programmi\Net Framework 3.0 dotnetfx3setup.exe
2008-03-29 16:08 . 2008-03-29 16:08 5,549,888 --a------ C:\Programmi\jing_setup.exe

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-04-21 18:34 --------- d-----w C:\Programmi\File comuni\Symantec Shared
2008-04-16 19:04 13,271 ----a-w C:\Programmi\hijackthis.log
2008-04-14 18:42 35,248 ----a-w C:\Documents and Settings\LORENZO\Dati applicazioni\GDIPFONTCACHEV1.DAT
2008-03-29 15:47 --------- d-----w C:\Programmi\File comuni\Wise Installation Wizard
2008-03-21 11:40 --------- d-----w C:\Programmi\Norton Internet Security
2008-03-20 20:06 16,648,248 ----a-w C:\Programmi\Norman_Malware_Cleaner.exe
2008-03-20 08:06 1,845,248 ----a-w C:\WINDOWS\system32\win32k.sys
2008-03-19 20:24 --------- d-----w C:\Programmi\CCleaner
2008-03-19 20:10 671,968 ----a-w C:\Programmi\ccsetup205_slim.exe
2008-03-19 20:05 50,688 ----a-w C:\Programmi\ATF-Cleaner.exe
2008-03-15 14:30 --------- d-----w C:\Documents and Settings\All Users\Dati applicazioni\Lavasoft
2008-03-15 14:12 9,344 ----a-w C:\WINDOWS\system32\drivers\NSDriver.sys
2008-03-15 14:12 8,320 ----a-w C:\WINDOWS\system32\drivers\AWRTRD.sys
2008-03-15 14:12 12,632 ----a-w C:\WINDOWS\system32\lsdelete.exe
2008-02-20 06:50 282,624 ----a-w C:\WINDOWS\system32\gdi32.dll
2008-02-20 05:33 45,568 ----a-w C:\WINDOWS\system32\dnsrslvr.dll
2008-02-08 22:18 53,248 ----a-w C:\Programmi\Process.exe
2008-01-25 17:19 127,378 ----a-w C:\Programmi\avenger.zip
2008-01-24 21:17 189,718 ----a-w C:\Programmi\FindAWF.exe
2008-01-15 14:09 401,720 ----a-w C:\Programmi\HiJackThis.exe
2008-01-13 11:45 17,990,864 ----a-w C:\Programmi\AAW2007.EXE
.

((((((((((((((((((((((((((((( snapshot_2008-04-15_23.19.19,15 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-04-15 18:44:00 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-04-21 18:34:50 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-04-21 18:35:06 16,384 ----atw C:\WINDOWS\Temp\Perflib_Perfdata_894.dat
.
((((((((((((((((((((((((((((((((((((((((((((( AWF ))))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
----a-w 1,019,392 2004-09-23 09:33:44 C:\Programmi\File comuni\PCSuite\DataLayer\bak\DATALA~1.EXE

----a-w 49,152 2004-02-12 12:38:56 C:\Programmi\HP\HP Software Update\bak\HPWuSchd2.exe

----a-w 241,664 2004-05-12 14:18:56 C:\Programmi\HP\hpcoretech\bak\hpcmpmgr.exe

----a-w 148,992 2004-09-15 14:36:06 C:\Programmi\Nokia\Nokia PC Suite 6\bak\TRAYAP~1.EXE

----a-w 29,696 2006-06-22 14:11:18 C:\Programmi\Sony\AppMonUtil\bak\AppMonUtility.exe

----a-w 69,632 2005-12-27 11:58:10 C:\Programmi\Sony\VAIO Camera Utility\bak\VCUServe.exe

----a-w 151,552 2005-10-11 19:36:38 C:\Programmi\Sony\VAIO Update 2\bak\VAIOUpdt.exe

----a-w 64,512 2005-08-17 20:40:06 C:\WINDOWS\ehome\bak\ehtray.exe
----a-w 59,392 2004-08-10 03:04:42 C:\WINDOWS\ehome\ehtray.exe

----a-w 15,360 2004-09-07 12:00:00 C:\WINDOWS\system32\bak\ctfmon.exe
----a-w 15,360 2004-09-07 12:00:00 C:\WINDOWS\system32\ctfmon.exe

.
((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* i valori vuoti & legittimi/default non sono visualizzati.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-09-07 14:00 15360]
"MSMSGS"="C:\Programmi\Messenger\msmsgs.exe" [2004-10-13 18:24 1694208]
"SsAAD.exe"="C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe" [2008-02-09 00:12 81920]
"swg"="C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe" [2007-01-27 17:49 171448]
"Jing"="C:\Programmi\TechSmith\Jing\Jing.exe" [2008-01-28 13:48 709888]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-06-23 01:32 7561216]
"ehTray"="C:\WINDOWS\ehome\ehtray.exe" [2004-08-10 05:04 59392]
"ccApp"="C:\Programmi\File comuni\Symantec Shared\ccApp.exe" [2007-02-22 13:11 52840]
"URLLSTCK.exe"="C:\Programmi\Norton Internet Security\UrlLstCk.exe" [2007-02-01 18:21 23168]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-09-07 14:00 110592 C:\WINDOWS\system32\bthprops.cpl]
"Symantec PIF AlertEng"="C:\Programmi\File comuni\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" [2007-03-12 10:22 517768]
"Acrobat Assistant 7.0"="C:\Programmi\Adobe\Acrobat 7.0\Distillr\Acrotray.exe" [2005-03-03 21:47 483328]
"HP Software Update"="C:\Programmi\HP\HP Software Update\HPWuSchd2.exe" [ ]
"VAIOCameraUtility"="C:\Programmi\Sony\VAIO Camera Utility\VCUServe.exe" [ ]
"VAIO Update 2"="C:\Programmi\Sony\VAIO Update 2\VAIOUpdt.exe" [ ]
"HP Component Manager"="C:\Programmi\HP\hpcoretech\hpcmpmgr.exe" [ ]
"SunJavaUpdateSched"="C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe" [ ]
"Norton Ghost 10.0"="C:\Programmi\Norton Ghost\Agent\GhostTray.exe" [ ]
"AppMon Utility"="C:\Programmi\Sony\AppMonUtil\AppMonUtility.exe" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-09-07 14:00 15360]

C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\
Audio Filter.lnk - C:\Programmi\Sony\SonicStage Mastering Studio\Audio Filter\SSMSFilter.exe [2006-08-19 09:16:02 5649408]
Avvio rapido di HP Image Zone.lnk - C:\Programmi\HP\Digital Imaging\bin\hpqthb08.exe [2004-05-29 00:06:36 53248]
Avvio veloce di Adobe Reader.lnk - C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 22:05:26 29696]
HP Digital Imaging Monitor.lnk - C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe [2004-05-28 23:31:38 241664]
Microsoft Office.lnk - C:\Programmi\Microsoft Office\Office10\OSA.EXE [2001-02-13 10:01:04 83360]
Photo Loader residente.lnk - C:\Programmi\Casio\Photo Loader\Plauto.exe [2006-12-29 19:03:56 229376]
VAIO Action Setup (Server).lnk - C:\Programmi\Sony\VAIO Action Setup\VAServ.exe [2006-07-17 15:21:26 98304]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"InstallVisualStyle"= C:\WINDOWS\Resources\Themes\Royale\Royale.msstyles
"InstallTheme"= C:\WINDOWS\Resources\Themes\Royale.theme

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\VESWinlogon]
VESWinlogon.dll 2005-05-20 17:42 73728 C:\WINDOWS\system32\VESWinlogon.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programmi\\Adobe\\Photoshop Elements 4.0\\AdobePhotoshopElementsMediaServer.exe"=
"C:\\Programmi\\Messenger\\msmsgs.exe"=

R2 MSSQL$VAIO_VEDB;MSSQL$VAIO_VEDB;C:\Programmi\Microsoft SQL Server\MSSQL$VAIO_VEDB\Binn\sqlservr.exe [2002-12-17 17:56]
R2 Utilità di pianificazione di LiveUpdate automatico;Utilità di pianificazione di LiveUpdate automatico;"C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe" [2006-08-03 18:45]
R3 AVerM115S;AVerM115S service;C:\WINDOWS\system32\DRIVERS\AVerM115S.sys [2006-06-14 10:22]
R3 SonyImgF;Sony Image Conversion Filter Driver;C:\WINDOWS\system32\DRIVERS\SonyImgF.sys [2006-03-06 11:39]
R3 ti21sony;ti21sony;C:\WINDOWS\system32\drivers\ti21sony.sys [2006-02-21 11:32]
R3 usbscan;Driver scanner USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 23:58]
R3 USBSTOR;Driver archiviazione di massa USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-04 00:08]
S3 Image Converter video recording monitor for VAIO Entertainment;Image Converter video recording monitor for VAIO Entertainment;C:\Programmi\Sony\Image Converter 2\IcVzMon.exe [2005-07-14 19:10]
S3 SQLAgent$VAIO_VEDB;SQLAgent$VAIO_VEDB;C:\Programmi\Microsoft SQL Server\MSSQL$VAIO_VEDB\Binn\sqlagent.EXE [2002-12-17 17:23]

*Newly Created Service* - COMHOST
.
Contenuto della cartella 'Scheduled Tasks'
"2008-03-21 21:55:13 C:\WINDOWS\Tasks\Norton AntiVirus - Esegui scansione completa del sistema - LORENZO.job"
- C:\PROGRA~1\NORTON~1\NORTON~1\Navw32.exei/TASK:
"2007-06-16 07:00:41 C:\WINDOWS\Tasks\WebReg 20070616090041.job"
- C:\Programmi\HP\Digital Imaging\bin\hpqwrg.exe`/TaskName 20070616090041 /N
.
**************************************************************************

catchme 0.3.1353 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-04-21 20:51:53
Windows 5.1.2600 Service Pack 2 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
Ora fine scansione: 2008-04-21 20.53.23
ComboFix-quarantined-files.txt 2008-04-21 18:53:01
ComboFix2.txt 2008-04-17 19:41:07
ComboFix3.txt 2008-04-15 21:19:51
ComboFix4.txt 2008-04-05 14:44:27
ComboFix5.txt 2008-04-04 19:28:24

11 Directory 126,803,382,272 byte disponibili
15 Directory 126,792,355,840 byte disponibili
.
2008-04-09 21:31:28 --- E O F ---

[bdoriano]

Ora sembrerebbe tutto a posto.
Che versione di Norton utilizzi?

[Irnerio]

Bene! Speriamo di avercela fatta!

Tra le connessioni di rete, c'è ancora internet connection; cosa faccio, la elimino col tasto destro del mouse?

Io ho Norton Internet Security 2006, ma l'abbonamento è scaduto da qualche giorno...Kaspersky sembra buono, che ne dici?

[bdoriano]

Elimina pure quella connessione.

Per quanto riguarda Kaspersky, direi che puoi scaricare la versione trial 30gg per verificare se è adatto alle tue esigenze.

PS: se non riscontri più problemi, la discussione verrà spostata tra i casi risolti tra una settimana circa.

[Irnerio]

Ottimo, cancello subito la malefica internet connection dalle connessioni di rete !!

Seguirò anche il tuo consiglio per quanto riguarda kaspersky

Non mi resta altro da fare che ringraziarti per il tuo aiuto!

A presto, magari su questo forum e, possibilmente, senza virus...ciao