Olimpo Informatico

[steve&me]

Ciao a tutti! mi sono accorto di avere lo stesso problema dell'amico rilevato da virit ma non da Avast e da rogueremover!
Ho fatto una scansione con combofix ! c'è qualcuno che mi aiuta a decifrare il log?
grazie

[bdoriano]

Ciao steve&me,

Posta il log di combofix, così possiamo "decifrarlo".

[steve&me]

eccomi ! sono rientrato da una trasferta di lavoro. il log di combofix l'ho messo qui :

http://wikisend.com/download/618496/logcombofix130708s&m.txt

spero di averlo postato bene!

grazie 1000 per l'assistenza

[bdoriano]

C'è qualcosina di strano...

Appena puoi, fai questa scansione con SystemScan e posta il log su WikiSend e posta il Forum Link che ti viene assegnato.

[steve&me]

ciao,bdoriano
ecco il primo log
gmerlog160708steve&me_.txt
e questo è il rootkit log
gmerlog160708steve&me.txt

ti ringrazio ancora

[bdoriano]

Li leggo lo stesso, ma è meglio se fai la scansione con SystemScan:

[R16]

Ciao

- scaricati Registry Search Tool lo trovi più o meno a metà pagina.
http://www.billsway.com/vbspage/

- estrai il contenuto del file .zip sul desktop (RegSrch.vbs)

- disabilita il caricamento all'avvio di VirIT

- riavvia

- esegui il file RegSrch.vbs ed inserisci questa stringa
{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}

- attendi il responso (file .txt) per alcuni secondi

- copia qui tutto il testo che bdoriano controllerà.
Ciao.

[steve&me]

chissà cosa stavo pensando!
ecco il file log di systemscan:
report.txt
devo fare comunque quello che mi hai detto ?
grazie

[R16]

[steve&me]

ecco fatto:

sOutTmp233859.tmp

spero non sia io a farti fare tardi!!

[R16]

Scusa,copia -incolla qui il risultato.

[steve&me]

eccolo:

REGEDIT4
; RegSrch.vbs © Bill James

; Registry search results for string "{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}" 17/07/2008 23.39.12

; NOTE: This file will be deleted when you close WordPad.
; You must manually save this file to a new location if you want to refer to it again later.
; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\Control]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\InprocServer32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\Insertable]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\MiscStatus]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\MiscStatus\1]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\ProgID]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\Programmable]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\ToolboxBitmap32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\TypeLib]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\Version]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}\VersionIndependentProgID]

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\YWcUpl.WcUpload\CLSID]
@="{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\YWcUpl.WcUpload.1\CLSID]
@="{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}"


grazie 1000

[R16]

La chiave che ti segnala Virit è la prima:
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DCE2F8B1-A520-11D4-8FD0-00D0B7730277}]
Basterebbe seguirne il percorso ed eliminarla.
Ti chiedo un favore: ASPETTA BDORIANO.

[steve&me]

ok ! grazie ancora !
seguo il tuo consiglio anche perchè mi si chiudono gli occhi

[bdoriano]

Eccomi qui.

Ho dato un'occhiata veloce al log di SystemScan e, quella chiave, non viene vista (probabilmente perché non fa parte dei punti di avvio dei programmi).
Ho cercato velocemente informazioni in merito e sembra che sia una vulnerabilità di Yahoo! Messenger:

[R16]

[steve&me]

Fiumi di Birra virtuale!!? ma ci si ubriaca ugualmente!
ciao gente!
sto facendo le scansioni che mi avete consigliato e già a metà della prima con superantispyware mi sembra di sentire una strana buzza di letame...
....
retifico ho lasciato la finestra aperta: è il contadino che sta dando al terrendo.

ci sentimo per il risultato .
grazie ancora ! siete veramente grandi: ad ogni problema avete sempre un saggio consiglio!!! passione o professione ?? comunque grandi!

[steve&me]

Ciao Bdoriano ed R1,
ok! il problema è risolto.
un'ultima cosa : ora ho virit , zone alarm , spybot e superantispyware. li lascio tutti attivi?
grazie, poi non rompo più.. lo spero!

[bdoriano]

Virit puoi tenerlo a patto di disabilitarne il Monitor (potrebbe andare in conflitto con il tuo Avast!).
Per gli altri, puoi tenerli tranquillamente.

PS: ti consiglio di cambiare Avast! con AVG (ora anche in italiano) o AntiVir.