Olimpo Informatico

[sira214]

salve a tutta la lista,

Un amico mi segnala un ricorrente messaggio del suo antivirus (AVG) su un windows xp esattamente:
Threat detected

While opening c:windows\system32\dmclient.dll trojan horse bho.bfi

ho cercato su internet ma non ho trovato molto. sapete darmi qualche indizio in piu'?

[Sante62]

Ciao sira214

Procedete con queste scansioni:

• Pulisci i files temporanei con ATF-Cleaner e/o CCleaner
  
• Segui le istruzioni di questo topic per usare MBAM.
  
• Segui le istruzioni di questo topic per eseguire combofix.
  
• Segui le istruzioni di questo topic per postare il log di HiJackThis.
  
• Riferisci con un nuovo messaggio in questa discussione dell'esito: se ci sono stati problemi particolari, ecc. ecc. E riporta:
  
  • Carica il log di MBAM su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di Combofix su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di HiJackThis su WikiSend e posta il Forum Link che ti viene assegnato.

[sira214]

Finalmente sono riuscito a far girare tutto, i risultati:

• mbam.txt
  
• combofix.txt
  
• hijackthis.log
  

[Sante62]

E' stata data una bella sfoltita...
Avviate il PC in modalità provvisoria;

Lanciate Hijackthis, selezionate queste righe e cliccate su fix Checked:

[sira214]

C'e' anche l'immagine del desktop modificata con un orsacchiotto sgranato tipo "hellokitty" refrattario a qualsiasi tentativo di eliminazione, avendo notato in fondo ad hijack un richiamo a cio'
che dici gli metto anche queste?

[Sante62]

Pensavo ti servissero....

Si, metti anche quelle.

[Sante62]

Allora Sira, adesso sposto la discussione che riguarda la rete alla sezione adatta per configurarla dopodichè, se ritieni, riprendiamo da quì per fare ulteriori controlli...

[sira214]

Su richiesta del Forum Reti apro una nuova discussione
Iniziò tutto con un tentativo di eliminare Virus da un computer di un amico che mi sono comunque fatto dare, il tutto documentato nella discussione

BHO.BFI

Ma nelle varie manovre il computer perse la RETE o il TCP/IP.
La discussione si spostò sul forum reti

rete non visibile

qui si sospetta un'infezione da BAGLE e mi chiesero di tornare in questo forum con una nuova discussione.
Posto il log di HJT
hijackthis.log

[bdoriano]

Ciao sira214,

Comincia a seguire queste istruzioni per usare EliBaglA.

PS: mi sembra di capire che il pc è lo stesso, riunisco le 2 discussioni per avere tutto sotto mano.

[Riverside]

Bd, Sante: cosi risolviamo il problema solo in parte (ovvero come per la precedente occasione, non risolviamo completamente l'infezione).
Tra l'altro su quel Computer, diversi servizi che non si avviano più.
Bisogna, prima di ogni altra cosa, farle disattivare il Riprstino Configurazione di Sistema e svuotare la cartella Prefecth.
Poi sarà necessario capire se ci sono software craccati e farli disinsallare.
Altro software da disinstallare è l'antivrus e se presente, il Firewall software.
Solo dopo, si dovrebbe partire con tutte le scansioni del caso.

[bdoriano]

Ok, per me non ci sono problemi.
Preferisco, però, far continuare in questa discussione per avere uno "storico" della situazione e dei passaggi effettuati.

Se vuoi seguire la disinfezione, procedi pure.

[Sante62]

Anche per me non ci sono problemi...però

[sira214]

[Sante62]

Io fino ad ora, non ho visto tracce di Bagle, comunque, nel frattempo, in attesa dell'intervento di Riverside, per essere sicuri della presenza o meno del Bagle, fai la scansione con Systemscan e posta il log generato come
indicato quì

[sira214]

Fatto:
26_10_2008_22_21_report.zip
e ora?

[Riverside]

Ok Sira, ripartiamo dall'inizio.
Una sola cosa. i log non li zippare, per favore.

[sira214]

1) Fatto
2) Fatto
3) gia' fatto
4) FAtto
5) Fatto ma non ho trovato la maniera di salvare un log, ho preso una foto della videata
SUPERAntiSpyWare.JPG
6) fatto mbam-log-2008-10-27 (06-49-55).txt
7) Fatto kasper.txt
8) fatto
9) fatto hijackthis.log

[Riverside]

Ok si inizia a ragionare: tra Malwarebytes, SuperAntispyware e Kaspersky Virus Removal tool, abbiamo spazzolato via una buona dozzina di trojan e virus.
Continua a tenere il Ripristino Configurazione di Sistema disabilitato e scarica ed installa Elibagla:
clicca qui per il download
● scorri fino a fondo pagina e, clicca su Descargar Elibagla per scaricare il tool

● posiziona Elibagla all'interno di una apposita cartella creata sul Desktop
● lancia il tool
● se non è selezionata, seleziona la voce Eliminar Ficheros Automaticamente
● avvia la scansione
● al termine della scansione, verrà rilasciato un log dal nome InfoSat.txt reperibile in C:/
● allega il log

Sira, inoltre ho bisogno di sapere una cosa, per piacere: controlla se puoi accedere al sistema in modalità provvisoria.
Non vorrei fosse disabilita pure quella.

[sira214]

ok allora fatto elibagla InfoSat.txt
Una precisazione, facendo girare kasper, non so se si vedeva dal log, terminava con l'impossibilita' di cancellare un file: Immagine
In modalita' provvisoria funziona, il bello è che mi tira fuori anche un utente Administrator che in modalita' normale non appare, In modalità normale c'e' solo utente_microsoft.
Altra stranezza del computer la presenza di una cartella "WINDOWS" sul "C" ed una sul "D"???

[Riverside]