Olimpo Informatico

[Grea[t]!]

Buonasera a tutti gli utenti, ai moderatori e agli esperti informatici di questa magnifica community.

Scrivo il mio primo messaggio con la speranza che possiate aiutarmi a levare dal pc un virus molto ostinato. Ho visto che sono state già aperte delle discussioni, ma seguo il consiglio di un utente esperto del forum e apro questo nuovo topic.

Nome del file: C:\DOCUME~1\Utente\IMPOST~1\Temp\~temp\mlp250\mdm.exe

Nome malware: Win32:Malware-gen

Tipo di malware: Virus/Worm

Versione VPS: 100508-0, 08/05/2010

Questo è quello che mi esce con Avast versione free antivirus.
Il pc in questione lavora con Windows XP SP3.

Attendo fiducioso i vostri consigli passo passo, scusandomi fin da adesso se vi chiederò ulteriori specificazioni su ciò che mi direte di fare.

Grazie infinite per la vostra gentilezza.

[bdoriano]

Ciao Grea[t]! e benvenuto,

comincia a fare queste operazioni preliminari:

1. Pulisci i files temporanei con CCleaner
   
2. Segui le istruzioni di questo messaggio per rimuovere gli ADS con HiJackThis.
   
3. Segui le istruzioni di questo topic per usare MBAM.
   
4. scarica e installa la versione Free di SuperAntispyware:
   la configuri come da immagini:
   
   
   
   
   esegui una scansione completa del sistema
   
   
5. Fai questa scansione con SystemScan.
   
   
6. Riferisci con un nuovo messaggio in questa discussione dell'esito: se ci sono stati problemi particolari, ecc. ecc. E riporta:
   
   • Carica il log di MBAM su WikiSend e posta il Forum Link che ti viene assegnato.
     
   • Carica il log di SuperAntiSpyware su WikiSend e posta il Forum Link che ti viene assegnato.
     
   • Carica il log di SystemScan su WikiSend e posta il Forum Link che ti viene assegnato.

Nel caso incontrassi problemi con uno dei punti, procedi al punto successivo.

[Grea[t]!]

Grazie per la procedura. Sono al passo 3 e vi posto tutto non appena finisco.
Chiedo 2 cose:

1. La pulizia con Ccleaner l'ho fatta non in modalità provvisoria (al contrario di HJT). E' un problema?

2. Sto facendo la scansione con Malwarebytes. Aggiungo che questa scansione sta avvenendo con internet attivo (cavo di rete collegato).E' un problema se sul pc infetto è installato Ad-Aware? Penso ad un conflitto e se sarebbe meglio disinstallare Ad-Aware.

Grazie come sempre.

[Grea[t]!]

Tutto fatto secondo la procedura di bdoriano.

1-2: Ccleaner e HJT (rimozione ADS) senza problemi.

3: Malwarebytes ha rimosso una 30ina di minacce.

4: SuperAntispyware invece ne ha rimosse 24.

5. SystemScan non ha avuto problemi. L'unica spunta nelle impostazioni che non è stato possibile inserire è stata l'ultima: Include HJT log (not found). Questo era quello che mi diceva e non potevo selezionarla.

Posto i LOG richiesti.

1. mbam

mbam-log-2010-05-09 (12-47-31).txt

2. SuperAntispyware

SUPERAntiSpyware Scan Log - 05-09-2010 - 13-17-40.log

3. SystemScan

report.txt


NB: Durante la scansione con SuperAntispyware i messaggi allarme di Avast riguardanti il Malware-Gen sono ricomparsi per 3-4 volte. Modifico ora il post: ancora un avviso di Avast, il bastardo è ancora lì.

Aspetto il vostro autorevole giudizio sui log postati. Grazie ancora.

[bdoriano]

• Avvia nuovamente SystemScan
  
• metti il segno di spunta a I have read and agree. Please let me free to proceed e clicca su Proceed
  
  
• clicca su Removal Script
  
  
• Nel riquadro inserisci il seguente script:
  

  Codice:

  Files to delete: C:\DOCUME~1\Utente\IMPOST~1\Temp\clipsrv.exe C:\WINDOWS\System\spoolsv.exe Registry values to delete: HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run | ClipSrv HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run | Spool

  
  e clicca Proceed with removal
  
  
  ******
  Se dovessi ricevere l'errore Please copy and paste a valid script file, una volta incollato lo script in SystemScan (o Avenger), selezioni la prima riga, la cancelli e la ri-digiti. Fatto questo, dovrebbe tornare a funzionare.
  ******
  
  Il pc dovrebbe riavviarsi, se così non fosse, riavvialo tu.
  Al termine dell'operazione, posta qui il contenuto del file C:\Avenger.txt con un log aggiornato di SystemScan.

Ti consiglio di disinstallare Lavasoft Ad-Aware che, a mio parere, ha perso molto in efficacia.

[Grea[t]!]

Tutto fatto. Prima dei Log volevo dirti che ho eseguito SystemScan sempre con internet staccato.

Ho proceduto con una nuova scansione di SystemScan

Purtroppo non appena ricollego il cavo ethernet al modem (per togliere internet faccio così: stacco e ricollego il cavo al modem) mi ritorna l'avviso di Avast.

Stacco internet sempre sulle direttive della guida di SystemScan che impone di usarlo a rete staccata. Il programma mi chiede anche all'avvio di cercare aggiornamenti, ma proprio perchè la rete non c'è, desisto e procedo alla scansione.

Eccoti i Log:

1. Avenger.txt Non lo riesce a caricare su Wikisend, ho provato più volte. Te lo riporto qui come codice, spero non sia un problema.

[bdoriano]

Ok, c'è da fare un altro passaggio.

• Avvia nuovamente SystemScan
  
• metti il segno di spunta a I have read and agree. Please let me free to proceed e clicca su Proceed
  
  
• clicca su Removal Script
  
  
• Nel riquadro inserisci il seguente script:
  

  Codice:

  Files to delete: C:\Documents and Settings\Utente\Dati applicazioni\cisvc.exe C:\Documents and Settings\Utente\Dati applicazioni\mstsc.exe C:\Documents and Settings\Utente\Dati applicazioni\mqtgsvc.exe C:\Documents and Settings\Utente\Dati applicazioni\comrepl.exe C:\Documents and Settings\Utente\Dati applicazioni\clipsrv.exe C:\DOCUME~1\Utente\IMPOST~1\Temp\ieudinit.exe C:\DOCUME~1\Utente\IMPOST~1\Temp\clipsrv.exe C:\WINDOWS\mstsc.exe C:\WINDOWS\system\mstsc.exe C:\WINDOWS\system32\drivers\clipsrv.exe Registry values to delete: HKLM\SOFTWARE\Microsoft\windows\currentversion\policies\explorer\run | IEudinit HKLM\SOFTWARE\Microsoft\windows\currentversion\policies\explorer\run | ClipSrv

  
  e clicca Proceed with removal
  
  
  ******
  Se dovessi ricevere l'errore Please copy and paste a valid script file, una volta incollato lo script in SystemScan (o Avenger), selezioni la prima riga, la cancelli e la ri-digiti. Fatto questo, dovrebbe tornare a funzionare.
  ******
  
  Il pc dovrebbe riavviarsi, se così non fosse, riavvialo tu.
  Al termine dell'operazione, posta qui il contenuto del file C:\Avenger.txt con un log aggiornato di SystemScan.

[Grea[t]!]

Tutto fatto.
Rispetto a prima, riporto come pura informazione, dopo il riavvio del computer mi sono apparsi due messaggi windows:

1. Impossibile trovare il file:

[bdoriano]

Ottimo!

Direi che abbiamo eliminato il tuo ospite indesiderato.
Giusto per sicurezza:

• Disabilita il tuo antivirus
  
• Collegati a BitDefender on-line scanner e fai la scansione, come indicato qui.
  
• Collegati a Kaspersky on-line scanner e fai la scansione estesa, come indicato qui.
  Salva il risultato della scansione in un file (in formato TXT), carica il file su WikiSend e posta qui il Forum Link che ti viene assegnato.

Poi, ti consiglio di aggiornare i seguenti programmi:

Videolan VLC
K-Lite Codec Pack

Ti rinnovo il consiglio di rimuovere Lavasoft AdAware.

Rimuovi i vecchi aggiornamenti di Windows XP. In questo modo, liberi spazio e migliori le prestazioni del pc.

Infine, segui le istruzioni di questo topic per postare il log di hijackthis.

[Grea[t]!]

Bdoriano, grazie mille per il tuo supporto preciso e guidato.

Domattina procedo alle ultime tue istruzioni. Ti aggiorno sul fatto che fino a stasera nessun avviso di avast è più scattato.
Speriamo bene.

I messaggi di cui prima ti parlavo (impossibile trovare file, caricare o eseguire), persistono all'avvio di windows. E' un problema?

Grazie infinite per questa tua incommensurabile opera di aiuto informatico.

[bdoriano]

[Grea[t]!]

Eccomi qua. Tutto fatto.
Posto i log secondo l'ordine con cui li ho eseguiti.

1. Kaspersky on line. Spero non sia un problema averlo fatto prima di BitDefender

report kaspersky.html

2. BitDefender

report bitdefender.html

3. HJT

hijackthis report.txt


Grazie doriano per le dritte sull'aggiornamento dei programmi e sul togliere i vecchi upload di windows. Per adesso ho rimosso aad Aware come da te consigliato.

Aspetto il tuo responso sugli ultimi log, ma grazie anche per la tua precedente risposta sugli avvisi windows.

Aggiungo infine che SystemScan (sys.exe) è presente sul desktop del pc. Poichè BitDefender lo riportava come minaccia mi premeva ricordarlo a doriano.

[bdoriano]

Molto bene, Kaspersky e BitDefender hanno identificato un'ultima minaccia e BitDefender l'ha rimossa. Per eccesso di zelo ha rimosso anche SystemScan... ma non dovrebbe più servirci.

Adesso ti faccio rimuovere alcune voci inutili presenti all'avvio del sistema operativo:

• Pannello di controllo
  
• Strumenti di amministrazione
  
• Servizi
  
• Cerca il servizio Java Quick Starter
  
• clicca con il tasto destro del mouse sul servizio indicato
  
• Arresta
  
• clicca con il tasto destro del mouse sul servizio indicato
  
• Proprietà
  
• Tipo di avvio: Disabilitato
  
• Conferma con Ok
  
• Chiudi le varie finestre

esegui hijackthis
clicca su do a system scan only
metti il segno di spunta a queste voci:


Citazione:

F3 - REG:win.ini: load=C:\WINDOWS\System32\drivers\clipsrv.exe O4 - HKLM\..\Run: [RemoteControl9] C:\Programmi\CyberLink\PowerDVD9\PDVD9Serv.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\File comuni\Java\Java Update\jusched.exe" O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe" O4 - HKCU\..\Policies\Explorer\Run: [ClipSrv] C:\DOCUME~1\Utente\IMPOST~1\Temp\clipsrv.exe /waitservice O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [ClipSrv] C:\DOCUME~1\Utente\IMPOST~1\Temp\clipsrv.exe /waitservice (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [ClipSrv] C:\DOCUME~1\Utente\IMPOST~1\Temp\clipsrv.exe /waitservice (User 'Default user') O9 - Extra button: Goldwin - {00000000-0000-0000-0000-000000000000} - C:\MicroGaming\Poker\goldwinMPP\MPPoker.exe (file missing) (HKCU)


clicca fix checked
Rifai il log di hijackthis e postalo

Solo una curiosità, utilizzi siti per il gioco online?

[Grea[t]!]

Mio fratello gioca online su pokerstars.

E' da lì che è stato preso il virus?

[bdoriano]

Forse, ma non ne ho la certezza assoluta.
Era solo per sapere se devo farti rimuovere (con hijackthis) alcune voci riguardanti il gioco d'azzardo online:

[Grea[t]!]

Elimino, elimino. E striglio quel capone di mio fratello...

8)

[Grea[t]!]

Ho fixato i primi log che mi hai detto.

Ecco HJT:

hijackthis report 2.txt


Per eliminare gli host dell'ultimo messaggio il procedimento non è quello di fix, giusto?

[bdoriano]

Il procedimento è identico, nel caso non funzionasse, puoi farlo dalla modalità provvisoria.

esegui hijackthis
clicca su do a system scan only
metti il segno di spunta a queste voci:


Citazione:

O1 - Hosts: 195.149.220.210 goldbet.com O1 - Hosts: 195.149.220.210 www.goldbet.com O1 - Hosts: 195.149.220.210 secure.goldbet.com O1 - Hosts: 89.107.20.45 livecasino.goldbet.com O1 - Hosts: 195.149.220.209 gbservice.goldbet.com O1 - Hosts: 195.149.220.230 mail.goldbet.com O1 - Hosts: 195.149.220.209 affiliates.goldbet.com O1 - Hosts: 195.149.220.209 old.goldbet.com O1 - Hosts: 66.212.226.169 partners.goldbet.com O1 - Hosts: 195.149.220.209 ced.goldbet.com O1 - Hosts: 195.149.220.210 marketing.goldbet.com O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [ComRepl] C:\DOCUME~1\Utente\DATIAP~1\comrepl.exe /waitservice (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [ComRepl] C:\DOCUME~1\Utente\DATIAP~1\comrepl.exe /waitservice (User 'Default user')


clicca fix checked
Rifai il log di hijackthis e postalo

edit: avevo dimenticato una voce.

[Grea[t]!]

Eccoti il log HJT:



hijackthis report 3.txt

[bdoriano]

Bene, ci sono ancora dei rimasugli da eliminare.

esegui hijackthis
clicca su do a system scan only
metti il segno di spunta a queste voci:


Citazione:

O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [Mstsc] C:\WINDOWS\mstsc.exe /waitservice (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [Mstsc] C:\WINDOWS\mstsc.exe /waitservice (User 'Default user')


clicca fix checked
Rifai il log di hijackthis e postalo