Olimpo Informatico

[radfansa]

Ciao a tutti qui in giro .... finalmente un forum Italiano con i contro.....i !!! Passo subito al sodo. Ho seguito il thread a proposito di questo maledetto TROJAN ... praticamente è la seconda volta che mi succede di infettarmi, la prima fu con il famoso ILOVEYOU. Premetto che ho un buon livello di conoscenza del mondo informatico (25 anni di programmazione applicativa) ... ma non me la cavo benissimo nel campo sistemistico, e quindi dopo molti tentativi di base by myself e numerose ricerche, sono piovuto qui da voi. Ho letto tutto il topico qui in esame e ho provato ogni sorta di soluzione proposta, ed in effetti mi sembra di essere riuscito ad eliminare, diciamo, l'90% del problema. Non ho per il momento log di nessun tipo sottomano, ma se qualcuno mi dice esattamente le info necessarie posso procurarle. Comunque di seguito vi elenco i sintomi che ho rilevato e i vari file intercettati che mi hanno insospettito, e le primitive cure che ho eseguito :

PC : Intel PIII 450/256Mb (è il PC con qui mi collego in internet e uso solo per i test)

OS: Win2KPRO SP4 + varie patches montate ieri su vostro consiglio

AV : McAfee 8.0i Enterprise con sempre l'ultimo DAT/ patch 13 /Engine 4.4.00

FW : McAfee Security Center v8.0 con Anti-Spyware, privacy control, e firewall (da ieri ZoneAlarm Pro 6.5.730)

Sintomi PRIMA della cura e della conoscenza di questo forum: Rallentamento totale del PC caricamento di Windows (circa 20 minuti), e in generale di qualsiasi programma.
(stranamente all'apertura di win l AV aveva disattivato la scansione all'accesso, e il FW non partiva)

file "strani" intercettati visualmente in task manager :

C:\programmi\file comuni\microsoft shared\BmB.exe, che stranamente sono riuscito a eliminare con un semplice delete da subito, ed è quello che era presente come sorgente del servizio con un nome del C...O e con una connessione del tipo .\zwIoIu. Ok ho eliminato il servizio con il comando "instsrv <nome servizio> remove" e anche quello è stato eliminato con successo. Mi sembrava così facile !!!
La seconda volta il PC è sembrato caricare + velocemente (circa 10 minuti), il file BmB.exe non è riapparso. Ma con grande sorpresa è apparso nel folder C:\programmi\file comuni\ il famigerato lpt6.exe, e il servizio falrlocco,anche se disabilitato, era ancora presente. Inutile dire che l' lpt6.exe non sono riuscito ed eliminarlo anche bottando con un floppy creato con NTFSDOSPRO 5.0 che mi permetteva di vedere le partizioni NTFS sotto DOS.
P.S. ne l'AV ne l' AS avevano rilevato nulla di anomalo anche dopo 2 scansioni a richiesta.

Sintomi DOPO la cura fornita da holyfax in questo forum:

disinstallato JAVA 1.4.2_06, disabilitata la scansione AV shutdown del security center.
lanciando RKR nessun RK rilevato, così in avenger ho inserito manualmente le 2 riche di mio interesse da pulire