Olimpo Informatico

[leodis]

Ciao a tutti,
ero dentro Windows XP per risolvere dei problemini secondari quando ho scoperto che forse ho qualche infezione. L'HD è ha 4 partizioni. In C (Fat32) ho RECYCLED (non vuota), in D (NTFS) nulla, in E (Fat32) ho RECYCLED e RECYCLER (apparentemente vuote), in F (NTFS) non ho nulla.
Piochè ho messo cartelle e file si sistema nascosti, la cartella RECYCLER non la dovrei vedere...
Controllando i files in esecuzione nel task manager ho scoperto che io ho il file ctfmon.exe nelle cartelle tipo cestino Recycled e Recycler (Recycler ce l'ha anche Windows) che sono di un trojan.
Con Avenger ho cercato di cancellare con uno script le cartelle, e il file ivi contenuto. Il file l'ho cancellato e anche le cartelle (come dal report di Avenger) ma al riavvio ci sono ancora, però il file no.
Ho rinominato il file ctfmon.exe che c'è in system32 e in cache.
Adesso all'avvio di Win ritrovo ancora il CTFMON.exe in esecuzione e anche in System32 e Cache, allora l'ho disattivato e li ho cancellati tutti, anche quello rinominato. Infatti ho notato che se cancellavo solo quello col nome giusto mi si riformava quasi subito. Mi ha chiesto il disco di win ma ho rifiutato.
Il notebook sembra che funzioni.
Ora, abilitando la visione dei file e cartelle, in C vedo Recycled (come cartella normale) ma non Recycler.
In D vedo Recycler (semitrasparente). In E vedo Recycled e Recycler (come cartella normale). In F vedo Recycler (semitrasparente).
Vi ho riportato tutto quello che mi sembra possa essere utile, aspetto qualche consiglio per ammazzare anche questo.
Leo

[leodis]

Allora, dopo tutti sti movimenti, ho riavviato e CTFMON.EXE in esecuzione non c'è, e neanche in system32 e in cache.
Ora come faccio a cancellare le cartelle che non sono il cestino?

[bdoriano]

[leodis]

Ho fatto quello che mi hai chiesto:

ho lanciato ATF-Cleaner e CCleaner

ComboFix

HJT

MBAM

Resto in attesa.

[bdoriano]

• Disabilita il tuo antivirus
  
• Collegati a BitDefender (con IE) e fai la scansione completa.
  
• Collegati a Kaspersky on-line scanner e fai la scansione estesa, come indicato qui.
  Salva il risultato della scansione in un file (in formato TXT), carica il file su WikiSend e posta qui il Forum Link che ti viene assegnato.

Infine, fai questa scansione con SystemScan, carica il log su WikiSend e posta il Forum Link che ti viene assegnato.

[leodis]

Io con questi server ci litigo proprio...
Pensavo che ci veniva direttamente l'indirizzo per scaricare i files log., invece mmi,i ci sono venuti solo i no comunque cliccandoci sopra si aprono i links.
Adesso farò quello che mi hai chiesto.

[leodis]

SystemScan

http://wikisend.com/download/831346/23_08_2008_22_02_report_SystemScan.txt

Kaspersky

http://wikisend.com/download/538082/Report_Kaspersky_23082008.txt

[leodis]

Inoltre bitdefender ha fatto la scansione ma nel file htm non ha salvato nulla, come già è successo un'altra volta.

[leodis]

Nessuno mi dà una mano?

[flyngvfactor87]

Sii paziente...appena Bdoriano o Sante torneranno ti sapranno dare sicuramente una mano...

[leodis]

Ok, aspetterò
ciao

[baciami]

ciao kaspersky ti ha trovato 5/6 troiai..nel frattempo ti consiglio di eliminarli manualmente

[leodis]

Fatto

[bdoriano]

Chiedo scusa, mi ero proprio dimenticato di te...

Andiamo a vedere i 5/6 troiai rilevati da Kaspersky...

D:\Downloads\installer-6390-34-Xilisoft-3GP-Video-Converter-3-1-Italian.exe Infected: not-a-virus:AdWare.Win32.FakeInstaller.e
D:\FU-Setup_LE.exe Infected: not-a-virus:AdWare.Win32.Rabio.dk

AdWare = software pubblicitario (advertising software)
Installando i 2 programmi sopra indicati, viene anche installato un software pubblicitario. Poco pericoloso ma molto fastidioso.


D:\Outlook Express\Posta\Posta eliminata.dbx Suspicious: Trojan-Spy.HTML.Fraud.gen
D:\Outlook Express\Posta\SPAM.dbx Infected: Trojan-Downloader.Win32.Agent.lyg

In questo caso, vengono segnalati dei messaggi di Outlook Express contenenti virus. Per eliminarli, si entra in Outlook Express e si cancellano i messaggi incriminati dalle cartelle segnalate (Posta eliminata e SPAM).
La cancellazione diretta dei files, cancella tutti i messaggi delle cartelle segnalate.


E:\produkey.zip Infected: not-a-virus:PSWTool.Win32.ProductKey.aa

Questo è un tool della NirSoft per recuperare il codice delle proprie installazioni MS (Windows/Office/SQL Server/etc...).
Non è da considerare un virus/trojan, quanto un tool che, se usato male, potrebbe favorire la pirateria.


E:\E-Mule\Incoming\Stellar Phoenix Windows Data Recovery 3.0.0.1 (Key Serial)(1) Updated-Fixed 01-2008.zip Infected: P2P-Worm.Win32.Kapucen.b

Questo è propriamente un virus.


Ho controllato il log di SystemScan e non vedo evidenziati virus o simili.

C'è un rimasuglio di una precedente infezione che andiamo a eliminare:
Scarica avenger e scompattalo in una sua cartella non temporanea e non sul desktop

Avvia AVENGER
Clicca Ok
Inserisci queste righe nel riquadro bianco: