Olimpo Informatico

[lalalallala_la]

Buongiorno a tutti!
Da oggi avast mi segnala che svchost.exe tenta di accedere ripetutamente ad internet.
Malwarebytes' mi segnala che un file nella cartella temp tenta di avviarsi.
Avast segnala anche la presenza di un rootkit in MBR:\\.\PHYSICALDRIVE0 e successivamente anche in \\.\PHYSICALDRIVE0 MBR:TDL4
Se eseguo una scansione veloce con malwarebytes' non trova nulla, se tento di fare una scansione approfondita malwarebytes si blocca.
Usando wireshark vedo che il file svchost.exe sta scambiando molte informazioni con host tipo: www.howtofixdebt.com oppure www.assoc-amazon.com oppure www.electricmoustache.com oppure 68.169.92.53
Esegeundo due versioni diverse di GMER mbr.exe questo sono i log:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x02542D6C4 !
PE file found in sector at 0x02542D6DA !

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: Hitachi_ rev.FB4O -> Harddisk0\DR0 ->
device: opened successfully
user: MBR read successfully
error: Read Una periferica collegata al sistema non è in funzione.
kernel: error reading MBR


Cosa devo fare? Aiuto!
Grazie mille

scansione con hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 4.48.50, on 22/08/2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
G:\WINDOWS\System32\smss.exe
G:\WINDOWS\system32\winlogon.exe
G:\WINDOWS\system32\services.exe
G:\WINDOWS\system32\lsass.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\System32\svchost.exe
G:\Programmi\WIDCOMM\Bluetooth Software\bin\btwdins.exe
G:\Programmi\Intel\WiFi\bin\S24EvMon.exe
G:\Programmi\Alwil Software\Avast5\AvastSvc.exe
G:\WINDOWS\system32\spoolsv.exe
G:\Programmi\Intel\WiFi\bin\EvtEng.exe
G:\WINDOWS\system32\svchost.exe
G:\Programmi\Java\jre6\bin\jqs.exe
G:\Programmi\Malwarebytes' Anti-Malware\mbamservice.exe
G:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe
G:\WINDOWS\System32\svchost.exe
G:\WINDOWS\system32\nvsvc32.exe
g:\oraclexe\app\oracle\product\10.2.0\server\bin\ORACLE.EXE
G:\oraclexe\app\oracle\product\10.2.0\server\BIN\tnslsnr.exe
G:\WINDOWS\System32\svchost.exe
G:\WINDOWS\system32\PnkBstrA.exe
G:\Programmi\File comuni\Intel\WirelessCommon\RegSrvc.exe
G:\WINDOWS\system32\svchost.exe
G:\WINDOWS\system32\wbem\wmiapsrv.exe
G:\WINDOWS\Explorer.EXE
G:\Programmi\Alwil Software\Avast5\avastUI.exe
G:\Programmi\Synaptics\SynTP\SynTPEnh.exe
G:\Programmi\Java\jre6\bin\jusched.exe
G:\WINDOWS\RTHDCPL.EXE
G:\WINDOWS\PLFSetI.exe
G:\WINDOWS\system32\RUNDLL32.EXE
G:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
G:\Programmi\Intel\WiFi\bin\ZCfgSvc.exe
G:\Programmi\File comuni\Intel\WirelessCommon\iFrmewrk.exe
G:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe
G:\Programmi\Malwarebytes' Anti-Malware\mbamgui.exe
G:\Programmi\File comuni\Nero\Lib\NMIndexStoreSvr.exe
G:\WINDOWS\system32\ctfmon.exe
G:\Programmi\WIDCOMM\Bluetooth Software\BTTray.exe
G:\WINDOWS\system32\wbem\unsecapp.exe
G:\Programmi\File comuni\Nero\Lib\NMIndexingService.exe
G:\DOCUME~1\utente\IMPOST~1\Temp\RtkBtMnt.exe
G:\Programmi\Mozilla Firefox\firefox.exe
G:\Programmi\Java\jre6\bin\jucheck.exe
G:\Documents and Settings\utente\Desktop\toolantiMalware\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - G:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - G:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - G:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - G:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: TextAloud - {F053C368-5458-45B2-9B4D-D8914BDDDBFF} - G:\Programmi\TextAloud\TAForIE.dll
O4 - HKLM\..\Run: [avast5] "G:\Programmi\Alwil Software\Avast5\avastUI.exe" /nogui
O4 - HKLM\..\Run: [SynTPEnh] G:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "G:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [QuickTime Task] "G:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PLFSetI] G:\WINDOWS\PLFSetI.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE G:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE G:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NeroFilterCheck] G:\Programmi\File comuni\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "G:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [LManager] G:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
O4 - HKLM\..\Run: [IntelZeroConfig] "G:\Programmi\Intel\WiFi\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "G:\Programmi\File comuni\Intel\WirelessCommon\iFrmewrk.exe" /tf Intel Wireless Tray
O4 - HKLM\..\Run: [GrooveMonitor] "G:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [DivXUpdate] "G:\Programmi\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
O4 - HKLM\..\Run: [AzMixerSel] G:\Programmi\Realtek\Audio\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "G:\Programmi\File comuni\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "G:\Programmi\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "G:\Programmi\File comuni\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
O4 - HKCU\..\Run: [ctfmon.exe] G:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] G:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = G:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://G:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Invia a Bluetooth - G:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O8 - Extra context menu item: Invia a periferica &Bluetooth... - G:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - G:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - G:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - G:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - G:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - G:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - G:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - G:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - G:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - G:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - G:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: !SASWinLogon - G:\Programmi\SUPERAntiSpyware\SASWINLO.DLL
O20 - Winlogon Notify: spba - G:\Programmi\File comuni\SPBA\homefus2.dll
O23 - Service: avast! Antivirus - AVAST Software - G:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - G:\Programmi\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel(R) Corporation - G:\Programmi\Intel\WiFi\bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - G:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - G:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - G:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: MBAMService - Malwarebytes Corporation - G:\Programmi\Malwarebytes' Anti-Malware\mbamservice.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - G:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - G:\Programmi\File comuni\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - G:\WINDOWS\system32\nvsvc32.exe
O23 - Service: OracleMTSRecoveryService - Oracle Corporation - G:\oraclexe\app\oracle\product\10.2.0\server\BIN\omtsreco.exe
O23 - Service: OracleServiceXE - Oracle Corporation - g:\oraclexe\app\oracle\product\10.2.0\server\bin\ORACLE.EXE
O23 - Service: OracleXEClrAgent - Unknown owner - G:\oraclexe\app\oracle\product\10.2.0\server\bin\OraClrAgnt.exe
O23 - Service: OracleXETNSListener - Unknown owner - G:\oraclexe\app\oracle\product\10.2.0\server\BIN\tnslsnr.exe
O23 - Service: PnkBstrA - Unknown owner - G:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel(R) Corporation - G:\Programmi\File comuni\Intel\WirelessCommon\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless WiFi Service (S24EventMonitor) - Intel(R) Corporation - G:\Programmi\Intel\WiFi\bin\S24EvMon.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - G:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - G:\WINDOWS\system32\DRIVERS\xaudio.exe

--
End of file - 9813 bytes

[R16]

Ciao.
1)Scarica TDSSKiller.zip sul desktop:
link
Estrai i dati in una cartella e fai doppio clik su TDSSKiller.exe
clicca su "Start Scan"
Se trova qualche infezione di default avrai l'opzione "Cure" per cui, clicca su "Continue".
Se un file sospetto viene trovato,l'azione di default sarà skip,clicca su "Continue".
Se è richiesto il riavvio,(Reboot) acconsenti. (per eliminare l'infezione è necessario riavviare il pc)
Se nessun riavvio è richiesto clicca su report e salva il contenuto in un file di testo.
Il log lo trovi in C:\
Postalo qui.

Poi:
2 )Segui le istruzioni di questo topic per usare Combofix: (usa Internet Explorer, e ricorda di salvarlo sul Desktop)
http://forum.zeusnews.com/viewtopic.php?t=45224

Carica i log di Combofix, e TDSSKiller su link e posta il Forum Link che ti viene assegnato.

[lalalallala_la]

ecco qui, sembra che l'abbia rimosso.

ComboFix log
TDSSKiller log

grazie mille , aspetto la prossima mossa

[R16]

Ciao.
Fai una scansione completa con Malwarebytes.
Elimina quello che trova.
Posta il log.

Quando hai finito, segui queste indicazioni:

Apri un file di testo con il Block Note sul Desktop
Ci incolli il codice che vedi qui sotto, e salvi il file di testo obbligatoriamente con il nome CFScript.txt

[lalalallala_la]

ecco qui, ma sembra che lo script per combofix non abbia funzionato completamente

mbam-log-2011-08-22 (23-35-40)
ComboFix201108222355.txt

[R16]

[lalalallala_la]

reinstallato firefox e fatto tutto come mi hai detto.
hijackthis201108232359.log
funziona di nuovo tutto bene grazie mille!

[R16]

Ciao.

Segui le istruzioni di questo topic per rimuovere combofix, e gli altri eventuali tooll installati:
http://forum.zeusnews.com/viewtopic.php?t=47670

Disattiva il ripristino configurazione di sistema
http://forum.zeusnews.com/viewtopic.php?t=22084

Avvia hijackthis, metti la spunta alle voci che andrò ad elencarti e con tutte le applicazioni chiuse e disconnesso da Internet,premi su "fix checked":