Bagle. Ho Provato Già Tanti Suggerimenti Ma Ho Ancora Problemi

[mully]

Ciao a tutti

ho un problema legato al file eseguibile dell'antivirus.

Ho una linea ADSL senza fili con il router 3COM. Avevo installato sul mio PC l'antivirus avast. Sempre tutto bene. Mi ha salvato tante volte ma stavolta mi sono trovata KO. Mi sono accorta che non avevo più l'icona del software ma bensì l'icona relativa al collegamento mancante.

Leggendo le risposte ai vari forum sono riuscita a disinstallare il programma con REVO UNINSTALLER.

Non riesco a partire in modalità provvisora con F8.

Ho cercato poi tutti i file collegati ad avast con il comando CERCA e li ho cancellati.

Ho fatto una scansione al file trusted.exe dal sito www. virustotal.com ed alcuni programmi mi hanno segnalato alcuni risultati del tipo: W32/Trojan.BSDM, Downloader.Generic5.RTH, Downloader.Generic5.RTH (file che allego) quindi ho cancellato questo file.

Come ha scritto ieri il moderatore Steve 75 in risposta a picci88 nel forum "bagle, AIUTO ho scaricato il

ELIBAGLA (file Infosat.txt)

GROMOZON ROOTKIT REMOVAL TOOL (file gromozon_removal.txt)

HIJACKTHIS (file hijackthis.txt)

GMER 1.0.10.10122 (file gmer_rootkit.txt) in Rootkit ho spuntato "show all" e poi scan ho atteso e ho visto i file in scansione mentre in Autostart anche spuntando la casella "Show All" e cliccando di nuovo su Scan non ho avuto nessun risultato

Quando ho cercato di far partire

VIRIT quando lo eseguo mi si apre una prima finestra nella quale faccio clic su Setup della finestra mi appare messggio di errore "Can't create output file C:DOCUME~1\ADMINI~1\IMPOST~1\Temp\WZSE0.TMP\Disilite.exe

Ho scaricato anche avenger ma poi mi sono fermata perchè non sapevo se fare bene o male.

Nel forum Antivirus e Firewall non funzionanti..., il worm BAGLE (o BEAGLE) Kuma ADMIN

Digitando Regedit – Editor del Registro di sistema (con il comando trova HKEY_USERS\Microsoft\Search Assistant\ACMru\5603) nel riquadro a destra mi si sono presentati:

000 REG-SZ (valore impostato)

000 REG-SZ exefqd

001 REG-SZ dislite

002 REG-SZ shoutcast

003 REG-SZ avast

004 REG_SZ hldrrr.exe (che non ho visto in task manager e in Hijack)

005 REG-SZ m_hook

006 REG-SZ wiwshost

007 REG-SZ winshost

008 REG-SZ exefld (avevo cancellato ieri in C:\WINDOWS\exefld)

009 REG-SZ 718

010 REG-SZ hidr.exe

011 REG-SZ wintems.exe (e non winterms.exe come detto dall'oracolo admin kuma)

012 REG-SZ hldrr.exe

013 REG-SZ sbczna

014 REG-SZ pci32

015 REG-SZ hidr

016 REG-SZ trusted

017 REG-SZ ashavast

0186 REG-SZ local settings

019 REG-SZ local

020 REG-SZ premiere.sif

021 REG-SZ DDEB78A0-448E-4°00-B9F6-F00A658FB78B

022 REG-SZ temp

023 REG-SZ coccodrillo

024 REG-SZ braccobaldo

Cosa faccio li lascio??????????????

Il worm hldrrr.exe nel log di Hijack non mi sembra di averlo visto e nemmeno nel task manager e

Io le ho provate tutte quelle che potevo non ho provato quello di registro e forse qualche cosa di altro che mi è sfuggito.

Ma dove è il problema?

Forse sono stata prolissa ma ..aiuto ho bisogno di lavorarci e se non ho antivirus potrei mettere nei pasticci qualche collega nello scambio di file per lavoro.

Devo forse buttare tutto?

Grazie mille per chi riuscisse ad essermi di aiuto

Nico

PS. Per Kuma.

Grazie del benvenuto. Mi hai letto forse nel pensier?

Avevo proprio intenzione di approfondire l'argomento blog perchè mi piacerebbe lavorarci con i miei alunni e anche con le famiglie. Di tempo ne ho dato che quest'anno frequenteranno la classe 1°. Intanto mi preparo io.

hijackthis.log

gromozon_removal.log

Infosat.txt

gmer__rootkit.rar

[Bishop]

...Bellissimo avatar

fine

[Kuma]

Ciao...

allora elibagla ha eliminato qualcosa e ristalilito alcuni permessi:

C:\WINDOWS\SYSTEM32\HLDRRR.EXE --> Eliminado Bagle

Restaurada Clave: "SafeBoot\Minimal y Network"

Hai riavviato il Pc ???

Le voci MRU (HKEY_USERS\Microsoft\Search Assistant\ACMru\5603)

sono riferite alle ricerche dei files fatte sul Pc, non è detto che tutti i files ci siano

Avevi per caso cercato i files leggendo l'altro topic???

Prova anche a dare una passata con questo: (dr. Web Cure-It)

DOWNLOAD

(dimensione variabile (6 oppure 7MB)

(durante la scansione si apriranno un paio di finestre pubblicitarie che potete tranquillamente chiudere)

Questa voce e relativo file:

O20 - Winlogon Notify: acledit32 - C:\WINDOWS\SYSTEM32\acledit32.dll

[/color]per me sono molto sospetti <_<

Da Start\Esegui digita regedit

Portarti all seguente chiave:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

ed elimina la cartellina acledit32

Adesso vedo i log di Gmer...

EDIT: vedi di eliminare anche questo file:

C:\WINDOWS\system32\drivers\hidr.exe

Controlla se hai questa cartella: C:\WINDOWS\exefqd

Allega anche il log AUTOSTART di Gmer

[mully]

Il PC è stato riavviato tante di quelle volte che secondo me non vede l'ora che io arrivi a risolvere il problema.

[Le voci MRU (HKEY_USERS\Microsoft\Search Assistant\ACMru\5603)

sono riferite alle ricerche dei files fatte sul Pc, non è detto che tutti i files ci siano

Avevi per caso cercato i files leggendo l'altro topic???

L'elenco dei file che ho nominato dallo 000 allo 024 l'ho trovato con START --- Esegui --- Regedit --- OK (mi si è aperta la finestra "Editor del Registro di sistema"). In Editor utilizzando il comando "Trova" dal menu "Modifica" ho digitato tutti i file sospetti nominati nei vari topic dei forum e li ho trovati in (HKEY_USERS\Microsoft\Search Assistant\ACMru\5603).

Prova anche a dare una passata con questo: (dr. Web Cure-It)

DOWNLOAD

(dimensione variabile (6 oppure 7MB)

(durante la scansione si apriranno un paio di finestre pubblicitarie che potete tranquillamente chiudere)

Quando clicco su DOWNLOAD" mi si apre la finestra di "impossibile trovare il server". Ho provato a cercare il file l'ho trovato me lo fa installare ma mi dice che ciò che ho scaricato è una versione vecchia quando confermo la scelta della nuova versione mi rimanda "impossibile......."

Anche in altri LOG in WinInizio dove c'è il collegamento allo stesso file in ftp stessa impossibiltà.

Che faccio lo installo nella vecchia versione oppure (boh)?

Questa voce e relativo file:

O20 - Winlogon Notify: acledit32 - C:\WINDOWS\SYSTEM32\acledit32.dll

per me sono molto sospetti <_<

[/color]

Devo cancellare anche il file acledit32.dll direttamente da "Esplora risorse" e quindi in C:\WINDOWS\SYSTEM32\acledit32.dll

Da Start\Esegui digita regedit

Portarti all seguente chiave:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

ed elimina la cartellina acledit32

Eiminato la cartellina acledit32 dalla seguente chiave: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

EDIT: vedi di eliminare anche questo file:

C:\WINDOWS\system32\drivers\hidr.exe

In Editor di Registro del sistema HKEY_USERS\Microsoft\Search Assistant\ACMru\5603 io ho hidr.exe è proprio questo file che devo cancellare?? (quindi se scrivi EDIT vuol dire Editor di egistro??)

Controlla se hai questa cartella: C:\WINDOWS\exefqd

exefqd (senza exe) lo vedo in "Editor di Registro del sistema HKEY_USERS\Microsoft\Search Assistant\ACMru\5603" non lo vedo in windows nemmeno usando il comando cerca.

L'altro giorno utilizzando START --- Cerca e digitando i nomi dei vari file non ho trovato nulla, solo C:\WINDOWS\exefld (cartella exefld trovata e cancellata).

Non posso allegare il log AUTOSTART di Gmer perchè quando clicco sul nome anutostart anche spuntando "show all" non mi appare nessun file.

Grazie 10000000000000

Nico

Modificato August 24, 2007 da mully

[Steve75]

si elimina anche questi due file:

C:\WINDOWS\SYSTEM32\acledit32.dll

C:\WINDOWS\system32\drivers\hidr.exe

vedi se trovi anche questi e cancella le loro voci nel registro che segnalavi prima

C:\WINDOWS\System32\winshost.exe

C:\WINDOWS\System32\sbczna

C:\WINDOWS\system32\drivers\pci32

adesso vedi se riesci ad eseguire virit e posta i log di GMER, (autostart e rootkit)

altrimenti fai un fix con combofix che anche lui riesce a scovare molti file e drivers del bagle

* Scarica questo tool

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

- Una volta scaricato,avvialo con un doppio click.

- Si aprirà una finestra blu ...Attendere....

- Dopo qualche attimo apparirà un avviso che declina l'autore da ogni responsabilità.

- A questo punto seleziona 1 e premi ENTER per lanciare lo scan.

- Attendere.....

Il tool ti avviserà una volta lo scan finito e in qualche attimo visualizzerà il rapporto con i dettagli.

[Kuma]

Quando clicco su DOWNLOAD" mi si apre la finestra di "impossibile trovare il server". Ho provato a cercare il file l'ho trovato me lo fa installare ma mi dice che ciò che ho scaricato è una versione vecchia quando confermo la scelta della nuova versione mi rimanda "impossibile......."

Proprio quando serve, pare che il server sia offline

Vabbè prosegui con le altre indicazioni di Steve

leggi anche qui: http://www.wininizio.it/forum/index.php?sh...mp;#entry377700

[mully]

Grazie Steve 75 per le tue indicazioni. Ho solo bisogno di un chiarimento: quando voi scivete C:\Windows\Sistem32..... vuol dire cartelle o file in win che si vedono da esplora risorse oppure di voci che si trovano in Editor di registro...??? Come si fa a capire la differenza di quando si parla di esplora o di editor???.

Grazie per i chiarimenti

Per quanto riguarda il mio problema penso di non averlo ancora risolto forse perchè non ho cancellato alcune voci che vedo solo dall'Editor.

Sai cancellare da esplora le posso poi recuperare dal cestino,<cancellare dall'Editor non si trovano più.

Domande:

:leggi: - In Editor del registro esattamente nella chiave (HKEY_USERS\Microsoft\Search Assistant\ACMru\5603) ho trovato la voce hidr.exe Va cancellata dall'Editor del registro??????

:leggi: - In Editor del registro esattamente nella chiave (HKEY_USERS\Microsoft\Search Assistant\ACMru\5603) ho trovato la voce exefqd senza exe Va cancellata dall'Editor del registro qui ??????

:leggi: - In Editor del registro esattamente nella chiave (HKEY_USERS\Microsoft\Search Assistant\ACMru\5603) ho trovato la voce winshost senza exe. Va cancellata???

- VIRIT ancora nulla quando lo eseguo mi si apre la solita finestra nella quale faccio clic su Setup poi mi appare il messaggio di errore "Can't create output file C:DOCUME~1\ADMINI~1\IMPOST~1\Temp\WZSE0.TMP\Disilite.exe"

:regole: GMER in rootkit ho fatto scan senza spuntare "Show all" perchè non era attivo in quanto tutte le voci sopra erano spuntate. Solo ADS era attivo (gmer_rootkit.txt).

GMER in autostart non mi fa vedere niente nemmeno un nome sia che si spunti "show all" sia che si tolga lo spunto.

COMBOFIX (combofix.txt)

Grazie e scusate la mia titubanza ma per me sono cose nuove.

Nico

per KUMA

Bellissimo il tuo sito e facile da navigare. Inoltre volevo chiederti se potevo prenderti in prestito la frase "Quando insegni, insegna allo stesso tempo a dubitare di ciò che insegni. (Ortega y Gasset)" che dovrebbe essere letta attentamente da certi colleghi coi quali lavoro.

Grazie Nico

combofix.txt

gmer_rootkit.txt

[Kuma]

Ciao..

certo puoi utilizzare come preferisci la frase che ho nella mia firma.... non ho l'esclusiva

AVENGER:

* scarica e decomprimi avenger sul desktop

http://swandog46.geekstogo.com/avenger.zip

- con un doppio click avvia il file avenger.exe

- Seleziona "Input Script Manually"

- Clicca sulla lente di ingrandimento

- Nella finestra che si aprirà "View/edit script"

- copia / incolla quanto segue:

Registry values to replace with dummy:

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

Registry keys to delete:

HKEY_LOCAL_MACHINE\system\ControlSet003\Services\srosa

Folders to delete:

C:\windows\temp

C:\WINDOWS\Tasks

C:\WINDOWS\exefqd

files to delete:

c:\windows\system32\hlpuybtr.exe

C:\WINDOWS\system32\drivers\hidr.exe

C:\WINDOWS\system32\drivers\srosa.sys

drivers to unload:

srosa

Clicca sul tasto Done

- Poi sull'icona del semaforo

- Rispondi Yes

Il pc dovrebbe riavviarsi ( se così non fosse, fallo tu)

Posta il log che verrà creato in C:\Avenger

C:\Windows\Sistem32 (System32) è riferito alla cartella...

anzi per non sbagliarti, converrebbe che imposti la visualizzazione delle estensioni dei files:

Togli la spunta da: "Nascondi le estensioni dei file per i tipi di file conosciuti"(Pannello di controllo > Opzioni Cartella > Visualizzazione)

_________________________

Le voci che trovi in Regedit (editor del registro) sotto MRU, sono del tutto innoque...

sono le ricerche fatte o i files usati di recente... in pratica è solo la cronologia... puoi anche eliminarle se preferisci, ma anche lasciandole non cambia nulla...

Per recuperare le chiavi dall'editor del registro , prima di eliminarle clicca sulla cartellina che le contiene e seleziona "Esporta" salva il file con un nome che puoi ricordare a cosa serve e quindi eliminale.... cliccando sul file esportato le riaggiungerai automaticamente al registro.

Nel log di Gmer non mi pare vedere nulla di sospetto (aspetta anche il parere di Steve)

[Steve75]

dopo aver eseguito Avenger, riprova ad usare Virit e al lmite fai un fix Elibagla dalla modalità provvisoria questa volta....

Prima di usare Virit, svuota anche questa cartella

C:DOCUME~1\ADMINI~1\IMPOST~1\Temp

il log rootkit è pulito e anche Combofix ci ha aiutato a vedere altro....

[mully]

Kuma e Steve 75 :-892: :892-: (scegliete voi chi sarete dei 2)

siete 2 grandi! Il problema sembra risolto.

Dopo aver lanciato AVENGER (avenger.txt) il computer si è riavviato poi ha generato il LOG ad un certo punto in basso a destra è sbucato lo "scudo" rosso con X bianca. EUREKA!!!!!

Potessi sapere 1/10 di ciò che sapete voi! Va bè.

Però stavolta vi accontento: vi allego oltre al log Gmer_Roont.txt vi allego anche il Gmer_Autostart.txt che finalmente sono riuscita a generare. (Scherzo ma è solo grazie a voi che sono riuscita a generarlo).

Ho notato che provando a cliccare su VIRIT non mi usciva più la famosa finestra di errore. Poi mi sono fermata perchè aspettavo altre notizie.

Domanda Posso installare VIRIT? E poi ho necessità di un altro antivirus o fa tutto VIRIT?

Leggevo in un topic o tuo o di kuma in cui si suggeriva

"Installa un firewall migliore di quello di XP/Vista... questo è uno dei più semplici, leggeri ed in italiano:

http://www.wininizio.it/forum/index.php?showtopic=62657

come antivirus free io solitamente consiglio ANTIVIR ... qui trovi anche una tabella comparativa:

http://www.wininizio.it/forum/index.php?showtopic=46220"

Domanda valgono ancora queste informazioni????

Per vuotare questa cartella C:DOCUME~1\ADMINI~1\IMPOST~1\Temp

Domanda come faccio a trovarla mi sono sempre chiesta se il simbolo ~ (tilde?) che si usava con dos ora come si fa????

Un'ultima informazione.

Ho un hard disc esterno sul quale ho molti dati.

Domanda Mi conviene fare una scansione di tutto il disco esterno?

Domanda Ma nel momento che lo collego tramite USB con il PC e questo vede il nuovo hardware se fosse stato contagiato potrebbe causare problemi nuovamente?

Ragazzi grazie di nuovo. Non so come potrei esservi utile! L'unica cosa vi seguirò nel forum. vedrete che prima o poi ci si ritroverà con i casini che ogni tanto (spesso) combino o combineranno i miei colleghi a scuola.

Ciao NICO

Allego:

avenger.txt

Gmer_autostart.txt e Rootkit.rar

Infosat_elibagle.txt

hijackthis.log

avenger.txt

Gmer_Autostart.txt

InfoSat_Elibagle.txt

hijackthis.log

Gmer_Rootkit.rar

[Kuma]

Ciao...

finalmente felice che qualcosa si sia risolta

Installa VIRIT, avvialo, aspetta il termine del controllo della memoria, ed AGGIORNALO (importante)

poi fai la scansione completa del sistema (salva il log e postalo)

(non sarà questo comunque l'antivirus definitivo... solo che a volte trova cose che altri non individuano

Leggevo in un topic o tuo o di kuma in cui si suggeriva ....

Certo valgono acora e ti consiglio di usare questi due programmi

mi sono sempre chiesta se il simbolo ~ (tilde?)

Alcuni programmi (che lavorano sopratutto in Dos lo usano ancora, ma tu devi fare riferimento (come farà un eventuale programma) al percorso completo:

C:DOCUME~1\ADMINI~1\IMPOST~1\Temp

= C.\Documents and Settings\Administrator\Impostazioni Locali\Temp

Per fare la Tilde, dipende da che imput di tastiera usi, io con una tastiera Italiano 142

uso il tasto ATL di destra più un tasto vicino ad Invio

Mi conviene fare una scansione di tutto il disco esterno?

Conviene sempre quando si riscontra un'infezione estesa (come la tua)

il nuovo hardware se fosse stato contagiato

l'hardware non si può contagiare.. al massimo possono essere infetti i files all'interno, ma se questi non vengono cliccato (o non sono nella cartella Esecuzione Automatica) di grossi rischi non ne corri

GMER ROOTKIT = OK (pulito)

GMER AUTOSTART = OK

Infosat_elibagle LOG = OK

LOG di AVENGER = OK (ci vuole un decifratore per leggerlo Comunque ha eliminato tutto l'eliminabile )

LOG di Hijack = OK

___________________________

Allora adesso, installa VIRIT come spiegato più sopra e poi allega il log....

Al termine disinstallalo (tanto è un shareware) e mettici Antivir + Pc Tools firewall

[mully]

:steve: Oddio quanti ne avevo e magari ne ho ancora!!!!

Ti allego il file log generato da VirIT e come potrai notare sia ieri prima dell'aggiornamento sia oggi sono stati rimossi in totale 3 file.

Nel log si nota che alle ore 15:12:44 la scansione non terminata in quanto ho voluto controllare se vi era un ulteriore aggiornamento dei virus. Non c'era quindi ho ridato il controllo di scansione e udite udite 2 virus oggi.

Al termine della scansione sono andata a vedere in c:\ ed ho notato che la cartella MUESTRAS (ora vuota si è creata alla ore 15.21 di oggi) proprio nell'ora in cui ho avviato il PC oggi.

DOMAMDA: cancello anche la cartella???

Sono riuscita nel collegamento ed ho scaricato dr. Web Cure-it. Ora disinstalli virIT e installo il dr. Web e provo anche con lui.

al percorso completo:

C:DOCUME~1\ADMINI~1\IMPOST~1\Temp

= C.\Documents and Settings\Administrator\Impostazioni Locali\Temp

io mio pc ho questo percorso:

C:\Documents ans Settings\Administrator\Application Data

C:\Documents ans Settings\Administrator\CG Cake

C:\Documents ans Settings\Administrator\Cookies

C:\Documents ans Settings\Administrator\Desktop

C:\Documents ans Settings\Administrator\Documenti

C:\Documents ans Settings\Administrator\Menu Avvio

C:\Documents ans Settings\Administrator\Preferiti

C:\Documents ans Settings\Administrator\UserData

C:\Documents ans Settings\Administrator\WINDOWS

ma

C:\Documents ans Settings\Administrator\Impostazioni Locali\Temp non c'è

C:\Documents ans Settings\All Users\Desktop

C:\Documents ans Settings\ All Users\Documenti condivisi

C:\Documents ans Settings\ All Users\Menu Avvio

C:\Documents ans Settings\ All Users\Preferiti

C:\TEMP

La parola IMPOSTAZIONI Locali non la trova da nessuna parte.

Non ci sono altri utenti

Grazie NICO

VIRITEXP.LOG

[Steve75]

prima di cercare file o cartelle Assicurati di avere accesso a file e cartelle nascosti

(Pannello di controllo-> Opzioni Cartella-> Visualizzazione)

1) metti la spunta su: Visualizza file e cartelle nascoste

2) Disattiva: nascondi file protetti di sistema

[mully]

Ciao a tutti,

dopo una settimana di silenzio (ero ad un seminario) rieccomi.

Grazie Steve 75 finalmente scoperto l'altarino.

Il mio problema sembra ora risolto infatti questa mattina ho installato e aggiornamto Avira.

PERO'

Ho fatto la scansione sia del disco interno sia del disco esterno ed ho dovuto mettere in quarantena 4 file.

Di questi 4 file 3 erano legati a programmi non installati per cui li ho cancellati e sono:

"contains signaure of the WORM/Bagle.SSI.2"

"contains suspicious code HEUR/Malware"

"Is the TROJAN horse TR/Agent.RIR.135"

Ma quello che mi preoccupa maggiormente è

"contains signaure of the application APPL/NirCmd.1" legato al file che si trovava in C:\WINDOWS\nircmd.exe.

Ora ho qualche timore a spegnere il PC in quanto ho paura che poi non si riaccenda più in quanto questo file si trova in C:\WINDOWS.

Che fare? Lo lascio in quarantena od è un file importante.

Quando vado a vedere che tipo di infezione è mi dice che non ha dati.

E allora!!

Grazie di tutto

NICO

[Kuma]

Ciao...

non credo tu corra nessun rischio,

anche se il file nircmd.exe, mi sa tanto di falso positivo (il programma free puoi prelevarlo da qui)

non fa parte dei files del sistema operativo e quindi non crea problemi al sistema stesso (al massimo perdi le funzionalità che aveva il programma)