View Full Version : aiuto, mi hanno infettato!urgente!
tempesta92
29-09-2008, 12:29
salve a tutti ragazzi, mi dovete aiutare ho fatto il pc nuovo da 2 gg e mi sa che mi hanno infettato, quando apro il browser di internet, sia mozilla che ie, dopo poco mi si aprono altre pagine di altri siti senza che io faccia niente, cosa posso fare??? aiutatemi vi prego
Ciao benvenuto nel pronto soccorso di HU.
segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui tutte le scansioni ed il caricamento dei relativi log nelle modalità (http://www.hwupgrade.it/forum/showthread.php?t=1779308) e nell'ordine indicato.
Ricapitolando, dopo aver disabilitato il ripristino di sistema http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24113221&postcount=23), fatto la pulizia dei file inutili con ATFCleaner http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033021&postcount=2), vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):
log di Malwarebytes Anti-Malware aggiornato ad oggi http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033097&postcount=9)
log di A-squared scansione deep aggiornato ad oggi http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033085&postcount=8)
log di Kaspersky Virus Removal Tool scaricato oggi http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033078&postcount=7) oppure di F-Secure OnLine http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033058&postcount=6)
log di Dr.Web CureIT scaricato oggi http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033048&postcount=5)
log di ESET SysInspector http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033155&postcount=12)
log di HiJackThis http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033212&postcount=13)
log di Gmer http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033143&postcount=11)
log di PrevxCSI http://img171.imageshack.us/img171/2085/info2gs7.jpg (http://www.hwupgrade.it/forum/showpost.php?p=24033225&postcount=14)
Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, con le restanti scansioni veloci noi avremo le informazioni necessarie per i restanti interventi.
Se pensi che l'infezione possa essere partita da una chiavetta usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione, in questo modo eviti di reinfettarti ancora dopo che hai ripulito il pc.
Nel caso il pc da disinfettare abbia problemi con internet o non ce l'abbia proprio, nelle info dei programmi guarda alla voce Portabilità, in modo da scaricare tutto il necessario da un pc pulito e portare tutto l'occorrente sul pc infetto
Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...
Questa (http://www.hwupgrade.it/forum/showthread.php?t=1779308) è una brevissima guida alla pubblicazione dei log
Qui (http://www.hwupgrade.it/forum/showpost.php?p=23619723&postcount=5) e qui (http://www.hwupgrade.it/forum/showpost.php?p=24073905&postcount=3) esempi precisi ed ordinati di come vorremmo tu caricassi i log
link utili per il caricamento log ed immagini
caricamento log fileqube.com, (http://fileqube.com/) wikisend.com (http://wikisend.com/), mediafire.com (http://www.mediafire.com/index.php)
caricamento immagini fileqube.com (http://fileqube.com/)
tempesta92
29-09-2008, 12:39
cosa sono i log che hai elencato??cosa vuol dire ??? io ho ccleaner al possto di atf, va bene lo stesso???
cosa sono i log che hai elencato??cosa vuol dire ??? io ho ccleaner al possto di atf, va bene lo stesso???
leggi le info e ti rispondi da solo
usa anche atf, è leggero e non necessita di installazione
tempesta92
29-09-2008, 12:53
un'ultima domanda, in atf è impossibile andare nella sezione opera, è normale???
Nel menù Opera (se lo usi) → Select All → NO (per non cancellare le password) → Empty Selected più volte fino a che segnali No files were removed
tempesta92
29-09-2008, 17:47
ho fatto tutti gli antivirus come mi avete detto ma non hanno trovato niente, cosa può essere????
Chill-Out
29-09-2008, 17:50
Ciao ma se non alleghi i log per noi è diffcile prestare assistenza.
tempesta92
29-09-2008, 17:52
come faccio a postare il log di GMER ? è l'unico che sembra aver trovato qlcs
tempesta92
29-09-2008, 17:54
a squared ha trovato questi:
Scansione avviata: 29/09/2008 15.05.13
c:\documents and settings\mattia\dati applicazioni\bsplayer rilevati: Trace.Directory.BSplayer
c:\documents and settings\mattia\dati applicazioni\bsplayer pro rilevati: Trace.Directory.BSplayer
c:\documents and settings\mattia\dati applicazioni\bsplayer\bslib rilevati: Trace.Directory.BSplayer
c:\documents and settings\mattia\menu avvio\programmi\webteh rilevati: Trace.Directory.BSplayer
c:\documents and settings\mattia\dati applicazioni\bsplayer pro\bsplayer.xml rilevati: Trace.File.BSplayer
c:\documents and settings\mattia\dati applicazioni\bsplayer\bslib\bspmlib.dat rilevati: Trace.File.BSplayer
Value: HKEY_USERS\S-1-5-21-343818398-1275210071-725345543-1003\Software\BST\bsplayerv1 --> AppPath rilevati: Trace.Registry.BSplayer
Value: HKEY_USERS\S-1-5-21-343818398-1275210071-725345543-1003\Software\BST\bsplayerv1 --> AppVer rilevati: Trace.Registry.BSplayer
C:\Documents and Settings\Mattia\Cookies\mattia@adserver.hwupgrade[2].txt rilevati: Trace.TrackingCookie
Scansionati
Files: 8445
Tracce: 446140
Cookies: 8
Processi: 46
tempesta92
29-09-2008, 17:56
questo invece è gmer:---- System - GMER 1.0.14 ----
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwClose [0xA4358618]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwCreateKey [0xA43584D4]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwDeleteValueKey [0xA43589B2]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwDuplicateObject [0xA43580AC]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwOpenKey [0xA43585AE]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwOpenProcess [0xA4357FEC]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwOpenThread [0xA4358050]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwQueryValueKey [0xA43586CE]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwRestoreKey [0xA435868E]
SSDT \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwSetValueKey [0xA435880E]
Code 6B4A5A37 IoReportHalResourceUsage
---- User code sections - GMER 1.0.14 ----
.text C:\Programmi\Mozilla Firefox\firefox.exe[3312] WS2_32.dll!send 71A3428A 5 Bytes JMP 026430E6
.text C:\Programmi\Mozilla Firefox\firefox.exe[3312] WS2_32.dll!WSARecv 71A34318 5 Bytes JMP 026432CC
.text C:\Programmi\Mozilla Firefox\firefox.exe[3312] WS2_32.dll!closesocket 71A39639 5 Bytes JMP 026435BC
---- User IAT/EAT - GMER 1.0.14 ----
IAT C:\WINDOWS\system32\services.exe[792] @ C:\WINDOWS\system32\services.exe [ADVAPI32.dll!CreateProcessAsUserW] 00370002
IAT C:\WINDOWS\system32\services.exe[792] @ C:\WINDOWS\system32\services.exe [KERNEL32.dll!CreateProcessW] 00370000
---- Devices - GMER 1.0.14 ----
AttachedDevice \FileSystem\Ntfs \Ntfs aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Ip aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Tcp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Udp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\RawIp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
tempesta92
29-09-2008, 17:59
proprio in questo momento mentre stavo navigando mi è venuta fuori una pagina di ebay di bricolage, aiutatemi voi, vi vanno bene cosi i log???
nel post n°2 ti ho dato chiare info ed esempi su come fare....
non mi sembra tu abbia letto...
tempesta92
29-09-2008, 18:11
scusa, sinceramente nn ci ho fatto caso, mi dispiace, cmq vedi qualcosa? ora posto solo quello di prevx
Summary:
C:\documents and settings\mattia\impostazioni locali\dati applicazioni\fbacvwq.exe - [B] >> Fraudulent Security Program (PX5: 770DEDDC0016E270007004CA7B9C2A003F34AAE0)
è questo il virus??
l'ultimo sicuramente è un virus però vogliamo tutti i log, anche quelli puliti caricati secondo le modalità che ho in firma
Scarica Avenger da qui (http://swandog46.geekstogo.com/avenger.zip)
Lancialo → Clicca Ok → Copia e Incolla TUTTO il codice, che ti ho segnalato qui sotto, nel riquadro bianco del programma → Clicca su Execute
Attendi riavvio del pc. Se non si riavvia da solo fallo manualmente.
Al riavvio verrà salvato un log di Avenger. Postalo per vedere se la procedura ha funzionato.
Files to delete:
C:\documents and settings\mattia\impostazioni locali\dati applicazioni\fbacvwq.exe
vBulletin® v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.