worm conficker

[wjmat]

la rimozione manuale è quindi post combo?

[juninho85]

no,PRE-combo,è questa la cosa strana!

[wjmat]

proviamo con la rimozione di combo

• Disattiva eventuali protezioni in realtime di antivirus, antispyware, firewall se interferiscono
• Apri il Blocco Note e incolla tutto il codice qui sotto

NetSvc::
ebhzbjapc
asrxo
dmibz
wwsdhnup
gyzcv

• Salva il file sul Desktop come CFScript.txt
• Trascina il file di testo appena creato (CFScript.txt) sull'icona di ComboFix che riconoscerà il comando di cancellazione
• al termine il PC si dovrebbe riavviare (eventualmente fallo tu manualmente) → al riavvio allega il log che trovi in C:\ComboFix.txt

[Chill-Out]

Infatti ti avevo suggerito di verificare qui

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

[juninho85]

raga',non ci sono,ora pare essersene accorto pure combofix!

[Chill-Out]

Originariamente inviato da juninho85

raga',non ci sono,ora pare essersene accorto pure combofix!

Allega il log

[juninho85]

http://mio.discoremoto.alice.it/juninho85/log.txt

comunque mi sa che con combofix stiamo perdendo solo tempo

[Mauro B.]

scusate, quali sarebbero i riscontri da cui dedurre la presenza di questo malware?

Quasti sono alcuni dettagli del malware trovati online: http://www.symantec.com/it/it/norton...conficker_worm

[wjmat]

Originariamente inviato da juninho85

http://mio.discoremoto.alice.it/juninho85/log.txt

comunque mi sa che con combofix stiamo perdendo solo tempo

prima che fosse riattivato da combo il ripristino era stato disattivato?

[juninho85]

Originariamente inviato da wjmat

prima che fosse riattivato da combo il ripristino era stato disattivato?

il ripristino è disattivato da mesi

[juninho85]

http://www.pcalsicuro.com/main/2009/...nelle-aziende/

diciamo che torna praticamente tutto,a parte

Carica un driver per patchare in memoria il driver tcpip.sys e sbloccare il limite delle connessioni che Microsoft ha inserito in Windows XP SP2.

che non riesco a capire quale si

[juninho85]

tutti i pc di rete(circa 20) infetti...eccetto il mio

[wjmat]

Originariamente inviato da juninho85

tutti i pc di rete(circa 20) infetti...eccetto il mio

sono soddisfazioni

alla fine come hai risolto?

[juninho85]

NON ho risolto,perchè mi manca il componente che rigenerà il tutto all'avvio
per ora ho scovato:
1)l'elemento da cui parte l'infezione(tale jwgkvsq.vmx,file presente nel cestino di un qualsiasi pennino
2)file autorun.inf
3)file svch0st.exe(anche se dovrebbe non aver nulla a che fare con conficker)
4)dll nome ram in system32
5)servizio che si esegue sotto svchost tramite la stess dll
6)ads appesi a svchost.exe ed eventualmente altri eseguibili
7)eccezione su una porta tcp con nome random aperta nel firewall di windows
8)svariate modifiche al registro di sistema

[wjmat]

non ricordo o non ho letto quale sia la versione che ti ha infettato...
quali tool hai fatto girare oltre a combo? quello di fsecure e bitdefender?
quello symantec l'hai provato?
http://www.symantec.com/security_res...011316-0247-99

[juninho85]

Originariamente inviato da wjmat

non ricordo o non ho letto quale sia la versione che ti ha infettato...
quali tool hai fatto girare oltre a combo? quello di fsecure e bitdefender?
quello symantec l'hai provato?
http://www.symantec.com/security_res...011316-0247-99

f-secure e bitdefender già li ho fatti girare,ora provo anche quello symantec

[wjmat]

qui ci sono linkati un pò tutti i tool delle varie softwarehouse
http://www.sysadmindayph.com/blog/re...up-downup-wor/

[Chill-Out]

Originariamente inviato da juninho85

f-secure e bitdefender già li ho fatti girare,ora provo anche quello symantec

http://data2.kaspersky.com:8080/special/KK_v3.4.6.zip

[juninho85]

il tool kaspersky non rileva nulla,quello symantec rileva,ripulisce richiedendo il riavvio ma conficker riesce comunque a ripristinarsi

[juninho85]

per voi è possibile che ciò che rigenera il malware sia la rete stessa?
mi spiego...ho notato che una volta ripulito il malware e riavviato il sistema,se faccio una scansione con gmer il rootkit non viene rilevato,mentre se la faccio dopo qualche minuto si,che dite?