[Messenger] Virus invia a tutti i contatti file e cartelle compresse, aiutatemi

[maria.m75]

ciao,
fai anche una scansione on line http://www.kaspersky.com/virusscanner
salva i risultati ("save report as") come file txt e allegalo.

(ricorda di disattivare il ripristino configurazione sistema prima di iniziare la scansione e riattivalo quando è terminata; per disattivarlo:
pannello di controllo => proprietà del sistema => ripristino configurazione sistema => spunta "disattiva..")

scarica "Registry Search Tool" da questo sito http://www.billsway.com/vbspage/
lancia il programma e cerca uno ad uno:

mwinlldt
winfp
gzmrotate
xtar1
crypted
kkdsrngq
nsf78

Unisci tutti i risultati in un unico file di testo e allegalo. Serve a vedere se ci sono altri valori da fixare altrove.

Con hjt fixa anche questa (inutile)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

e posta anche il log di hjt (sempre come allegato).

[OT] Per Coolness: ottima idea far postare i risultati come allegati... bisognerebbe insistere un po' di più.. Potremmo anche consigliare un sito "dedicato" su cui caricarli, che ne dici? Magari "ricordandolo" in firma....[OT]

[luan88]

ecco in allegato il log...sembra nn ci siano problemi!

che ne dite??

[COOLNESS]

Non va bene affatto....hai scaricato Gmer ed eliminato quei processi?

[luan88]

no perchè?..

[COOLNESS]

Non va bene perchè ci sono ancora quei malware...hai eliminato quei 2 processi con Gmer?la scansione?il procedimento di Maria?

[luan88]

in allegato c'è il file di ...."Registry Search Tool" che ho lanciato...
per qnt riguarda qst "xtar1" nn ha trovato nnt!!

[luan88]

qst invece è il log..

[maria.m75]

luan88

in allegato c'è il file di ...."Registry Search Tool" che ho lanciato...
per qnt riguarda qst "xtar1" nn ha trovato nnt!!

ok, lo controlliamo e ti elenchiamo i valori da eliminare... direttamente dal registro.

[COOLNESS]

1)Scarica i seguenti software:

TOOL MSNFIX
CCLEANER
ASQUARED FREE
PANDA ANTIROOTKIT

2)Disattiva ripristino conf. Di sistema (se hai windows me/xp) e disconnettiti da internet.

3)Clic su risorse del computer -> Disco locale (c:) -> cerca la cartella Windows, aprila e al suo interno, cerca la cartella Prefetch, la apri ed elimini tutte le voci ma non la cartella intera.

4)Installa Ccleaner (ricorda di andare su impostazioni e impostare la "cancellazione sicura", poi su avanzate togli la spunta su "cancella solo file più vecchi di 48 ore").

Clic su: "pulizia" -> analizza -> avvia pulizia
Clic su: "registro" -> trova problemi -> ripara selezionati

5)Scompatta il file zippato di MSNFIX,lancia MSNFix File batch poi:
digita I e premi invio
digita R
digita N
digita A
digita R
digita Q

Al termine ti ritroverai un log e un file zippato.
Elimina il file zippato e svuota il cestino, il log servirà in seguito.

6)Connettiti ad internet.

7)Installa,aggiorna e scansiona il pc con Asquared.

8)Installa Panda antirootkit:
scompatta il file Zip, sul Desktop (verrà creata una icona di Startup)
lancia il Tool (che aggiornerà, automaticamente, da Server, la sua black list) ed eseguirà una scansione per verificare la presenza, o meno, di Rootkit, sul PC.

9) Rifai la scansione con hijackthis e selezioni le caselle di queste righe (sempre che ci siano ancora), poi premi fix checked per eliminarle.

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [{6D-D6-69-9E-ZN}] C:\windows\system32\kkdsrngq.exe P2D002
O4 - HKLM\..\Run: [ExploreUpdSched] C:\WINDOWS\system32\mwinlldt.exe P2D002
O4 - HKLM\..\Run: [MSN] photos.com

Cancellare anche questi file indicati in rosso, usando unlocker o killbox.

O4 - HKLM\..\Run: [Windows Bool Service] WinBool32.exe
O4 - Startup: TA_Start.lnk = C:\WINDOWS\system32\kkdsrngq.exe
O4 - Startup: Think-Adz.lnk = C:\WINDOWS\system32\mwinlldt.exe

10)Posta come allegato (preferibilmente) il log di HIJACKTHIS E MSNFIX.

PS: Questi passaggi li ho trovati in rete in quanto il virus che ti ha colpito è nuovo e non mi è mai capitato prima d'ora di disinfettare un computer con il tuo stesso virus.

[robdigiu]

Coolness, stessa situazione purtroppo. Ti ho scritto anche un messaggio privato.
Questo il risultato della scansione, mi sa che sto messo maluccio.
Che posso fare?

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14.59.06, on 02/10/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\TOSHIBA\ConfigFree\CFSvcs.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Programmi\Toshiba\Windows Utilities\Hotkey.exe
C:\Programmi\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe
C:\Programmi\TOSHIBA\Touch and Launch\PadExe.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\WINDOWS\system32\igfxext.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Programmi\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\winfp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\TOSHIBA\TOSCDSPD\toscdspd.exe
C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\MSN Messenger\usnsvc.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.dovevofarelavvocato.splinder.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Toshiba Hotkey Utility] "C:\Programmi\Toshiba\Windows Utilities\Hotkey.exe" /lang IT
O4 - HKLM\..\Run: [SmoothView] C:\Programmi\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe
O4 - HKLM\..\Run: [PadTouch] C:\Programmi\TOSHIBA\Touch and Launch\PadExe.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programmi\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [CFSServ.exe] CFSServ.exe -NoClient
O4 - HKLM\..\Run: [Audio Device Manager] winfp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Programmi\TOSHIBA\TOSCDSPD\toscdspd.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Microsoft Office OneNote 2003 Quick Launch.lnk = C:\Programmi\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programmi\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://robertodigiulio.spaces.live.c...d/MsnPUpld.cab
O16 - DPF: {5F8469B4-B055-49DD-83F7-62B522420ECC} (Facebook Photo Uploader Control) - http://upload.facebook.com/controls/...toUploader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{858B95F0-AD4A-40A1-903C-96622A5B192E}: NameServer = 10.1.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{BB0ABF61-9881-445F-88C6-763C8F0AB1FA}: NameServer = 85.37.17.46 85.38.28.84
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Programmi\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe
--
End of file - 7254 bytes

[COOLNESS]

1)Disattiva il ripristino configurazione di sistema se hai windows me/xp (Clic tasto destro su risorse del computer -> proprietà -> ripristino conf. di sistema -> spunta su "disattiva ripristino conf. di sistema").

2)Fixa:
O4 - HKLM\..\Run: [Audio Device Manager] winfp.exe

3)Abilita la visualizzazione dei file e cartelle nascoste:
Risorse del computer / strumenti / opzione cartella /visualizzazione /spunta su "Visualizza cartelle e file nascosti".

4)Cancella manualmente
C:\WINDOWS\winfp.exe con l'ausilio di Unlocker.

5) Scarica MSNFIX - clic qui per il download

Scompatta il file zippato di MSNFIX,lancia MSNFix File batch poi:
digita I e premi invio
digita R
digita N
digita A
digita R
digita Q

Al termine ti ritroverai un log e un file zippato.
Elimina il file zippato e svuota il cestino, il log servirà in seguito.

6)Scansione con Asquared (aggiornato).

7)Riattiva il ripristino configurazione di sistema e rimetti l'opzione "non visualizzare file e cartelle nascoste".

8)Posta log Hijackthis e MSNFIX.

[luan88]

Sto scansionando il pc cn a-squared (12 oggetti rilevati x ora) e dopo devo lanciare Panda antirootkit!
quindi ti mando in allegato il log di Msnfix e tra un po' anche qll di HijackThis...

[COOLNESS]

MSNFIX ha fatto il suo dovere....hai cancelato il file .zip generato,vero?

[luan88]

sisi...
qst è il lod di hijackthis...
ora sto scaricando killbox per eliminare gli ultimi file che mi hai detto!

[luan88]

ok fatto!! dimmi che va tt bene!
t mando l'ultimissimo log di hijackthis...e aspetto una tua risposta (positiva)!