Antivirus non vanno, hijackthis avenger non parte, non va, eliminare rimuovere Bagle

[OYS]

Se l'antivirus non va, non parte, è colpa del famoso virus Bagle.

Per eliminarlo bisogna procedere così:

scaricare The Avenger:http://swandog46.geekstogo.com/avenger.zip e procedere così:


Avviare il file avenger.exe (non connesso ad internet)
Selezionare l'opzione "Input Script Manually"
Cliccare sulla lente d'ingrandimento

Aprire la finestra "View/edit script"
All'interno del box bianco, copiare ed incollare il seguente codice (*****=nome tua cartella che trovi in C:\Documents and setting\):

Files to delete:
C:\Documents and Settings\*****\Dati applicazioni\hidires\m_hook.sys
C:\Documents and Settings\*****\Dati applicazioni\hidires\hidr.exe
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\hldrrr.exe

folders to delete:
C:\Documents and Settings\*****\Dati applicazioni\hidires
C:\WINDOWS\exefld

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\m_hook
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_M_H OOK

registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | hldrrr

Cliccare sul pulsante Done
Cliccare sull'icona del semaforo verde
Rispondere Yes
Il pc si riavvia da solo, se no riavviare manualmente.

Ora si dovrebbe essere esenti dal virus...

[OYS]

Se avenger non parte allora è la variante del virus più difficile da eliminare....

cancellare dall'editor di registro (start-->esegui-->regedit) i valori

[HKCU\Software\FirstRuxzx]
"FirstRun"="dword:00000001"
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"drv_st_key"="%UserProfile%\Application Data\hidn\hidn2.exe"

sempre nell'editor inserire il valore

[HKLM\System\CurrentControlSet\Control\SafeBoot]


Cancellare nella directory sottoscritta il file

%UserProfile%\Application Data\hidn\hidn2.exe e il file m_hook.sys

(se non si riescono ad eliminarle perchè nega l'accesso usare KillBox)

A questo punto si dovrebbe riuscire ad andare in modalità provvisoria... Quando si è in modalità provvisoria installare l'antivirus e fare una scansione. Se il problema permane allora postare sul forum un log di hijackthis.

[OYS]

Originariamente inviato da OYS
(se non si riescono ad eliminare perchè nega l'accesso usare KillBox)

Mi accorgo solo adesso dopo tanto tempo che il link di KillBox è sbagliato.

Link di KillBox

[tognazzi]

ma è un bel thread, e quasi quasi lo proporrei per essere messo in rilievo.

[ste_95]

cavolo, davvero sarebbe da mettercela, ogni volta che dico a un utente come risolvere il problema Bagle devo annaspare tra tutte le discussioni Sicurezza Informatica e Virus per trovare questa e fare copia e incolla...

[amvinfe]

Originariamente inviato da ste_95
cavolo, davvero sarebbe da mettercela, ogni volta che dico a un utente come risolvere il problema Bagle devo annaspare tra tutte le discussioni Sicurezza Informatica e Virus per trovare questa e fare copia e incolla...

salavatela sul desktop

[ste_95]

infatti, me la sono messa su preferiti...

[ste_95]

scrivo un'altro post perchè è uscita una nuova variante del bagle che gira sulle reti P2P, sotto il nome ti trusted.exe, cui l'immagine è una chiavetta in una serratura...

per eliminare questo worm, nel caso lo aveste preso nelle reti P2P, o comunque foste a conoscenza di avere il file trusted.exe, procedete così:

disabilitate il ripristino configurazione di ststema...così

scaricare The Avenger e procedere così:

Avviare il file avenger.exe (non connesso ad internet)
Selezionare l'opzione "Input Script Manually"
Cliccare sulla lente d'ingrandimento

Aprire la finestra "View/edit script"
All'interno del box bianco, copiare ed incollare il seguente codice (*****=nome tua cartella che trovi in C:\Documents and setting\):

Files to delete:
C:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\wintems.exe
C:\WINDOWS\system32\hldrrr.exe
C:\WINDOWS\system32\trusted.exe
C:\WINDOWS\system32\drivers\pci32.sys

folders to delete:
C:\WINDOWS\exefnd

registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\srosa
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SRO SA
HKLM\SYSTEM\CurrentControlSet\Services\pci32
HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PCI 32

Controllate poi nella cartella
c:\Documents and Settings\NomeVostroAccount\Dati applicazioni\Impostazioni locali\Temp\
e cancellate tutti i file ~*.exe e *.tmp non è possibile inserirli nello script in quanto assumono sempre nomi casuali.

[whisher]

http://forum.gotnaruto.com/234-hardw...antivirus.html

Giusto per resituire il favore all'amico





FO bugle.





Un sentito GRAZIE

[Habanero]

a che serve riesumare un thread informativo di un anno e mezzo fa per linkare un altro forum???

favore a quale amico???

Ci sarebbero delle regole da rispettare...