Un virus mi disabilita gli antivirus

[romano1]

Ciao, sono nuovo del forum.
Ho un virus che mi disabilita qualunque antivirus (ma non il firewall). Mi ha disabilitato
prima il controllo in tempo reale di Avast, poi quello di Avira (che ho installato ieri sera
e mi ha disabilitato stamattina). Ho seguito le istruzioni (AVG non sono riuscito ad installarlo,
Ad-aware non ha dato risultati e così spybot (che, però, ha dato due messaggi di problemi nel file
di definizione Trojans.sbi). Le scansioni con Avira in modalità provvisoria e con Karspersky on line
non hanno dato risultati. Questo è il log di HijackThis. Vi prego di aiutarmi perchè non sono
molto pratico.
P.S. è possibile che il virus mi scolleghi dal forum (è già successo 3 volte poco fa)


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17.49.59, on 03/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\Symantec Shared\ccProxy.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\slserv.exe
C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\S3hotkey.exe
C:\WINDOWS\system32\S3tray2.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\AliceEntry\DetectDatacard.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\wscntfy.exe
C:\hijackthis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programmi\AVG\AVG8\avgssie.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll (file missing)
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll (file missing)
O4 - HKLM\..\Run: [S3hotkey] S3hotkey.exe
O4 - HKLM\..\Run: [S3TRAY2] S3tray2.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [DetectDatacard] C:\Programmi\AliceEntry\DetectDatacard.exe
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Programmi\F-Secure\Common\FSM32.EXE" /splash
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/par...an_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/wind...?1189322446123
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - https://fpdownload.macromedia.com/ge...sh/swflash.cab
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programmi\AVG\AVG8\avgpp.dll (file missing)
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: F-Secure Management Agent (FSMA) - Unknown owner - C:\Programmi\F-Secure\Common\FSMA32.EXE (file missing)
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe

--
End of file - 6204 bytes

[Dark_Limit]

Sembrerebbe un virus che si sta propagando molto velocemente ultimamente : Gusano Bagle(una variante dello stesso bagle ma potenziata):
Prova a fare così ma prima devi dirmi se anche gli altri file eseguibili li riesci ad aprire.. :

scarica elibagla e fai una scansione - riavvia il pc quando finisce. Posta il rapporto (C:\Infosat.txt)

Scarica SystemScan, disconnetti il pc da internet => disattiva l'antivirus => esegui systemscan => clicca su "Scan Now". Finita la scansione, riattiva l'antivirus, carica il rapporto che trovi sul desktop su Freefilehosting e posta il link ottenuto.

[Deifobe]

hihihi ... "...all'esame nun se passa"

x Dark_Limit: almeno potevi mettere i link

x romano1: esattamente.. elibagla, SystemScan ... e ... Freefilehosting


<> <> <> <>
NB: già so che c'è qualcuno che se la riderà come un matto.....

[Dark_Limit]

Originariamente inviato da Deifobe
hihihi ... "...all'esame nun se passa"

x Dark_Limit: almeno potevi mettere i link

x romano1: esattamente.. elibagla, SystemScan ... e ... Freefilehosting


<> <> <> <>
NB: già so che c'è qualcuno che se la riderà come un matto.....

Non ho capito la battuta..

[antonpaco]

dovresti aver beccato il bagle, vai sul sito di avst e scaricati avast scanner virus free, segui la procedura spiegata sul sito, e' semplice.

[romano1]

Scusate per il ritardo con cui rispondo ma ho avuto un sacco di problemi, anche non informatici.
Innanzitutto ringrazio per l’aiuto che mi avete dato.
Prima che mi rispondeste ho deciso di formattare ma, sorpresa, dopo 3 formattazioni (l’ultima a pagamento da un professionista) il problema si ripresenta sempre. Ora il computer è all’esame del tecnico che dice di non aver mai visto niente di simile e ipotizza si tratti non di virus ma di un problema di una delle due memorie. Premesso che se non risolve il problema proverò le procedure che mi avete consigliato, vorrei sapere se avete avuto esperienze del genere (virus nella BIOS?).
Grazie per l’attenzione

[Dark_Limit]

Una soluzione che rimane è formattare il BIOS..l'unico virus che si conosce (per ora) che possa fare queste cose è Bagle..è molto potente e bisogna stare attenti a come si agisce..la soluzione(se ha colpito il bios) è quella di formattarlo..

[amvinfe]

Originariamente inviato da Dark_Limit
Non ho capito la battuta..

l'ho capita io

ah, mi/ci spieghi per cortesia la correlazione fra l'infezione da Bagle e il BIOS? Grazie.

Un'ultima cosa visto che ci siamo, non era più semplice scrivere worm invece di gusano, visto che magari lo spagnolo è conosciuto meno dell'inglese

[Demonios@]

è molto potente e bisogna stare attenti a come si agisce..la soluzione(se ha colpito il bios) è quella di formattarlo..

con quel suo rootkettino

[Dark_Limit]

Originariamente inviato da amvinfe
l'ho capita io

ah, mi/ci spieghi per cortesia la correlazione fra l'infezione da Bagle e il BIOS? Grazie.

Cosa dovresi spiegare nel dettaglio?

Originariamente inviato da amvinfe
Un'ultima cosa visto che ci siamo, non era più semplice scrivere worm invece di gusano, visto che magari lo spagnolo è conosciuto meno dell'inglese

Non era più semplice perchè tale virus è di derivazione se non erro spagnola ed è la soluzione che si adatta sia nella ricerca per l'indicizzazione dei motori di ricerca sia per i tool di disinfezione meglio conosciuti..il nome gusano sta per diventare parte integrante del nome della minaccia...