affetto da trojan vundo.jen

[santacluis]

ho letto tutto, sperimo di non sbagliare....

sono stato infettato da questo trojan, mi apre finestre internet a caso con false vincite etc.. pc rallentato a dismisura e altri effetti collaterali tra i quali alcuni messaggi appena avviato win che postero' succesivamente (devo segnarmeli quando compaiono)

ho provato qulsiasi scansione con piu' antivirus in modalita normale e provvisoria stessa cosa con spybot, ma niente, alcuni non lo rilevano nemmeno e cmq non lo riescono ad eliminare.

se qualcuno puo' darmi una mano posto qui di seguito il log ottenuto con hijackthis


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19.59.46, on 20/06/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Windows\System32\rundll32.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\PowerISO\PWRISOVM.EXE
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\WhatPulse\WhatPulse.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Google\Google Updater\GoogleUpdater.exe
C:\ObjectDock\ObjectDock.exe
C:\Windows\System32\rundll32.exe
C:\Users\Luigi\AppData\Local\Temp\RtkBtMnt.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\System32\mobsync.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\Luigi\Desktop\HiJackThis(2).exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\s wg.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Skytel] Skytel.exe
O4 - HKLM\..\Run: [PWRISOVM.EXE] C:\Program Files\PowerISO\PWRISOVM.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [WhatPulse] C:\Program Files\WhatPulse\WhatPulse.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [e8a80479] rundll32.exe "C:\Users\Luigi\AppData\Local\Temp\skntjthg.dl l",b
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\Luigi\AppData\Local\Temp\mLExVmml.dll,c
O4 - HKCU\..\Run: [MSServer] rundll32.exe C:\Users\Luigi\AppData\Local\Temp\rqRIcdEX.dll,#1
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVIZIO DI RETE')
O4 - Startup: Stardock ObjectDock.lnk = C:\ObjectDock\ObjectDock.exe
O4 - Global Startup: Google Updater.lnk = C:\Program Files\Google\Google Updater\GoogleUpdater.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O13 - Gopher Prefix:
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab56986.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762# # (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: PCLEPCI - Pinnacle Systems GmbH - C:\Windows\system32\drivers\pclepci.sys
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - C:\Program Files\Spybot - Search & Destroy\SDWinSec.exe

--
End of file - 7464 bytes




grazie ;-)

[Deifobe]

ciao.. benvenuto

Scarica SystemScan, disconnetti il pc da internet => disattiva l'antivirus => esegui systemscan => clicca su "Scan Now". Finita la scansione, riattiva l'antivirus

Carica il rapporto che trovi sul desktop su Savefile e posta il link ottenuto.

[santacluis]

fatto...

questo e' il link
http://www.savefile.com/files/1621077

[Deifobe]

Scarica Avenger e CCleaner

Apri il blocco note e nella pagina copia/incolla:

Windows Registry Editor Version 5.00

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"e8a80479"=-
"cmds"=-
"MSServer"=-

salvalo in c:\ con il nome nome: fix.reg
tipo di file: tutti i file


Esegui avenger e nella finestra copia/incolla tutta la citazione:

files to delete:
C:\Users\Luigi\AppData\Local\Temp\fnfwjhyc.dll
C:\Users\Luigi\AppData\Local\Temp\ghtjtnks.ini
C:\Users\Luigi\AppData\Local\Temp\skntjthg.dll
C:\Users\Luigi\AppData\Local\Temp\mLExVmml.dll
C:\Users\Luigi\AppData\Local\Temp\rqRIcdEX.dll

programs to launch on reboot:
c:\fix.reg

Spunta "Automatically disable any rootkits found" e clicca su "execute".
Il pc dovrebbe riavviarsi da solo, altrimenti riavvialo tu. Posta il report rilasciato

Esegui CCleaner e ripulisci i file temporanei e i cookie (eseguilo 2 volte).

Svuota C:\WINDOWS\Prefetch

Posta un nuovo systemscan e il rapporto di avenger

[santacluis]

questo e' il nuovo link

http://www.savefile.com/files/1621237


e questo e' il report di avenger, ho notata che su 3 files mi dice "not found" sono gli stessi tre file che ad avvio windows completato mi escono con il messaggio: errore durante il caricamento di C:\........nomefile.dll impossibile trovare il modulo specificato.

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows Vista

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "C:\Users\Luigi\AppData\Local\Temp\fnfwjhyc.dl l" deleted successfully.
File "C:\Users\Luigi\AppData\Local\Temp\ghtjtnks.in i" deleted successfully.

Error: file "C:\Users\Luigi\AppData\Local\Temp\skntjthg.dl l" not found!
Deletion of file "C:\Users\Luigi\AppData\Local\Temp\skntjthg.dl l" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\Users\Luigi\AppData\Local\Temp\mLExVmml.dl l" not found!
Deletion of file "C:\Users\Luigi\AppData\Local\Temp\mLExVmml.dl l" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\Users\Luigi\AppData\Local\Temp\rqRIcdEX.dl l" not found!
Deletion of file "C:\Users\Luigi\AppData\Local\Temp\rqRIcdEX.dl l" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Program "c:\fix.reg" successfully queued to run on reboot.

Completed script processing.

*******************

Finished! Terminate.

[Deifobe]

I files che c'erano sono stati eliminati ma il registro non è stato ripulito.

Entra da amministratore, apri il taskmanager, clicca su "nuova operazione" e digita regedit (si aprirà il registro di configurazione)

Clicca su "Risorse del computer", poi su "file" => esporta => salva la copia del registro in c:\

Poi segui questo percorso:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

e nella finestra a destra individua:
"e8a80479 " => "rundll32.exe \"C:\Users\Luigi\AppData\Local\Temp\skntjthg.dll\" ,b"

clicca su "e8a80479" con il tasto destro del mouse e seleziona "elimina".

Poi, nella stessa finestra, cerca anche queste due:
"cmds " => "rundll32.exe C:\Users\Luigi\AppData\Local\Temp\mLExVmml.dll,c"
"MSServer " => "rundll32.exe C:\Users\Luigi\AppData\Local\Temp\rqRIcdEX.dll,#1"

ed eliminale.
Chiudi il registro e riavvia il sistema

Esegui systemscan, clicca su "unselect all", spunta ed esegui solo la scansione "Registry Run Keys". Carica il rapporto su savefile e posta il link.

Ciao

[santacluis]

centra qualcosa il ripristino del sistema? lo avevo disabilitato quando cercavo da solo di togliere questo maledetto trojan.

lo lascio disabilitato?

[Deifobe]

no, affatto, non c'entra. Counque potrai ripristinarlo.

Le voci non si eliminano perchè l'UAC, credo, non te lo permette. Devi vedere se te le fa eliminare da admin. Se non le elimini avrai sempre messaggi di infezione perchè, di fatto, vengono trovate delle voci infette nel registro (anche se poi i files non ci sono più).

[santacluis]

ok ma io teoricamente sono gia amministratore... anche perche' quando accendo il pc ho un unico account impostato su admin.

devo eseguire qualche operazione in particolare per entrare come admin o posso iniziare con la procedure che mi hai passato?

cmq visto che e' l'1.00 si puo continuare anche alla luce del sole... lo dico per te, ti sto rompendo in modo spropositato

[Deifobe]

fallo in mattinata e vedi se te le fa modificare
Poi, se le modifiche sono state mantenute, lo vedrò dal rapporto che ti ho chiesto.

notte