Trojan TR/Dldr.VB.bzm rilevato da AntiVir

[Kat23]

... e io potrei essere la tua mamma allora!
Non devi scusarti, mi sono ricollegata solo oggi anch'io!
Faccio subito ciò che mi hai detto... vado!

A più tardi!

[the hacker]

:quote: bella questa! :quote:

[Kat23]

Sono tornata
Mentre cenavo Kaspersky ha fatto il suo dovere.
Ha rilevato il Trojan-PSW.Win32.WOW.aic in 4 files, ma lo sapevo già.
Norton li aveva rilevati tempo fa e messi in quarantena.

Ecco il report completo dello scan.

-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
Sunday, January 20, 2008 9:10:07 PM
Operating System: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.98.0
Kaspersky Anti-Virus database last update: 20/01/2008
Kaspersky Anti-Virus database records: 524902
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: extended
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
C:\
D:\
E:\

Scan Statistics:
Total number of scanned objects: 69867
Number of viruses found: 1
Number of infected objects: 4
Number of suspicious objects: 0
Duration of the scan process: 00:48:05

Infected Object Name / Virus Name / Last Action
C:\WINDOWS\system32\config\system.LOG Object is locked skipped
C:\WINDOWS\system32\config\software.LOG Object is locked skipped
C:\WINDOWS\system32\config\default.LOG Object is locked skipped
C:\WINDOWS\system32\config\SECURITY Object is locked skipped
C:\WINDOWS\system32\config\SAM Object is locked skipped
C:\WINDOWS\system32\config\SAM.LOG Object is locked skipped
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped
C:\WINDOWS\system32\config\SYSTEM Object is locked skipped
C:\WINDOWS\system32\config\SOFTWARE Object is locked skipped
C:\WINDOWS\system32\config\DEFAULT Object is locked skipped
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\Internet.evt Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MA P Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MA P Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DAT A Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped
C:\WINDOWS\system32\CatRoot2\edb.log Object is locked skipped
C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked skipped
C:\WINDOWS\system32\h323log.txt Object is locked skipped
C:\WINDOWS\Temp\CLML_AGENT_LOG1.txt Object is locked skipped
C:\WINDOWS\Temp\sqlite_GiMSVkAns3nVoDL Object is locked skipped
C:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped
C:\WINDOWS\Sti_Trace.log Object is locked skipped
C:\WINDOWS\wiaservc.log Object is locked skipped
C:\WINDOWS\wiadebug.log Object is locked skipped
C:\WINDOWS\WindowsUpdate.log Object is locked skipped
C:\WINDOWS\SchedLgU.Txt Object is locked skipped
C:\WINDOWS\SoftwareDistribution\ReportingEvents.lo g Object is locked skipped
C:\Documents and Settings\All Users\Dati applicazioni\Microsoft\Windows NT\MSFax\ActivityLog\InboxLOG.txt Object is locked skipped
C:\Documents and Settings\All Users\Dati applicazioni\Microsoft\Windows NT\MSFax\ActivityLog\OutboxLOG.txt Object is locked skipped
C:\Documents and Settings\All Users\Dati applicazioni\Symantec\LiveUpdate\2008-01-20_Log.ALUSchedulerSvc.LiveUpdate Object is locked skipped
C:\Documents and Settings\All Users\Dati applicazioni\Symantec\Common Client\settings.dat Object is locked skipped
C:\Documents and Settings\All Users\Dati applicazioni\Grisoft\Avg7Data\avg7log.log.lck Object is locked skipped
C:\Documents and Settings\All Users\Dati applicazioni\Grisoft\Avg7Data\avg7log.log Object is locked skipped
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\NetworkService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\NetworkService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\LocalService\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\LocalService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\PAOLA\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\PAOLA\Impostazioni locali\Temp\~DF86EE.tmp Object is locked skipped
C:\Documents and Settings\PAOLA\Impostazioni locali\Temp\~DF8714.tmp Object is locked skipped
C:\Documents and Settings\PAOLA\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\PAOLA\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\PAOLA\Impostazioni locali\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked skipped
C:\Documents and Settings\PAOLA\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\PAOLA\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\PAOLA\Impostazioni locali\Dati applicazioni\Microsoft\Outlook\outlook.pst Object is locked skipped
C:\Documents and Settings\PAOLA\Impostazioni locali\Dati applicazioni\Microsoft\Windows Live Contacts\paola23kat@yahoo.it\real\members.stg Object is locked skipped
C:\Documents and Settings\PAOLA\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\PAOLA\Dati applicazioni\Microsoft\Outlook\outcmd.dat Object is locked skipped
C:\Documents and Settings\PAOLA\NTUSER.DAT Object is locked skipped
C:\Programmi\File comuni\Symantec Shared\SPStart.log Object is locked skipped
C:\Programmi\File comuni\Symantec Shared\SPPolicy.log Object is locked skipped
C:\Programmi\File comuni\Symantec Shared\SPStop.log Object is locked skipped
C:\Programmi\File comuni\Symantec Shared\SNDSYS.log Object is locked skipped
C:\Programmi\File comuni\Symantec Shared\SNDFW.log Object is locked skipped
C:\Programmi\File comuni\Symantec Shared\SNDCON.log Object is locked skipped
C:\Programmi\File comuni\Symantec Shared\SNDALRT.log Object is locked skipped
C:\Programmi\File comuni\Symantec Shared\SNDIDS.log Object is locked skipped
C:\Programmi\File comuni\Symantec Shared\SNDDBG.log Object is locked skipped
C:\Programmi\Acer\Acer Arcade\Kernel\CLML_NTService\CLML_MAIN\CLML.db Object is locked skipped
C:\Programmi\Norton AntiVirus\Quarantine\7D827207.Exe Infected: Trojan-PSW.Win32.WOW.aic skipped
C:\Programmi\Norton AntiVirus\Quarantine\59D03473.Exe Infected: Trojan-PSW.Win32.WOW.aic skipped
C:\Programmi\Norton AntiVirus\Quarantine\07EA6DB8.Exe Infected: Trojan-PSW.Win32.WOW.aic skipped
C:\Programmi\Norton AntiVirus\Quarantine\6B26679E.Exe Infected: Trojan-PSW.Win32.WOW.aic skipped
C:\Programmi\Norton AntiVirus\AVVirus.log Object is locked skipped
C:\Programmi\Norton AntiVirus\AVApp.log Object is locked skipped
C:\Programmi\Norton AntiVirus\AVError.log Object is locked skipped
C:\System Volume Information\_restore{98E4B9E7-230C-46A5-9F74-F93AEE790324}\RP4\change.log Object is locked skipped
D:\System Volume Information\_restore{98E4B9E7-230C-46A5-9F74-F93AEE790324}\RP4\change.log Object is locked skipped

Scan process completed.

[the hacker]

scarica kaspersky in prova 30 gg. aggiornalo fai la scansione elimini i file infetti!


ciao!a domani!

[Kat23]

Grazie!
A domani, spero con buone notizie!

[Kat23]

Originariamente inviato da the hacker
buona sera!scusa il ritardo!


C:\WINDOWS\system32\rundll32.exe

O4 - HKLM\..\Run: [zzzHPSETUP] E:\Setup.exe

Ciao
L'altro giorno mi avevi mandato questo messaggio, ma non ho capito cosa devo fare.
Non sono riuscita a installare Kaspersky perchè mi chiede di rimuovere tutti gli altri antivirus: l'ho fatto con Avira e AVG, ma non posso togliere Norton perchè era preinstallato sul PC e non ho il CD. Se lo rimuovo non posso più reinstallarlo e visto che ho pagato il rinnovo...
Ora il PC sembra pulito, ma non so come risolvere il problema di Norton, che a volte sembra essere a posto, a volte invece mi dà messaggi di errore. Help!

[Kat23]

Sperando nell'aiuto di qualcuno, aggiorno la situazione.

Credo di essere riuscita a ripulire il PC, almeno spero.
Rimane però il problema, già segnalato nel thread, legato a Norton: la protezione non è attiva e di conseguenza non riesco ad effettuare l'update, perchè mancano alcuni componenti. Seguendo le istruzioni dal sito della Norton, l'unica soluzione sembra quella di rimuovere Norton e reinstallarlo. Il fatto è che io non ho il CD di Norton perchè era già preinstallato quando ho acquistato il PC. Rimuovendolo ho paura di non riuscire più a installarlo (e visto che ho pagato il rinnovo, la cosa mi dà un po' fastidio).
Credo di aver recuperato la product key che dovrebbe servire per la reinstallazione senza CD. Non riesco neppure ad utlizzare la funzione di recovery di Acer perchè risulta "not available". Non mi è stato neanche dato il CD ripristino quando ho acquistato il PC: ho soltanto dei CD di back-up che il PC ha avviato automaticamente al momento dell'installazione... purtroppo non so come utlizzarli.

Grazie!

[Kat23]

Ho scoperto una cosa nuova sul mio PC, ma non so se è stata causata dal virus.
Ho visto che nelle directory dei programmi che non riuscivo più ad avviare (funzionalità Acer, Nokia Phone Browser, Yahoo Messenger) c'è una sottocartella BAK, in cui è archiviato il file .exe che avvia il programma (credo sia il file originario). Nella cartella del programma invece c'è un file con lo stesso nome e la stessa estensione ma non avvia il programma (anche l'icona non è quella del programma ma un'icona generica di Windows). Ho scoperto quindi che in molte altre cartelle di programmi si è verificata la stessa cosa: sottocartella BAK con file .exe originale e copia non funzionante del file .exe nella cartella principale. Le cartelle BAK sono state create tutte lo stesso giorno alla stessa ora (credo sia lo stesso giorno in cui è entrato il virus) e anche i file .exe "fasulli" sono stati creati lo stesso giorno pochi minuti prima della cartella BAK.
Cosa può essere successo?
Posso prendere i file .exe originali e ributtarli nella cartella principale programma? :master:

Aspetto notizie da qualcuno...

Grazie

[Kat23]

Aggiungo questo: tempo fa il PC non permetteva più il passaggio da un utente all'altro, ora funziona ma ho appena letto in un altro thread che può essere causato da un virus.
Il PC ora non riconosce più i comandi da tastiera con Fn (controllo volume ecc.): anche questo può essere causato dal virus?
Nei file di registro di Norton ho visto che automaticamente era stata cancellata una voce di registro relativa al file secpol.exe che era quello infetto. Ieri però ho visto che c'è un'altra voce di registro che rimanda a secpol.exe in un'altra "zona". Non so se devo cancellarla o meno. Anche perchè il file secpol non c'è più: l'ho eliminato tramite Avira.

Aiutatemi...

[Teoalessandro]

Ciao Paola raccolgo il tuo aiuto con piacere e sarò lieto di darti il mio aiuto nel possibile;procediamo con ordine . Il log di hijackthis ci permette di avere una panoramica sui processi in esecuzione e i servizi più altre varie componenti che non sto qui a spiegarti non per altro ma perchè altrimenti staremmo qui fino a domani mattina.I problemi evidenziati si fixano ossia si spunta la casellina bianca a fianco del processo evidenziato e cosi si elimina il file responsabile cliccando fix alla fine del programma.
fixa queste voci per iniziare
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
Ho visto che hai tanti programmi per la sicurezza.Hai 4 diversi tipi di antivirus, ti sconsiglio caldamente di averne più di uno per diverse ragioni
1- vanno in conflitto tra loro, nel momento in cui trovano un file infetto antagonizzano tra loro
2-rallentano tantissimo il tuo acer caricandosi tutti in memoria all'avvio
Inoltre vedo dal log di hijackthis che hai l'eseguibile del servizio 190 per vodafone
Per il momento disinstallalo. Successivamente posta u nuovo log di hijackthis e vediamo le cose come vanno. Per il tuo Norton non preoccuparti di disinstallarlo. Se conservio la ricevuta di acquisto dallo store non ti faranno problemi a mandarti il codice