Trojan omsnlog.dill che ritorna

[allanon75]

Salve,
sul computer di un amico ho notato che quando vado a fare un controllo con Nod32 mi trova sempre lo stesso trojan:

C:\WINXPP\omsnlog.dll - Win32/TrojanClicker.Small.KJ cavallo di troia

Quando mi chiede cosa farne provo a metterlo in quarantena e mi dice che non è possibile. Allora gli dico di cancellarlo e ci riesce, ma appena riavvio il computer il trojan torna al suo posto, e naturalmente il Nod32 me lo rileva di nuovo.

Come posso fare?

Saluti e grazie.

[rales]

Posta il log file di Hjk

[allanon75]

Originariamente inviato da rales
Posta il log file di Hjk

VVoVe:
Eh???

[amvinfe]

non risolverebbe nulla visto che si tratta di un rootkit e come tale non vedibile da HJT .
Scarica
http://www.uploads.ejvindh.net/rustbfix.exe

Disconnesso da internet e con l'antivirus disabilitato esegui rustbfix.exe
Se viene trovata l'infezione ti verrà chiesto di riavviare, riavvia il pc.
Probabilmente il pc si riavvierà due volte una dopo l'altra, è normale.
Dopo il secondo riavvio portati in C:\Rustbfix all'interno della cartella
troverai un file chiamato pelog è un file di testo, postalo qui nel 3d.

Inoltre scarica
http://www.suspectfile.com/upload/fi...systemscan.exe
aprilo ed assicurati che tutte le opzioni siano spuntate, clicca su "Scan Now" al termine della scansione verrà rilasciato in C:\suspectfile il file report.txt.
Vai su www.mytempdir.com carica il file e nella tua prossima risposta scrivi l'URL per scaricarlo.

[allanon75]

Scarica
http://www.uploads.ejvindh.net/rustbfix.exe

Disconnesso da internet e con l'antivirus disabilitato esegui rustbfix.exe
Se viene trovata l'infezione ti verrà chiesto di riavviare, riavvia il pc.
Probabilmente il pc si riavvierà due volte una dopo l'altra, è normale.
Dopo il secondo riavvio portati in C:\Rustbfix all'interno della cartella
troverai un file chiamato pelog è un file di testo, postalo qui nel 3d.

Ho paura che qualcosa non abbia funzionato!! Questo è ciò che è scritto sul file:

************************* Rustock.b-fix -- By ejvindh *************************
15/01/2007 14.14.52,78

No Rustock.b-rootkits found

******************************* End of Logfile ********************************

Inoltre scarica
http://www.suspectfile.com/upload/f.../systemscan.exe
aprilo ed assicurati che tutte le opzioni siano spuntate, clicca su "Scan Now" al termine della scansione verrà rilasciato in C:\suspectfile il file report.txt.
Vai su www.mytempdir.com carica il file e nella tua prossima risposta scrivi l'URL per scaricarlo.

L'URL è questo:
http://www.mytempdir.com/1167991

Ti ringrazio per la gentilezza... resto in attesa

Saluti

[holifay]

Se non lo ha trovato è perchè sei all´inizio dell´infezione, meglio così. Scarica The Avenger ed estrai l´eseguibile sul desktop.

Seleziona con il mouse il contenuto del riquadro qui sotto e copialo negli appunti (premi CTRL+C).

Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\pol icies\Explorer\Run|1

file to delete:
C:\WINXPP\omsnlog.dll
C:\WINXPP\winsys.exe
C:\WINXPP\234182241230.exe
C:\WINXPP\omsnlog.Vdll
C:\WINXPP\SERVICES.EXE
D:\temp\apksga.exe
c:\winxpp\system32\svcjqdnv.exe
C:\WINXPP\SERVICES.DLL

- avvia The Avenger e seleziona Input Script Manually
- clicca sulla icona con la lente di ingrandimento
- si aprirà una nuova finestra con scritto View/edit script
- incolla quanto copiato sopra premendo Ctrl+V
- clicca Done
- clicca l´icona con il semaforo con la luce verde per avviare lo script
- rispondi Yes due volte

se il PC non si riavvia da solo, riavvialo manualmente. Al riavvio, posta il contenuto del file avenger.txt

Ciao

[allanon75]

Ciao holifay, ho un problema.

- avvia The Avenger e seleziona Input Script Manually
- clicca sulla icona con la lente di ingrandimento
- si aprirà una nuova finestra con scritto View/edit script
- incolla quanto copiato sopra premendo Ctrl+V
- clicca Done
- clicca l´icona con il semaforo con la luce verde per avviare lo script
- rispondi Yes due volte

Alla prima conferma mi da un messaggio di errore
"Syntax error in line --- does not appear to be a valid registry path. Line will be ignored."

Che devo fare?

[holifay]

Copia solo le scritte in neretto qui sotto:



Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\pol icies\Explorer\Run|1

files to delete:
C:\WINXPP\omsnlog.dll
C:\WINXPP\winsys.exe
C:\WINXPP\234182241230.exe
C:\WINXPP\omsnlog.Vdll
C:\WINXPP\SERVICES.EXE
D:\temp\apksga.exe
c:\winxpp\system32\svcjqdnv.exe
C:\WINXPP\SERVICES.DLL

[allanon75]

Mi sbaglio o sono uguali a quella di ieri?

[holifay]

ti sbagli, c´è una s in più

ma lo hai provato?