Your computer is infected!

[Jakeland]

Salve a tutti. Ho un problemino, ho un pc aziendale che si è preso un malware che mi da il messaggio in oggeto. Non riesco a rimuoverlo. Ho letto una discussione su questo nel vostro forum ma non riesco lo stesso a rimuoverlo. Il fatto è che questo simpaticone mi impedisce anche di lanciare HijackThis.
Non posso fare nulla, superantispyware non si avvia, spybot-Search&destroy si installa ma poi al momento del lancio non parte. L'antivirus (nod32) che c'era installato è sparito!!
Sono riuscito solo a lanciare lo strumento di rimozione malware di windows in modalità provvisoria che, mi dice di aver rimosso il malware, ma quando poi lancio la modalità normale, torna tutto come prima.
Mi rimane solo l'altrenativa di formattare?
Il PC ha installato windows 2000 Pro.
SPero possiate aiutarmi, grazie

[Deifobe]

ciao Jakeland.

scarica SystemScan
disconnetti il pc da internet => esegui systemscan => clicca su "Scan Now". Finita la scansione,

carica il rapporto che trovi sul desktop su Savefile e posta il link ottenuto.

[Jakeland]

Eccoti il link:

http://www.savefile.com/files/1752748

spero di aver fatto correttamente!


Grazie per l'aiuto

[Deifobe]

scarica Avenger, eseguilo e nella finestra copia/incolla tutta la citazione:

files to delete:
C:\WINNT\karina.dat
C:\WINNT\buritos.exe
C:\WINNT\system32\karina.dat
C:\WINNT\system32\buritos.exe
C:\WINNT\system32\winivstr.exe
C:\WINNT\system32\braviax.exe

registry values to replace with dummy:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | braviax

Spunta "Automatically disable any rootkits found" e clicca su "execute".
Il pc dovrebbe riavviarsi da solo, altrimenti riavvialo tu. Posta il report rilasciato

Posta un nuovo systemscan

Puoi scaricare programmi ed eseguire scansioni?

[Jakeland]

Mi metto subito al lavoro.
Per i programmi, posso scaricarli, anche con altri PC, ma il problema è che finché c'è sto maledetto malware non riesco a fare granché.
Sono riuscito ad installare Ad-ware SE e ho fatto una scansione online con panda anti virus.
Eseguo le tue istruzioni e ti faccio sapere

[Jakeland]

Questo è il report di avenger:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows 2000

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "C:\WINNT\karina.dat" deleted successfully.
File "C:\WINNT\buritos.exe" deleted successfully.
File "C:\WINNT\system32\karina.dat" deleted successfully.
File "C:\WINNT\system32\buritos.exe" deleted successfully.
File "C:\WINNT\system32\winivstr.exe" deleted successfully.

Error: file "C:\WINNT\system32\braviax.exe" not found!
Deletion of file "C:\WINNT\system32\braviax.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Registry value "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows|AppInit_DLLs" replaced with dummy successfully.
Registry value "HKLM\Software\Microsoft\Windows\CurrentVersion\Ru n|braviax" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

P.S: Il virus ancora resiste, continua a darmi lo stesso messaggio.

[Deifobe]

ok
Scarica, installa e aggiorna malwarebytes, esegui una scansione completa (seleziona l'opzione) e posta il rapporto.
Per ora non eliminare nulla.

[Jakeland]

Ciao Deifobe, ecco il report che mi hai chiesto:

Malwarebytes' Anti-Malware 1.25
Versione del database: 1089
Windows 5.0.2195 Service Pack 4

8.29.40 28/08/2008
mbam-log-08-28-2008 (08-29-20).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 113561
Tempo trascorso: 27 minute(s), 26 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 1
Elementi dato del registro infetti: 2
Cartelle infette: 0
File infetti: 12

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\buritos (Trojan.Agent) -> No action taken.

Elementi dato del registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.FakeAlert) -> Data: c:\winnt\system32\karina.dat -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (Trojan.FakeAlert) -> Data: system32\karina.dat -> No action taken.

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\KB367I7S\Install[1].exe (Rogue.Installer) -> No action taken.
C:\Documents and Settings\Administrator.VALPHARMA\Impostazioni locali\Temp\temp.fr3B73 (Trojan.FakeAlert) -> No action taken.
C:\Documents and Settings\Administrator.VALPHARMA\Impostazioni locali\Temp\temp.fr55CD (Trojan.FakeAlert) -> No action taken.
C:\Documents and Settings\Administrator.VALPHARMA\Impostazioni locali\Temporary Internet Files\Content.IE5\A1H3279G\Install[1].exe (Rogue.Installer) -> No action taken.
C:\Documents and Settings\gsensoli\Impostazioni locali\Temporary Internet Files\Content.IE5\PJWH26QX\Install[1].exe (Rogue.Installer) -> No action taken.
C:\Documents and Settings\gsensoli\Impostazioni locali\Temporary Internet Files\Content.IE5\PJWH26QX\Install[2].exe (Rogue.Installer) -> No action taken.
C:\WINNT\karina.dat (Trojan.FakeAlert) -> No action taken.
C:\WINNT\system32\karina.dat (Trojan.FakeAlert) -> No action taken.
C:\WINNT\system32\buritos.exe (Trojan.Agent) -> No action taken.
C:\WINNT\system32\drivers\beep.sys (Fake.Beep.Sys) -> No action taken.
C:\WINNT\system32\dllcache\beep.sys (Fake.Beep.Sys) -> No action taken.
C:\WINNT\buritos.exe (Trojan.FakeAlert) -> No action taken.



Non ho ancora fatto nulla, aspetto tue istruzioni.

[Deifobe]

ok.
riesegui malwarebytes e rimuovi i file infetti trovati.

Poi, fai una scansione on-line con Kaspersky:
clicca su Kaspersky Online Scanner => Accept => (partirà l'update)
=> seleziona "my computer" (a sinistra) => al termine della scansione clicca su "View Scan Report"
=> "Save Report As" => salva e posta il rapporto.

[Jakeland]

Ancora c'è qualcosa: Non ho pensato di disattivare la connessione al disco del server, G: si riferisce al server non al PC. .....Ho anche il server infetto, BENE!!



--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7 REPORT
Thursday, August 28, 2008
Operating System: Microsoft Windows 2000 Professional Service Pack 4 (build 2195)
Kaspersky Online Scanner 7 version: 7.0.25.0
Program database last update: Thursday, August 28, 2008 13:29:07
Records in database: 1156209
--------------------------------------------------------------------------------

Scan settings:
Scan using the following database: extended
Scan archives: yes
Scan mail databases: yes

Scan area - My Computer:
A:\
C:\
D:\
G:\

Scan statistics:
Files scanned: 74588
Threat name: 2
Infected objects: 5
Suspicious objects: 0
Duration of the scan: 00:59:54


File name / Threat name / Threats count
C:\Documents and Settings\gsensoli\Impostazioni locali\Temporary Internet Files\Content.IE5\PJWH26QX\index[1].cgi Infected: Trojan-Downloader.JS.Agent.ciw 1
G:\Comune\Certificati analisi Fornitore Alimentari\Bioflavonoidi estr.sec. 40%.zip Infected: Backdoor.Win32.Rbot.frg 1
G:\Comune\Cespiti\archivio dati zip\Dati_1.zip Infected: Backdoor.Win32.Rbot.frg 1
G:\Comune\Cespiti\archivio dati zip\Dati_2.zip Infected: Backdoor.Win32.Rbot.frg 1
G:\Comune\FOTO\R&D\FABIO\Mebeverina\prova 16 c NN\Mebeverina 16 c.NN 20X.zip Infected: Backdoor.Win32.Rbot.frg 1

The selected area was scanned.