Dialer sfonditalia e Dialer trojan

[MGNFBA72]

Buonasera.....

Era da tanto che non scrivevo...
Scherzi a parte buon forum a tutti !!!

Oltre al pc con cui scrivo solitamente ....ho un portatile che fa i capricci
in sostanza ripetutamente Simantec mi avvisa di trovare due file come in oggetto che cancella puntualmente, peccato pero' che dopo un po' (2-3 ore) compare lo stesso messaggio che non e' una replica ma una nuova azione presa...
Su internet popup

Ho caricato il report sistemscan e stampscreen delle azioni prese da Simantec.
Non riesco ad entrare in savefile

@ Deifobe
purtroppo dal report continuo a non capire bene i legami che si creano nei processi


http://s1.xzshare.com/1097418995-26_..._22_report.zip

http://s1.xzshare.com/241167931-Stampscreen.doc

[Deifobe]

Originariamente inviato da MGNFBA72
Buonasera.....

Era da tanto che non scrivevo...

stasera siamo spiritosi, ho capito.....


prima che diventi matta a scaricare il rapporto... (che poi non potrei piu' controllare... ) lo carichi su Freefilehosting?

[MGNFBA72]

Ciao deifobe

Purtroppo sul link che mi posti non riesco.. ACCESS DENIED !!
Penso perche' con il pc con cui ti scrivo o sono connesso in vpn oppure niente internet, sicuramente per via di configurazioni dell ' azienda bper cui lavoro tipo proxi etc etc
hai un altro link da darmi ?

Thanks

Ho provato qui :

http://www.megafileupload.com/en/fil...eport-zip.html

http://www.megafileupload.com/en/fil...creen-doc.html

[Deifobe]

ciao, lo scarico ora. li' vanno benissimo.. era dall'altro sito che non risucivo a scarcarlo..

[Deifobe]

l'ho controllato e ricontrollato... non ci vedo nulla.

quale browser usi?
riesci a formirmi i nomi ddei file trovati/eliminati?


ciao

[MGNFBA72]

Uso ie7
E stranamente ho nelle pagine internet molte finestre pubblicitarie che prima non avevo sai le pubblicita' in coda o in testa nelle pagine oppure " Hai vinto " o " Complimenti sei il 1.000 utente che.."
Poi utilizzando un proxi e la vpn per navigare dovrebbe essere tutto pulito no?

Ecco i file:

Dialer.Trojan,hjonsywn.exe,C:\Documents and Settings\Magnanfa\,Infected,25/03/2009 15.50.10
Dialer.Sfonditalia,A0013756.exe,C:\System Volume Information\_restore{718F84F3-2DBB-482E-96AD-27253164ECE0}\RP130\,Infected,26/03/2009 12.16.37
Dialer.Sfonditalia,hjonsywn.exe,C:\Documents and Settings\Magnanfa\,Infected,25/03/2009 15.50.50

Anche se nello stampscreen di Simantec c' e' la lista completa di quello che ha trovato/rimosso negli ultimi 7 giorni e comunque sono tutte attivita' malevole del 25 e 26 marzo.

Ed anche il log Malwarebytes con cui avevo effettuato scansione nel pomeriggio prima di chiederti aiuto :

Malwarebytes' Anti-Malware 1.34
Versione del database: 1900
Windows 5.1.2600 Service Pack 3

26/03/2009 13.51.54
mbam-log-2009-03-26 (13-51-54).txt

Tipo di scansione: Scansione rapida
Elementi scansionati: 101330
Tempo trascorso: 3 minute(s), 12 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Elementi dato del registro infetti: 3
Cartelle infette: 0
File infetti: 0

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
(Nessun elemento malevolo rilevato)

[Deifobe]

ciao Fa,

apri il blocco note e nella pagina copia/incolla:

@echo off
dir "C:\Documents and Settings\Magnanfa">C:\file.txt

salvalo sul desktop come:
nome: pippo.bat
tipo di file: tutti i file
chiudilo - eseguilo - posta il file C:\file.txt


Disattiva il ripristino configurazione di sistema: start -> pannello di controllo -> sistema -> ripristino configurazione di sistema -> spunta "disattiva ripristino configuraz. di sistema"
Riavvia il pc
Riattiva il ripristino configurazione di sistema: start -> pannello di controllo -> sistema -> ripristino configurazione di sistema -> togli la spunta a "disattiva ripristino configuraz. di sistema"
Crea un nuovo punto di ripristino


buona giornata..

[MGNFBA72]

Ciao dei

Allora......... e' un po' lunga ma devo premetterti quanto accaduto nei giorni scorsi....
Aziendalmente usavamo Lotus notes per la posta, ora abbiamo cambiato con Outlook 2003.
Queste operazioni le dovevano fare il nostro Help desk con assistenza remota e con la vpn attivata. Operazione che subito non e' andata a buon fine perche' con vpn attiva Teamviewer non aveva accesso ad internet. A questo punto abbiamo configurato " impostazioni lan" con server proxi e tutto e' andato bene, peccato pero' che sulle pagine internet ho avuto tutti quei cambiamenti che gia' ti ho descritto e si sono presentate le infezioni che ti ho elencato. Questa mattina (visto che non ho dormito bene) mi sono svegliato pensando di disabilitare il proxi e tornare a "rileva impostazioni automaticamente" e devo dirti che le pagine internet sono tornate linde senza il minimo banner in testa alle pagine o in coda o in qualunque angolo, quindi senza vpn e proxi attivi.



file txt :

Il volume nell'unit… C Š Preload
Numero di serie del volume: E4EC-1C69

Directory di C:\Documents and Settings\Magnanfa

25/03/2009 15.49 <DIR> .
25/03/2009 15.49 <DIR> ..
12/05/2008 10.16 <DIR> Application Data
08/04/2008 22.42 <DIR> Bluetooth Software
27/03/2009 09.03 <DIR> Desktop
27/03/2009 07.58 <DIR> Documenti
21/09/2008 13.54 <DIR> LocalLow
08/04/2008 22.43 <DIR> Menu Avvio
23/03/2009 10.21 <DIR> Preferiti
18/03/2009 08.41 <DIR> temp
0 File 0 byte
10 Directory 63.653.634.048 byte disponibili

[Deifobe]

Originariamente inviato da MGNFBA72
(visto che non ho dormito bene)

lo ricordero' per il prossimo problema.... qualcosa mi inventero'...
=====================
l'antivirus rileva ancora il Dialer.Sfonditalia? dal log postato non vedo nulla se non le cartelle.

[MGNFBA72]

Mi riferivo solo ad un mio stato di salute quando ho detto "non ho dormito bene".
Puntualizzo per non sembrare opportunista/scortese/ineducato....

Simantec oggi non mi ha dato nessun avviso, ma guarda la scansione di malwarebytes :
A proposito banner e pubblicita' risolti : dovevo disabilitare Proxi, perche' per via delle impostazioni del server aziendali sapevano di questo problema per quelli che come me non lavorano in azienda ma in giro per le varie regioni di competenza. In pratica ora le pagine internet sono linde ma.... dimmi tu ...perche' come anticipato Mbam ha trovato qualcosa che non capisco ed involontariamente ho rimosso, non capisco perche' non mi risulta da avvisi e dal centro di sicurezza pc di essere disabilitato.

Malwarebytes' Anti-Malware 1.35
Versione del database: 1905
Windows 5.1.2600 Service Pack 3

27/03/2009 13.24.28
mbam-log-2009-03-27 (13-24-28).txt

Tipo di scansione: Scansione rapida
Elementi scansionati: 101734
Tempo trascorso: 3 minute(s), 11 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Elementi dato del registro infetti: 1
Cartelle infette: 0
File infetti: 0

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
(Nessun elemento malevolo rilevato)