Trojan Autorun system32\csrcs.exe [Falsi positivi?]

[Shark_rb]

Ciao a tutti.Ho fatto una scansione con malwarebytes e mi ha segnalato 5 infezioni.Ieri ho formattato il pc e mi sembra strano avere infezioni visto che l'ho utilizzato pochissimo.Avg non mi segnala niente.Posto il log:


Malwarebytes' Anti-Malware 1.44
Versione del database: 3609
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

21/01/2010 18.25.51
mbam-log-2010-01-21 (18-25-43).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 128411
Tempo trascorso: 11 minute(s), 39 second(s)

Processi delle memoria infetti: 1
Moduli della memoria infetti: 0
Chiavi di registro infette: 1
Valori di registro infetti: 1
Elementi dato del registro infetti: 1
Cartelle infette: 0
File infetti: 1

Processi delle memoria infetti:
C:\WINDOWS\system32\csrcs.exe (Trojan.Agent) -> No action taken.

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.

Valori di registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run\csrcs (Trojan.Agent) -> No action taken.

Elementi dato del registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (Explorer.exe csrcs.exe) Good: (Explorer.exe) -> No action taken.

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\WINDOWS\system32\csrcs.exe (Trojan.Agent) -> No action taken.


Qualcuno può darmi una mano?

[Deifobe]

guarda qui:
http://www.symantec.com/business/sec...jsp?asid=23239
http://vil.nai.com/vil/content/v_153003.htm

rimuovi ed esegui anche una scansione con Bitdefender

comunque, quando hai dei dubbi puoi analizzare i file su Virustotal, e comincia a farti 1 idea

ciao

[Shark_rb]

Ok.Allora rimuovo tutto.Ma per fae una scansione con Bitdefender devo disattivare qualcosa?Com'è la procedura?

[Shark_rb]

intanto questo è il log:


Malwarebytes' Anti-Malware 1.44
Versione del database: 3614
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

22/01/2010 13.27.13
mbam-log-2010-01-22 (13-27-13).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 129689
Tempo trascorso: 12 minute(s), 17 second(s)

Processi delle memoria infetti: 1
Moduli della memoria infetti: 0
Chiavi di registro infette: 1
Valori di registro infetti: 1
Elementi dato del registro infetti: 1
Cartelle infette: 0
File infetti: 1

Processi delle memoria infetti:
C:\WINDOWS\system32\csrcs.exe (Trojan.Agent) -> Unloaded process successfully.

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> Quarantined and deleted successfully.

Valori di registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run\csrcs (Trojan.Agent) -> Quarantined and deleted successfully.

Elementi dato del registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (Explorer.exe csrcs.exe) Good: (Explorer.exe) -> Quarantined and deleted successfully.

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\WINDOWS\system32\csrcs.exe (Trojan.Agent) -> Delete on reboot.


I 4(e non 5) file sono in quarantena.Devo tenerli lì oppure posso eliminarli?

[Deifobe]

mah, riguardo la quarantena è indifferente.. puoi ripulire o lasciarli li'..

riguardo la scansione, si, disabilitalo ed eseguila.
poi ricordati di riattivarlo, pero'..

[Shark_rb]

Grazie

[Shark_rb]

Qual è la procedura da utilizzare per evitare che la chiavetta installi il virus appena inserita nella porta usb?Si deve intervenire sul registro?

[Deifobe]

prova a tenere premuto il tasto shift mentre la colleghi.

[Deifobe]

Shark_rb, trattandosi alla fine dello stesso malware, ho unito le discussioni.

[Shark_rb]

Deifobe ma il malware che ho cancellato precedentemente ha a che fare con la pen drive??La mia era una domanda generale.Sapevo che c'era una procedura per non far partire l'autorun ma non ricordo quale sia.