vb-omz...come lo elimino?

[proximo]

Ciao ragazzi.
Sono un paio di giorni che all'avvio Avast mi trova un malware, che sarebbe un dropper (infatti ogni volta caccio via l'eseguibile che poi ritrovo all'avvio successivo).
Il nome è VB-OMZ [drp].
Ho cercato qualche informazione se come elimiarlo...ma niente. Trovo solo cose (pochissime) in inglese e in slang, in sostanza non ci capisco na mazza.
Qualcuno potrebbe spiegarmi come fare per eliminarlo, o perlomeno dove pescarlo?
Grazie

[Nobody33]

Salve proximo

brutta bestiaccia ti sei trovato.

scarica e aggiorna questo (non lo avviare quando sei connesso..aspetta, scaricati anche i seguenti!!! importante!!!):

malwarebytes

questo qui:

http://spyware-terminator.softonic.it/

ed infine questo:

http://www.softonic.it/s/hijackthis (il primo) e posta il log, dopodiche hai eseguito i precedenti)

una volta scaricato tutt'è tre ed aggiornato i primi due, sconnettiti da internet.
poi vai in modalità provvisoria , ed esegui il primo ed il secondo....
rivvia in modalità normale, ed esegui il terzo..dopo posta il log ...

...infine creati un punto di ripristino nuovo e cancella quelli vecchi...

Saluti

[proximo]

Fatto.
Dunque, ho fatto el cose nell'ordine che mi dicevi (grazie tra l'altro).
Al riavvio in modalità normale però avast mi segnala sempre la presenza di questo setupv.exe, che arriva da quel malware bastardo.
Comunque ho fatto il log e lo posto:



Logfile of Trend Micro HijackThis v2.0.3 (BETA)
Scan saved at 2.42.41, on 03/03/2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe
C:\Program Files\Acer Arcade Live\Acer PlayMovie\PMVService.exe
C:\Program Files\Acer Arcade Live\Acer HomeMedia Connect\Kernel\DMS\PCMMediaSharing.exe
C:\Windows\System32\nvraidservice.exe
C:\Windows\System32\M-AudioTaskBarIcon.exe
C:\Acer\Empowering Technology\eDataSecurity\x86\eDSLoader.exe
C:\Windows\system32\taskhost.exe
C:\Program Files\Adobe\Reader 9.0\Reader\reader_sl.exe
C:\Acer\Empowering Technology\SysMonitor.exe
C:\Program Files\Microsoft IntelliPoint\ipoint.exe
C:\Program Files\Microsoft IntelliType Pro\itype.exe
C:\Program Files\Common Files\ArcSoft\Connection Service\Bin\ACDaemon.exe
C:\Program Files\Common Files\ArcSoft\Connection Service\Bin\ArcCon.ac
C:\Program Files\Microsoft IntelliType Pro\dpupdchk.exe
C:\Program Files\Common Files\Research In Motion\Auto Update\RIMAutoUpdate.exe
C:\Program Files\Spyware Terminator\SpywareTerminatorShield.Exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNo tifier.exe
C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe
C:\Program Files\Spyware Terminator\SpywareTerminatorUpdate.exe
C:\Program Files\MagicDisc\MagicDisc.exe
C:\Program Files\Stardock\ObjectDock\ObjectDock.exe
C:\Users\Sandro\AppData\Roaming\Microsoft\Windows\ Start Menu\Programs\Startup\updater.exe
C:\Program Files\IncrediMail\Bin\IncMail.exe
C:\Windows\system32\taskhost.exe
C:\Program Files\IncrediMail\Bin\ImApp.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
C:\Program Files\TrendMicro\HiJackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://it.intl.acer.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://it.intl.acer.yahoo.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live ID - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.5.4723.1820\s wg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Acer\Empowering Technology\eDataSecurity\x86\eDStoolbar.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [RtHDVCpl] C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe
O4 - HKLM\..\Run: [PlayMovie] "C:\Program Files\Acer Arcade Live\Acer PlayMovie\PMVService.exe"
O4 - HKLM\..\Run: [PCMMediaSharing] C:\Program Files\Acer Arcade Live\Acer HomeMedia Connect\Kernel\DMS\PCMMediaSharing.exe
O4 - HKLM\..\Run: [NVRaidService] C:\Windows\system32\nvraidservice.exe
O4 - HKLM\..\Run: [M-Audio Taskbar Icon] C:\Windows\system32\M-AudioTaskBarIcon.exe
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\x86\eDSloader.exe
O4 - HKLM\..\Run: [CanonMyPrinter] C:\Program Files\Canon\MyPrinter\BJMyPrt.exe /logon
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Common Files\Adobe\CS4ServiceManager\CS4ServiceManager.ex e" -launchedbylogin
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [Acer Empowering Technology Monitor] C:\Acer\Empowering Technology\SysMonitor.exe
O4 - HKLM\..\Run: [IntelliPoint] "C:\Program Files\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [itype] "C:\Program Files\Microsoft IntelliType Pro\itype.exe"
O4 - HKLM\..\Run: [ArcSoft Connection Service] C:\Program Files\Common Files\ArcSoft\Connection Service\Bin\ACDaemon.exe
O4 - HKLM\..\Run: [BlackBerryAutoUpdate] C:\Program Files\Common Files\Research In Motion\Auto Update\RIMAutoUpdate.exe /background
O4 - HKLM\..\Run: [RoxWatchTray] "C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxWatchTray9.exe"
O4 - HKLM\..\Run: [TrayServer] C:\Program Files\MAGIX\Video_deluxe_16_Plus_Download-Version\TrayServer.exe
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Program Files\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKCU\..\Run: [Google Update] "C:\Users\Sandro\AppData\Local\Google\Update\Googl eUpdate.exe" /c
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNo tifier.exe"
O4 - HKCU\..\Run: [ISUSPM] "C:\Program Files\Common Files\InstallShield\UpdateService\ISUSPM.exe" -scheduler
O4 - HKCU\..\Run: [SpywareTerminatorUpdate] "C:\Program Files\Spyware Terminator\SpywareTerminatorUpdate.exe"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO DI RETE')
O4 - Startup: MagicDisc.lnk = C:\Program Files\MagicDisc\MagicDisc.exe
O4 - Startup: Stardock ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe
O4 - Startup: updater.exe
O4 - Global Startup: ASETRES.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MIF5BA~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Program Files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6 FF0C6D236BF8.dll/cmsidewiki.html
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MIF5BA~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MIF5BA~1\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MIF5BA~1\Office12\REFIEBAR.DLL
O13 - Gopher Prefix:
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft Inc. - C:\Program Files\Common Files\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: Nalpeiron Licensing Service (ASTSRV) - Nalpeiron Ltd. - C:\Windows\system32\ASTSRV.EXE
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: FABS - Helping agent for MAGIX media database (Fabs) - MAGIX AG - C:\Program Files\Common Files\MAGIX Services\Database\bin\FABS.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Program Files\Common Files\MAGIX Services\Database\bin\fbserver.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Servizio di Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NIHardwareService - Native Instruments GmbH - C:\Program Files\Common Files\Native Instruments\Hardware\NIHardwareService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: Roxio UPnP Renderer 9 - Sonic Solutions - C:\Program Files\Roxio\Digital Home 9\RoxioUPnPRenderer9.exe
O23 - Service: Roxio Upnp Server 9 - Sonic Solutions - C:\Program Files\Roxio\Digital Home 9\RoxioUpnpService9.exe
O23 - Service: LiveShare P2P Server 9 (RoxLiveShare9) - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxLiveShare9.exe
O23 - Service: RoxMediaDB9 - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe
O23 - Service: Roxio Hard Drive Watcher 9 (RoxWatch9) - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxWatch9.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies, Inc. - C:\Program Files\WinPcap\rpcapd.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Program Files\Spyware Terminator\sp_rsser.exe
O23 - Service: Washer Security Access (wwSecSvc) - Webroot Software, Inc. - C:\Windows\system32\wwSecure.exe

--
End of file - 11771 bytes



Spero che tu ci capisca qualcosa.
Non ho fatto il punto di ripristino perchè ho notato che sto affare c'è ancora, e ho pensato che sarebbe il caso di farlo quando non c'è più.
Resto in attesa.
Ciao.

[darksoullight88]

ciao fixa queste voci su hijackthis

O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO DI RETE')

poi controlla su virustotal.com questi file

updater.exe
ASETRES.EXE

e pota qui il report che ottieni.

[Nobody33]

ciao

strano che dopo tutte ste scansioni è ancora li...vedi in che cartella te lo segnala, e lo elimini manualmente

aspetta nel eliminare i file

O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO DI RETE')

O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO LOCALE')

non è detto che siano virus..di solito sono file che fanno parte della microsoft!!

mentre segui il consiglio suggerito per quanto riguarda i restanti quattro

saluti

[proximo]

Dunque, ho fixato le due voci che mi consigliavi.
Sono poi andato sul sito che mi dicevate, ma non ho trovato il file da uplodare, perchè nella stringa dove HJT trova

updater.exe
ASETRES.exe

non mi mostra il percorso, quindi non saprei dove andare a pescarli per uplodarli.
Al riavvio avast continua a segnalarmelo.

Per elimiare manualmente il virus non so come si fa, immagino che vada a infilarsi dentro il system32. Per completezza vi posto quello che mi scrive avast quando avvio:


Nome del file: c:\users\sandro\appdata\local\temp\setupv.exe\[UPX]

Nome Malware: win32:VB-OMZ [drp]

tipo di Malware: Dropper

Versione VPS: 100303-0, 03/03/2010


Nella cartella appdata\local\temp\ quel "setupv.exe" l'avrò eliminato 30 volte ormai, ma ogni riavvio si ripresenta, perchè il virus è un dropper (e se ho capito bene si rigenera il bastardo).
Grazie mille...resto in attesa.

[Nobody33]

...buona sera

..allora, prova a fare questo: vai a pescare la bestiaccia nella cartella temp, e da .exe lo rinomini .old; se non te lo fa fare, dopo .exe ci aggiungi .old, tipo cosi bastardo.exe.old...dopodiché si dovrebbe eliminare con facilità.

Per quanto riguarda la voce

ASETRES.EXE, se hai un acer, appartiene ad un programma di esso ...almeno

mentre

updater.exe: prova a fare una ricerca manuale sulla directory per vedere se li trovi (incluso le cartelle e file nascosti..devi renderli visibili prima nella funzione cartella in pannello di controllo).

i file

O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO DI RETE')

O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVIZIO LOCALE') ,

sottoponili ad una scansione su virustotal.com, come anche i primi due se li trovi...
dopo creati un punto di ripristino ed elimina quelli vecchi. riavvia e vedi com'è..

saluti...

p.s.: puoi anche scaricarti
combofix e fagli fare una scansione, però sarebbe utile se posti il log, perché delle volte elimina file che non dovrebbe.

[proximo]

Intanto grazie mille:

Dunque, nella cartella temp non ho nessun problema ad eliminare il file, anzi, avast me lo sposta nel cestino ogni volta che riavvia, solo che ogni volta che riaccendo si ripresenta. Questo setupv.exe non è un problema cancellarlo, iul problema è che viene generato da qualcosa che non so dov'è, e nemmeno in che percorso sta. Se trovo il tipo che ha fatto 'sto virus gli do dei calci in faccia.

ASETRES.EXE: Ho un acer, quindi in un certo qual modo credo sia normale quel processo.

Per quanto riguarda updater.exe...su quale cartella dovrei fare la ricerca? Perchè se lo faccio sul disco me ne escono alcuni, ognuno di un programma diverso (tipo google anche).


l'mctadmin l'ho sottoposto su virustotal e mi ha dato questo risultato:
http://www.virustotal.com/it/analisi...22e-1267637980
Sembra non essere niente di che (a me almeno, che però non ci capisco una mazza).

In sostanza l'eseguibile lo caccio via tranquillamente, ma non riesco a capire dov'è il bastardo che me lo rigenera ogni volta.

[Nobody33]

ciao

scaricati combofix e lancia la scansione..dopo posta il log, perché delle volte elimina file che non dovrebbe...cmq tranquillo, semmai si possono ripristinare dalla quarantena, quindi fagli fare il suo lavoro.

il file sottoposto a scansione su virustotal è pulito

certo, di updater ce ne sono vari. Ma penso che ce ne uno o pochi che si chiamano solo updater.exe; gli altri si dovrebbero chiamare tipo avastupdater.exe (esempio campato per l'aria, è solo per dare l'idea)..se ne trovi diversi con lo stesso nome (updater.exe) sottoponili tutti alla scansione sul sito virustotal.com. è semplice se sulla destra invece del trattino ti spunta una voce rossa, vuol dire che quel antivirus te lo segnala come virus. aspetta nel eliminare...delle volte si tratta di falsi dispositivi.

ah...dimenticavo: hai provato con malwarebytes?

saluti

[proximo]

Si, ho già provato con malwarebytes, mi ha trovato alcune cosette minori, le ho eliminate e non ho notato cambiamenti.
Mi sapresti indicare più o meno la cartella in cu icercare questo updater.exe o è meglio che gli faccio fare un giro su tutto il disco c:\?

Adesso provo combofix...poi posto il log