14 risposte a questa discussione

[martuffo]

Per esigenze personali mi sono realizzato una rete domestica composta da due PC e un notebook.
Un PC mi funge da server ed ha due HD, entrambi partizionati: tutti i programmi sono installati in C.
Nella seconda partizione ho creato tre cartelle per download vari ;
nella terza vi sono delle cartelle per FTP e nella quarta partizione un archivio.
Per effettuare una risistemazione ho proceduto ad una reinstallazione dei programmi e risistemazione degli HD.
Bene...si verifica che in alcune cartelle (in C :"Documenti", e in altre cartelle delle altre partizioni, condivise con gli altri due pc,) mi ritrovo sempre i due files citati nel titolo.
Li ho cancellati da tutte le cartelle ma dopo un riavvio o dopo l'avvio di qualche programma o servizio (non riesco a capire quale) me li ritrovo nuovamente e costantemente nelle medesime cartelle da dove li ho cancellati,... E SOLO IN QUELLE!
Ho effettuato verifiche spyware, adware, antivirus...niente da fare :
Io li cancello..... e dopo una decina di minuti automaticamente sono nuovamenbte al loro posto!
Ovviamente mi son guardato bene dal cliccare sul file setup.exe.
Apparentemente entrambi non mi creano problemi....ma perchè si ricreano? E' possibile che uno dei vari programmi installati li ricrei autonomamente ?
A cosa servirebbero? O cos'altro?
Non so più cosa fare....forse, per risolvere questo problema, non mi resta che la formattazione.
Grazie anticipatamente a chi può aiutarmi a capire e -se possibile- a risolvere questo enigma.

[netquik]

Ciao martuffo

mmm... non sono sicuro.. ma potrebbe essere anche una variante worm


è importante che tu esegua una scansione antivirus usando un prodotto aggiornato per escludere ogni dubbio

posta anche un log di haijackthis...


prova ad usare Trend MIcro Housecall .... antivirus online
http://housecall.trendmicro.com/


poi prova anche ad in viare il file setup.exe a http://virusscan.jotti.org/
per una scansione in tempo reale su vari motori

facci sapere

[martuffo]

Grazie per la risposta immediata.
Intanto effettuo subito la scansione con il TrendMicro HouseCall....ti farà sapere.

[martuffo]

FATTE BEN 4 SCANSIONI ONLINE CON TRENDMICRO: ESITO NEGATIVO !!
Ha rilevato 12 infezioni fra worm, spyware e adware...tutte eliminate.
Effetttuato rilevamento nelle cartelle: il file setup.exe non esisteva più ma riscontravo il solo file autorun.inf.
Ho provveduto a cancellarlo manulmente, poi ho fatto una pulizia completa con CCleaner ma.....verifico nuovamente le cartelle.... e vi ritrovo in tutte i files setup.exe e autorun.inf

Allego, pertanto, il log richiestomi.

Logfile of HijackThis v1.99.1
Scan saved at 16.42.25, on 10/09/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\GSICON.EXE
C:\WINDOWS\system32\dslagent.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\MSN Messenger\MsnMsgr.Exe
C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
C:\Programmi\Kerio\MailServer\mailctrl.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\Diskeeper Corporation\Diskeeper\DkService.exe
E:\WEB root\EasyPHP.exe
C:\Programmi\BWMeter\BWMeter.exe
C:\Programmi\Dynamic DNS 5\Dynamic_DNS_5.exe
E:\WEBROO~1\Apache\apache.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe
E:\WEBROO~1\MySql\bin\mysqld.exe
E:\WEBROO~1\Apache\apache.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\r_server.exe
C:\Programmi\RhinoSoft.com\Serv-U\ServUDaemon.exe
C:\PROGRA~2\UpsPilot\Winpower.exe
C:\Program Files\UpsPilot\jre\bin\javaw.exe
C:\Programmi\Kerio\MailServer\mailserver.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\DAP\DAP.EXE
C:\HJA\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.virgilio.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programmi\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Programmi\Diskeeper Corporation\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Ad-Aware] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Aware.exe" +c
O4 - HKLM\..\RunServices: [Winpower] C:\Program Files\UpsPilot\Winpower.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [MailCtrl] "C:\Programmi\Kerio\MailServer\mailctrl.exe"
O4 - Startup: BWMeter.lnk = C:\Programmi\BWMeter\BWMeter.exe
O4 - Startup: Dynamic DNS 5.0.13.lnk = ?
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: EasyPHP.lnk = E:\WEB root\EasyPHP.exe
O8 - Extra context menu item: &Clean Traces - C:\Programmi\DAP\Privacy Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - C:\Programmi\DAP\dapextie.htm
O8 - Extra context menu item: &Google Search - res://c:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\programmi\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\programmi\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Download &all with DAP - C:\Programmi\DAP\dapextie2.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Similar Pages - res://c:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\programmi\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitd...can8/oscan8.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A58EC2BE-88CD-4F9E-BBFC-245556BB57A4}: NameServer = 62.211.69.150 212.48.4.15
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Diskeeper - Diskeeper Corporation - C:\Programmi\Diskeeper Corporation\Diskeeper\DkService.exe
O23 - Service: Kerio MailServer (KerioMailServer) - Kerio Technologies - C:\Programmi\Kerio\MailServer\mailserver.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Remote Administrator Service (r_server) - Unknown owner - C:\WINDOWS\system32\r_server.exe" /service (file missing)
O23 - Service: Serv-U FTP Server (Serv-U) - Rhino Software, Inc. +1(262) 560-9627 - C:\Programmi\RhinoSoft.com\Serv-U\ServUDaemon.exe
O23 - Service: Winpower - ZeroG Software - C:\PROGRA~2\UpsPilot\Winpower.exe
O23 - Service: Winpowermanager - ZeroG Software - C:\PROGRA~2\UpsPilot\manager.exe
O23 - Service: Winpowermonitor - ZeroG Software - C:\PROGRA~2\UpsPilot\monitor.exe
O23 - Service: WinpowerRMI - ZeroG Software - C:\PROGRA~2\UpsPilot\wpRMI.exe

Resto in attesa di una Vs verifica. Grazie sempre.

[matto]

Per esigenze personali mi sono realizzato una rete domestica composta da due PC e un notebook.
Un PC  mi funge da server ed ha due HD, entrambi partizionati: tutti i programmi sono installati in C.
Nella seconda partizione ho creato tre cartelle per download vari    ;
nella terza  vi sono delle cartelle per FTP  e nella quarta partizione un archivio.
Per effettuare una risistemazione ho proceduto ad una reinstallazione dei programmi e risistemazione degli HD.
Bene...si verifica che in alcune cartelle (in C :"Documenti", e in altre cartelle delle altre partizioni, condivise con gli altri due pc,)  mi ritrovo sempre i due files citati nel titolo. 
Li ho cancellati da tutte le cartelle ma dopo un riavvio o dopo l'avvio di qualche programma o servizio (non riesco a capire quale) me li ritrovo nuovamente e costantemente nelle medesime cartelle da dove li ho cancellati,... E SOLO IN QUELLE!
Ho effettuato verifiche spyware, adware, antivirus...niente da fare   :
Io li cancello..... e dopo una decina di minuti automaticamente sono nuovamenbte al loro posto!
Ovviamente mi son guardato bene dal cliccare sul file setup.exe.
Apparentemente entrambi non mi creano problemi....ma perchè si ricreano? E' possibile che uno dei vari programmi installati  li ricrei autonomamente ?
A cosa servirebbero? O cos'altro?
Non so più cosa fare....forse, per risolvere questo problema, non  mi resta che la formattazione.
  Grazie anticipatamente a chi può aiutarmi a capire e -se possibile-  a risolvere questo enigma.

Se posso darti un consoglio ti dico di formattare perche' di questo problema non verrai mai a capo , infatti il virus che hai tu ha danneggiato gia' vari file di sistema molto provabilmente per gli antivirus scadenti usati in precedenza, il mio consiglio e di salvarti le cose importanti su dei comodi CD-R o DVD e formattare poi fai come ti pare piu' opportuno ciao.



BY SITE ADMIN

http://crazyst.forum...?mforum=crazyst

http://www.matto.netsons.org/

[netquik]

Ciao

nel log non vedo voci nocive... mmm

l'analisi su jotti del file setup.exe?

inoltre... senza aprirlo... puoi accedere alle proprietà e vedere se carpisci altre info sul file...

[martuffo]

Allora l'analisi su jotti è la seguente:
Service load: 0% 100%

File: setup.exe
Status: INFECTED/MALWARE
MD5 36d939eca44b270c0df3e57faa815c3a
Packers detected: UPX
Scanner results
AntiVir Found Heuristic/Malware (probable variant)
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found Trojan.Spambot
F-Prot Antivirus Found W32/Methodbod.gen
Fortinet Found nothing
Kaspersky Anti-Virus Found Trojan-Proxy.Win32.Horst.ip
NOD32 Found nothing
Norman Virus Control Found nothing
UNA Found nothing
VirusBuster Found Worm.Medbot.Gen.6
VBA32 Found nothing

Praticamente, per quel. che ci capisco, alcuni antivirus hanno dato una loro personale classificazione...e moh ?
Insomma che cos'è?

In relazione all'ultima domanda: sono andato in proprietà ma non evinco nulla se non che è 46Kb..null'altro.
Ora cosa mi consigli? che devo fare? Grazie comunque per la tua disponibilità.

[netquik]

mmm...

probabilmente.. come sospettavo... si tratta di una nuova variante di un codice malware che molti antivirus non rilevano ancora...

prima di tutto
se hai installato xp da poco.. lo hai anche aggiornato?
questo tipo di infezioni spesso sfruttano vulnerabilità di WIndows corrette...
è importante che tu faccia anche un aggioranmento del sistema su WU



Dato che KAspersky sembra riconoscerlo io proverei ad usare il loro scanner online

http://www.kaspersky.com/virusscanner

non trovo comunque la descrizione della variante precisa sul loro sito

inoltre

posta un altro log di hijackthis
prima di farlo però rinomina hijackthis.exe in testavir.exe

purtroppo dovrai avere pazienza...
la variante sembra troppo nuova ed è difficle trovare info

ricordati di attivare possibilmente un firewall





infine mi incuriosisce
C:\WINDOWS\system32\r_server.exe

dovrebbe essere relativo a http://www.radmin.com/
lo hai installato tu?

prova a scansionare anche questo file come prima

[daccio]

Per esigenze personali mi sono realizzato una rete domestica composta da due PC e un notebook.
Un PC mi funge da server ed ha due HD, entrambi partizionati: tutti i programmi sono installati in C.
Nella seconda partizione ho creato tre cartelle per download vari ;
nella terza vi sono delle cartelle per FTP e nella quarta partizione un archivio.
Per effettuare una risistemazione ho proceduto ad una reinstallazione dei programmi e risistemazione degli HD.
Bene...si verifica che in alcune cartelle (in C :"Documenti", e in altre cartelle delle altre partizioni, condivise con gli altri due pc,) mi ritrovo sempre i due files citati nel titolo.
Li ho cancellati da tutte le cartelle ma dopo un riavvio o dopo l'avvio di qualche programma o servizio (non riesco a capire quale) me li ritrovo nuovamente e costantemente nelle medesime cartelle da dove li ho cancellati,... E SOLO IN QUELLE!
Ho effettuato verifiche spyware, adware, antivirus...niente da fare :
Io li cancello..... e dopo una decina di minuti automaticamente sono nuovamenbte al loro posto!
Ovviamente mi son guardato bene dal cliccare sul file setup.exe.
Apparentemente entrambi non mi creano problemi....ma perchè si ricreano? E' possibile che uno dei vari programmi installati li ricrei autonomamente ?
A cosa servirebbero? O cos'altro?
Non so più cosa fare....forse, per risolvere questo problema, non mi resta che la formattazione.
Grazie anticipatamente a chi può aiutarmi a capire e -se possibile- a risolvere questo enigma.

ciao...mi sono iscritto a questo forum dopo di che avendo eseguito una ricerca su google ho trovato un altra persona con il mio stesso problema....

sono nella tua stessa condizion:

_anch'io ho una rete wireless con un piccolo server sempre connesso a internet e un pc in camera....

_in ogni cartella condivisa in questa mini rete trovo e continuo a trovare questi due file....setup.exe+autorun.inf

_ho provato di tutto senza risultati tanto che alla fine ho creato un piccolo file batch che li elimina automaticamente ogni tanto...

_mi piacerebbe comunque trovare una soluzione a questo strano problema....

fammi sapere se hai notizie..


ciao

[martuffo]

Salve Daccio, allora il problema principale è uno solo: dovrebbe esserci un virus o non so che...questo è assodato. Tutto sta a vedere dove si trova nascoto o da cosa viene stimolato...e visto che abbiamo una piccola rete può trovarsi in qualunque pc. Nonostante il grande aiuto che mi hanno dato gli amici del forum, tutte le prove che ho fatto, non sono riuscito a debellarlo e, pertanto, ho agito nel seguente modo:
1) Ho riformattato il pc server: da solo non dava alcun problema...appena condividevo (in lettura e scrittura) le cartelle ritrovavo nuovamente i due files incriminati.
2) a questo punto mi pare ovvio che questo mostro deve trovarsi per forza nell'altro pc.
SOLUZIONE
Poichè francamente mi scocciava formattare anche l'altro pc ho disabilitato dalle cartelle condivise nel solo server la possibilità di modificarle. Praticamente con l'altro pc posso leggere i files del pc server ma non posso modificarli (quindi ho inibito la scrittura nel server). In effetti ha funzionato, da allora sul server non ho più problemi e neanche sull'altro pc....tutto tace!
La soluzione è sicuramente parziale e temporanea ma, comunque, ha dato i suoi risultati e per il momento a me va bene così.
Appena avrò buona volontà rifomatterò anche quello infetto e, se la mia teoria non è errata, dovrebbe risistemarsi il tutto.
Vedi anche tu cosa succede a nn condividere totalmemte le cartelle...e se dovessi decidere di riformattare tutti i pc...buon lavoro...e se ti è possibile fammi sapere l'esito. Ciao

[bluenady]

ne , avevo letto qualche settimana fa' , worm si.

qualche antivirus e' gia in grado di riconoscerlo e fermarlo , ma non ricordo altro .
ho provato a cercare i riferimenti che avevo letto , ma non sono riuscita a ritrovarli , mi spiace.

[daccio]

salve,
ho formattato entrambi i pc della mia mini rete....risultato:
i file si ricreano solo sul pc connesso a internet!!!sugli altri client no!
mmmaaaaa....
non so + che dire...aspettiamo altro tempo!

[bani]

ciao, ho avuto lo stesso problema, con la nostra piccola rete in casa, 2 PC.
ora: se (come credo di capire dallo scambio di messaggi) hai appunto il mio stesso problema fallo scannerizzare a www.virustotal.com e ti dovrebbe rispondere horst proxy trpjan win32 (in varie combinazioni).

ora: nulla di grave finchè non lo fai partire ma per liberartene definitivamente basta un firewall buono e ben configurato!!!

mi dirai: tutto qui? così semplice? già! lui passa attraverso porte lasciate "scoperte"!

io mi affido ad outpost, a volte lo prenderesti a martellate perchè blocca anche gli starnuti, ma funziona...

buona fortuna!

[moriero]

anche io stesso problema
ho trovato qualcosa qui: http://www.suspectfi...blog/?postid=14

[moriero]

a me ha funzionato!