Newsgroup: it.comp.os.win.xp
Titolo: [OT] bla.exe

Scusate l'OT ma davvero non so' piu' a chi rivolgermi.
Premetto che ho gia' cercato su Google e chiesto su ICSV ma purtroppo
non sono riuscito a risolvere il mio problema.
Come posso fare per rimuovere il trojan in oggetto?
Non esiste un tool che faccia tutto in automatico?
Non sono molto pratico e fino ad ora ho letto solo di procedimenti non
alla mia portata...
Grazie e scusate di nuovo l'OT...
-- 
Logan75 
Messenger: 
lo...@hotmail.it
Membro Ogame dell'Alleanza ICCP con il titolo di *Iccpers*

A< 

 Non esiste un tool che faccia tutto in automatico?
[...]
Non mi risulta.
Segui anche qui:
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
--
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer/OE 2003/2004/2005
http://support.microsoft.com/newsgroups
http://mvp.support.microsoft.com/

Non esiste un tool che faccia tutto in automatico?
no, ma puoi usare la trial del kaspersky (in modalita' provvisoria):
http://www.kaspersky.com/trials?chapter=154373188
--
W.A.R.®

 alla mia portata...
http://support.microsoft.com/default.aspx?scid=kb;it;892279
http://www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=it

 ha scritto:

Ho eliminato l'eseguibile e sembra tutto ok.
Si vede che avast non ha fatto infettare nulla e il bla.exe non e'
partito... boh...
Grazie



http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
Che casino...
Cmq l'ho cancellato e sembra tutto a posto...
Grazie



http://www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=it
Nessun malaware rilevato.
Grazie anche a te.


 ha
scritto:


Non c'e'...
Grazie cmq.


alla mia portata...
Io ti consiglio una passata con stinger, scaricabile da qui:
http://vil.nai.com/vil/stinger/

 partito... boh...
Non ti preoccupare che ti riapparirà :)
Riferendomi al mio Bla.exe col quale convivo felicemente da un mesetto circa
crea altri file class e pif in Sytem Restore e Prefecth e in una cartella della Sun
e una chiave di registro che eliminando anche quelli o facendoli eliminare
da programmi appositi non risolvi niente.
Andrai su Internet e ti verrà eseguita più prima che poi
l'applet bhjwmd che ti rimanderà in maniera nascosta
ad un sito francese (Norad) e l'indirizzo numerico
lo potrai anche vedere in Cronologia e che
sarebbe questo 
http://62.193.226.xx/c/
Che ti installa in C bla.exe e che creerà anche gli altri file
Ho mascherato le ultime due cifre per evitare clik accidentali
ma se apri con un editor bla.exe potrai vedere l'indirizzo del
sito scritto anche in lettere.
Intanto lascia bloccato nel firewall bla.exe e sei a posto.
Se ne hai voglia puoi provare a disinstallare e reinstallare la Java Sun Machine
Dicono che serve per eliminare il caricamento dell'applet bhjwmd
Ancora non ho provato e non saprei se funziona o meno
Intanto mi sono riscaricato un'altra volta il Bla.
Voglio provare a sostituire un bit al file exe e poi a toglierlo dal firewall e
vedere cosa succede quando mi viene fatto partire e risulta corrotto...
O cosa succede se l'applet non lo riconosce perchè corrotto e lo riscarica e trova
un file con lo stesso nome...
-- 
by Isaac
Qu...@excite.it
 - Non usare per messaggi privati
NewsGroup per Internet Explorer & Outlook Express
news://
msnews.microsoft.com/microsoft.public.it.internet_explorer
 

 sarebbe questo 
http://62.193.226.xx/c/
[ Omissis ]
Che lo hai beccato te ne potrai accorgere anche se clikki sul tasto
Indietro di IE e non torni alla pagina che avevi visualizzato in precedenza
ma rimani nella pagina in cui ti trovi.
Nell'elenco della Cronologia  tra la pagina attuale e quella precedente
adesso si è inserito il link al sito nascosto che ti ha installato il bla.


 ha scritto:

Grazie ma sembra tutto ok...


Intanto lascia bloccato nel firewall bla.exe e sei a posto.
Questo e' sicuro: l'ho inserito nella lista nera di Norton Firewall.


adesso si è inserito il link al sito nascosto che ti ha installato il bla.
Idem come opra: tutto a posto.
Il link non compare!
Si vede che avast ha fatto il suo dovere.
Meglio cosi'.
Grazie per l'aiuto!:)


 Questo e' sicuro: l'ho inserito nella lista nera di Norton Firewall.
OK. Tanto per chiudere il discorso e quasi mi dispiace che mi ci ero affezionato :)
Modificando due o tre bit del bla.exe e togliendolo dal firewall
il bla non parte e non viene sostituito con uno sano e non si collega al sito soprascritto.
Adaware con gli ultimi aggiornamenti elimina tutto
quello che deve essere eliminato (cosa che non faceva in precedenza)
e poi mettendo questo indirizzo 
http://62.193.226.24
in Protezione / Siti con Restrizione di Internet Explorer la protezione è
ovviamente maggiore rispetto a quella media che tengo e non lo riscarico più
come avveniva prima che bastava mi collegassi a qualsiasi sito web.
per far partire l'applet che innescava il tutto.
Passo e chiudo :)


Passo e chiudo :)
Tutto chiaro.
... ma io non ho fatto nulla di tutto cio'!:)


 ... ma io non ho fatto nulla di tutto cio'!:)
OK. Buon per te.
Ma può darsi che a qualcunaltro interessi :)


 sembra tutto ok...
Se dovesse capitare ancora la prima cosa da fare
e' disabilitarlo dal registro (key run)
scarica >>>>> StartUp CPL
http://www.mlin.net/StartupCPL.shtml
potrebbe avere un nome diverso  tipo
winamp.exe
Scvhost.exe
WincfgM32.exe
Winhlpp32.exe
Adds one of the values:
"Config Loader"="scvhost.exe"
"Task Scheduler"="WincfgM32.exe"
to these registry keys:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices
di piu a :
W32.HLLW.Gaobot.AE
Enciclopedia dei virus della symantec
http://securityresponse.symantec.com/avcenter/vinfodb.html
Lista Tools Rimozione
http://securityresponse.symantec.com/avcenter/tools.list.html
Ps:
questa e la collezione che mi sono beccato io (penso tutti ricondicibili a BLA)
sparsi in c:\     c:\windows   c:\windows\system   (system32  su un XP)
(presi in svariate sessioni su un Windows 98se pero')
C:\WINDOWS\TEMP\Virus
Base name: Virus
File count: 14
Folder size: 0,33 MB
\Virus\lo750611492.exe   8,68 kb
\Virus\bla.exe   3,06 kb
\Virus\Svchost.txt   0,62 kb
\Virus\bla.txt   0,07 kb
\Virus\WINAMP.dat   0,06 kb
\Virus\winamp.exe   46,59 kb
\Virus\dd.exe   50,22 kb
\Virus\msexploren.exe   17,00 kb
\Virus\reeqff .dll   50,21 kb
\Virus\win322file9021.inf   0,00 kb
\Virus\SVCHOST.dll   46,21 kb
\Virus\svchost.exe   50,22 kb
\Virus\svchos1at.exe   9,50 kb
\Virus\DD.dll   46,20 kb
--
Fosco

 Ma può darsi che a qualcunaltro interessi :)
A me' interessa ..eccome  grazie mille
--
Fosco

Un Lunedì, del mese 07 nell'anno 2005, alle ore 11:07:16: Isaac disse :
Saluti a tutti e Ciao a te "Fosco" <fa...@fake.invalid>


Nel mio bla.exe c'era anche in chiaro una riga di comando
che faceva qualcosa al file utilizzato e messo in systray da winamp
e cioè winampa.exe. Ma non utilizzo Winamp e non ho potuto verificare.
Non venivano creati invece altri file o chiavi di registro come quelle
indicate nel sito della symantec e di cui un paio corrispondono
a quelli che hai indicato in un altro post di questo thread.


Grazie ma sembra tutto ok...
Perfetto, sono felice per te ;)

e' disabilitarlo dal registro (key run)
[CUT]
Grazie mille anche a te!;)
