Newsgroup: it.comp.sicurezza.windows
Titolo: aiuto!!!!   trojan temp1.exe   e  xcopy.exe

mi si č inserito un trojan con un file " temp1.exe " e " xcopy.exe" che no
riesco a togliere con norton , spybot e adware .
Qualcuno mi potrebbe aiutare
GRAZIE
gigi
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 gigi
toglilo dall'avvio automatico
killa il processo dal task manager
cancella i file temp(oranei) con ccleaner (o windows washer)
-- 
Lo Zio Fizzy ©
       /)/)
     (  '.')
   o(_('')('')

 ha scritto nel 
messaggio news:45a0df08$0$19100$4faf...@reader4.news.tin.it...


 uso! e aggiorna windows, così non lo riprendi più.
Per esperienza diretta, VirIt Explorer 6.1.46, che sto usando dalla metà di 
ottobre scorso, è utilizzabile gratuitamente anche dopo il periodo di prova, 
con possibilità di aggiornamento solo manuale.
-- 
Un uomo saggio impara dall'esperienza, un uomo ancora più saggio impara
dall'esperienza degli altri. (saggio cinese)

 > Grazie dell' aiuto ,
ma sei sicuro che sia un rootkit ?
E che lo posso eliminare con virit ?
Ti chiedo tutto questo perchè ho fatto scansionare il disco rigido da alcuni
programmi antirootkit che non hanno evidenziato la presenza di alcun
rootkit.
Mi ero dimenticato di dirti che oltretutto questo maledetto temp1.exe mi
copia altri due file ( copy.exe e host.exe entrambi infetti) virulenti con
lo stesso tipo di trojan su tutte le unità disco D: E: F: e a:
Ieri mediante il programmino msconfig ho bloccato tutti i programmi d' avvio
di windows e sembrava che andasse bene ma appena ho fatto accesso con
risorse del computer su c: si è rinserito temp1.exe e ricontrollando i
programmi d'avvio si era inserito c:windows\svchost.
Dalla tua esperienza Virit mi potrà aiutare ?
attendo la tua risposta a breve
Grazie
Gigi


 ha scritto nel messaggio 
news:151Z100Z40Z67Y1...@usenet.libero.it...


mi sembra strano che ad ottobre ci fosse la versione 6.1.46 visto che
l'ultima ad oggi è la 6.1.45!
ad ottobre avrebbe dovuto esserci la 5.6 circa....
a quale ti riferisci insomma??
Paolo
"primula rossa" <primula....@infinito.it.invalid> ha scritto nel 
messaggio news:enu1jt$sdu$1...@nnrp-beta.newsland.it...


grazie dell' aiuto
nei prossimi due o tre giorni ci proverò.
controlla il NSogni tanto che ti faccio sapere .
Ti mando il file hjack.
Se vedi qualcosa di strano fammi sapere
Ciao gigi
Logfile of HijackThis v1.99.1
Scan saved at 16.09.42, on 09/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Power Translator 10\LogoMedia TranslateDotNet Server.exe
C:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\Programmi\Raxco\PerfectDisk\PDAgent.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\Programmi\ScanSoft\OmniPage15.0\Opware15.exe
C:\WINDOWS\system32\temp1.exe
C:\Programmi\File comuni\ACD Systems\EN\DevDetect.exe
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\Programmi\D-Tools\daemon.exe
C:\Programmi\Corel\Corel Photo Album 6\MediaDetect.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\ATI Technologies\ATI.ACE\CLI.EXE
C:\Programmi\Microsoft Encarta\Microsoft Encarta 2007 - Premium
DVD\EDICT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\ScanSoft\OmniPage15.0\OpAgent.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Raxco\PerfectDisk\PDEngine.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wuauclt.exe
C:\appoggio\viru 09 gennaio 2007\programmi\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.repubblica.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
F3 - REG:win.ini: load=C:\WINDOWS\svchost.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: bho2gr Class - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} -
C:\Programmi\GetRight\xx2gr.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} -
C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} -
C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: LEC - {1DBAB667-A486-421e-AFE4-CF07DD0088E5} -
C:\Programmi\Power Translator 10\Applications\LEC IE Translation
Extension.dll
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File
comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programmi\File comuni\Scansoft
Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RemoteControl] "C:\Programmi\CyberLink DVD
Solution\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [RegistrySmart] "C:\Program
Files\RegistrySmart\RegistrySmart.exe" -boot
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe
-CheckReg
O4 - HKLM\..\Run: [PDF3 Registry Controller]
"C:\Programmi\ScanSoft\OmniPage15.0\PDFConverter3\\RegistryController.exe"
O4 - HKLM\..\Run: [Opware15]
"C:\Programmi\ScanSoft\OmniPage15.0\Opware15.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programmi\File
comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programmi\File
comuni\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programmi\D-Tools\daemon.exe"
-lang 1033
O4 - HKLM\..\Run: [Corel Photo Downloader] C:\Programmi\Corel\Corel Photo
Album 6\MediaDetect.exe
O4 - HKLM\..\Run: [CloneCDTray]
"C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [ccRegVfy] C:\Programmi\File comuni\Symantec
Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [ccApp] C:\Programmi\File comuni\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programmi\ATI
Technologies\ATI.ACE\CLIStart.exe"
O4 - HKCU\..\Run: [E07IXLRD_167828] "C:\Programmi\Microsoft
Encarta\Microsoft Encarta 2007 - Premium DVD\EDICT.EXE" -m
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [OpAgent] "C:\Programmi\ScanSoft\OmniPage15.0\OpAgent.exe"
/agent
O4 - HKCU\..\Run: [NBJ] "C:\Programmi\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [E07IXLRD_1624453] "C:\Programmi\Microsoft
Encarta\Microsoft Encarta 2007 - Premium DVD\EDICT.EXE" -m
O4 - HKCU\..\Run: [E07IXLRD_128843] "C:\Programmi\Microsoft
Encarta\Microsoft Encarta 2007 - Premium DVD\EDICT.EXE" -m
O8 - Extra context menu item: Download with GetRight Pro -
C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Pro Browser -
C:\Programmi\GetRight\GRbrowse.htm
O8 - Extra context menu item: Open with Scansoft PDF Converter 3.0 -
res://C:\Programmi\ScanSoft\OmniPage15.0\PDFConverter3\IEShellExt.dll /100
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -
C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Barra di ricerca di Encarta -
{B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programmi\File comuni\Microsoft
Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -
C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger -
{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) -
http://pavente.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -
http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1161083623779
O17 -
HKLM\System\CCS\Services\Tcpip\..\{F00AE944-47C8-4A81-BBAE-9B1FC98CDDF9}:
NameServer = 151.100.4.2,151.100.4.13
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} -
"C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. -
C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation -
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec
Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision
Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel
32\IDriverT.exe
O23 - Service: LEC TranslateDotNet Server - Language Engineering
Corporation, LLC - C:\Programmi\Power Translator 10\LogoMedia
TranslateDotNet Server.exe
O23 - Service: LightScribeService Direct Disc Labeling Service
(LightScribeService) - Hewlett-Packard Company - C:\Programmi\File
comuni\LightScribe\LSSrvc.exe
O23 - Service: Servizio Norton AntiVirus Auto-Protect (navapsvc) - Symantec
Corporation - C:\Programmi\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec
Corporation - C:\Programmi\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O23 - Service: PDAgent - Raxco Software, Inc. -
C:\Programmi\Raxco\PerfectDisk\PDAgent.exe
O23 - Service: PDEngine - Raxco Software, Inc. -
C:\Programmi\Raxco\PerfectDisk\PDEngine.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation -
C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SmartLinkService (SLService) - -
C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Speed Disk service - Symantec Corporation -
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe


 ad ottobre avrebbe dovuto esserci la 5.6 circa....
All'epoca installai la versione vnlt 6.1.22, effettuando pure 
l'aggiornamento delle firme, come consigliato.
Ora, dopo gli aggiornamenti automatici che proseguono nonostante la scadenza 
del periodo di prova, mi ritrovo (ancorchè abbia fatto la scelta 
dell'aggiornamento manuale) appunto la versione 6.1.46 (che rilevo dal menu 
informazioni).
L'ultimo aggiornamento l'ho fatto qualche giorno fa: evidentemente il sito - 
che riporta la versione 6.1.45 - non è aggiornato.
Come giustamente hai fatto rilevare, il software in questione è davvero 
potente contro i rootkit più difficili da scovare, prova ne è che anche nel 
mio caso è riuscito nell'intento (vedasi su questo stesso NG il mio 
messaggio postato il 7/10/2006 e risolto l'11/10/2006 avente per oggetto 
"Problema con anti-dialer (forse un rootkit?)"
Ciao.


 > il tasto destro del mouse e poi esplora o apri
Sono sicuro che non c'è più nessun tipo di virus sulle unità.
Copy.exe è il file che inizialmente mi ha infettato.
L'unica chiave sul registro che gli corrisponde è la seguente :
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{1d841ef0-2699-11da-8e61-00304f1eec37}\Shell\AutoRun\command]
@="C:\\WINDOWS\\system32\\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL
copy.exe".
Non so se mi riesci ad aiutare
Grazie gigi


scusami, non volevo sembrare offensivo o critico. era solo che non capivo a 
quale ti riferissi :)
"primula rossa" <primula....@infinito.it.invalid> ha scritto nel 
messaggio news:eo0jh2$e1q$1...@nnrp-beta.newsland.it...


Sono contento!
te lo avevo detto, è l'unico al momento che lo elimina.
fai gli aggiornamenti di windows cmq, usa il firefox, perchè quel virus 
l'hai preso con l'internet explorer!!!!!
ciao
