Benvenuto Ospite

Aiutamici Forum » FORUM - Istruzioni e Guide » Sicurezza VIRUS » housecall

housecall

Opzioni

Topic Precedente · Topic Sucessivo

sarwad

Inviato: Thursday, August 24, 2006 11:38:17 AM

Rank: Member

Iscritto dal : 5/3/2006
Posts: 0

ho fatto girare il programma e mi ha trovato un sacco di infezioni.quando clicco su disinfetta non disinfetta niente, resta accesa la barra preparazione e la cpu è al 100% . che fo?

Torna in alto

Sponsor

Inviato: Thursday, August 24, 2006 11:38:17 AM

Torna in alto

monsee

Inviato: Thursday, August 24, 2006 12:04:06 PM

Rank: AiutAmico

Iscritto dal : 4/5/2005
Posts: 22,971

Domanda: hai installato la versione ultima del Java Runtime? (è necessaria, se vuoi che la scansione online sul sito della TrendMicro [Housecall il sito della TrendMicro] vada a buon fine).
Comunque, se hai un bel po' di "ospiti sgraditi" può pure essere possibile che riescano a impedire loro, in qualche modo, che il procedimento di rimozione venga eseguito. Se così stan le cose, dovrai pensare ad altri metodi di "disinfestazione".
Mi sembra abbastanza evidente, tanto per cominciare, che il tuo antivirus sia stato messo KO da qualcuno di questi malware... Comincia, dunque, col controllare se si aggiorna. E se si aggiornano pure i tuoi programmi anti-spyware. Se ti pare si aggiornino (in particolare, l'antivirus), disattiva il tuo Ripristino configurazione di sistema e vai in Modalità Provvisoria e lancia una scansione dell'intero Hard Disk. Annotati tutti i nomi dei malwares che ti rileva e dagli ordine di rimuoverli tutti (annotati anche quelli che -eventualmente- non riuscirà a rimuovere).
Dopo di che, lancia in scansione anche -uno dopo l'altro, non insieme- tutti i tuoi programmi anti-spyware. Anche qui, di volta in volta, annotati quel che ti rilevano, poi dai ordine di eliminare tutto e, infine, segna quel che non si riesce a eliminare).
Al termine di tutto, torna qui sul forum a riferire a che punto stai (può darsi ci sia da far pure dell'altro, ma -ora come ora- non lo posso stabilire).

Torna in alto

sarwad

Inviato: Thursday, August 24, 2006 12:25:53 PM

Rank: Member

Iscritto dal : 5/3/2006
Posts: 0

tutti gli anti si aggiornano e li ho fatti girare tutti , anche trend micro online e non hanno trovato nisba. java è la 8.

Torna in alto

monsee

Inviato: Thursday, August 24, 2006 1:10:56 PM

Rank: AiutAmico

Iscritto dal : 4/5/2005
Posts: 22,971

Prima, avevi scritto:
<BLOCKQUOTE id=quote>quote:<hr height=1 noshade id=quote>ho fatto girare il programma e mi ha trovato un sacco di infezioni<hr height=1 noshade id=quote></BLOCKQUOTE id=quote>
Adesso, invece, scrivi:
<BLOCKQUOTE id=quote>quote:<hr height=1 noshade id=quote> li ho fatti girare tutti , anche trend micro online e non hanno trovato nisba<hr height=1 noshade id=quote></BLOCKQUOTE id=quote>
Insomma, TrendMicro te li rilevava, tutti questi malwares, oppure no?
Se prima li rilevava e adesso no, sarà perché -benché a te ciò non sia parso- quando gliel'hai richiesto li ha rimossi...

Torna in alto

sarwad

Inviato: Thursday, August 24, 2006 2:55:28 PM

Rank: Member

Iscritto dal : 5/3/2006
Posts: 0

capito non mi hai. sul sito di steven altervista ci sono due. trend micro anti spy e trend housecal il primo non ha trovato niente e il secondo tantie anche spibot, avast, ad aware,spyware terminator non hanno trovato un tuborg

Torna in alto

steven75

Inviato: Thursday, August 24, 2006 3:09:07 PM

Rank: Member

Iscritto dal : 5/8/2006
Posts: 0

ciao sarwad ,
trend micro è una scansione antispyware , mentre housecall è la scansione antivirus....

Comunque degli antivirus online , uno che trova e rimuove tutto , è bitdefender.....

Torna in alto

sarwad

Inviato: Thursday, August 24, 2006 4:05:44 PM

Rank: Member

Iscritto dal : 5/3/2006
Posts: 0

ho fatto anche quello e mi ha cancellato il file: C/window/sist.32/NVSVCD.EXE
nel log lo itrovo ancora in due posti. è da cancellare o fa parte della sceda nvidia?
Logfile of HijackThis v1.99.1
Scan saved at 16.04.25, on 24/08/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\Java\jre1.5.0_08\bin\jusched.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programmi\Creative\Mouse Optical\mouse_2k.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe
C:\Programmi\PopUp Killer\PopUpKiller.EXE
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe
C:\Programmi\File comuni\EPSON\EBAPI\eEBSVC.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Internet Explorer\iexplore.exe
F:\download\hijacktis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_08\bin\ssv.dll
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_08\bin\jusched.exe"
O4 - HKLM\..\Run: [EPSON Stylus CX3200] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P19 "EPSON Stylus CX3200" /O6 "USB001" /M "Stylus CX3200"
O4 - HKLM\..\Run: [CreativeMouse ] C:\Programmi\Creative\Mouse Optical\mouse_2k.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [USB2Check] RUNDLL32.EXE "C:\WINDOWS\system32\PCLECoInst.dll",CheckUSBController
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [PopUpKiller] C:\Programmi\PopUp Killer\PopUpKiller.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe"
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Eandsporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Salva oggetto con Star Downloader - C:\Programmi\Star Downloader\sdie.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_08\bin\npjpi150_08.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_08\bin\npjpi150_08.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesit.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesit.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - :windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by108fd.bay108.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1132586910821
O16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://eu-housecall.trendmicro-europe.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {9D190AE6-C81E-4039-8061-978EBAD10073} (F-Secure Online Scanner 3.0) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {B1826A9F-4AA0-4510-BA77-9013E74E4B9B} - http://www.trendmicro.com/spyware-scan/as4web.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A4F9FD16-DB94-4A11-91E7-A4B6A8303F9A}: NameServer = 85.37.17.4 85.38.28.70
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~3\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: EpsonBidirectionalService - Unknown owner - C:\Programmi\File comuni\EPSON\EBAPI\eEBSVC.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Torna in alto

sarwad

Inviato: Thursday, August 24, 2006 4:15:33 PM

Rank: Member

Iscritto dal : 5/3/2006
Posts: 0

copiato da un altro forum:
"Ieri sera avevo notato che l'AVG Email Checker tentava di connettersi a centinaia di IP in sequenza, e inviava email a indirizzi vari...nella Posta Inviata ovviamente non c'era nulla...E quando questo bot beccava indirizzi mail inesatti (o giù di lì) AVG mi sparava indietro una mail che mi diceva che il server rifiutava l'email perchè...bla bla bla... ogni minuto me ne tornavano indietro decine e decine. Al che:

2) Scansione con AdAware ...NIENTE
3) Scansione con Spybot 1.4 ...NIENTE
4) Scansione con HiJACKTHIS...trovo un processo che non mi ispira: NVSVCD.EXE
Lo killo. Svuoto i temp che contenevano degli exe strani. Pulisco la cache internet.
Dopo un paio di minuti si ricrea un exe nella cartella Temp. C'è anche un .ini assieme. Lo esamino, leggo di un install.exe che lancia sta schifezza. Cerco gli install.exe ed elimino il paio sospetti.

Alla fine, leggendo su internet scopro che questo virus (IRCBot.SS) ha creato una backdoor che mi usa come SMTP server...stavo inviando spam su Viagra e Cialis al mondo intero.

5) Faccio una scansione Online con Panda AV che pero' non trova nessun virus..
eppure AVG Email Checker continuava a ributtarmi indietro mail fallite e a connettersi a server ed IP vari in giro per il mondo. Attivo Zone Alarm (e tolgo il FW di Windows) e bloccando l'uscita di avgemc.exe il log del firewall comincia a "scoppiare".

La situazione è insostenibile...in 5 secondi ZA mi blocca 500 tentativi di uscita di avgemc.exe

Al che, discutendo con il mitico David iniziamo dopo varie analisi del Task Manager e con la coscienza che nessun processo strano stesse girando, notiamo il fatto grave...

Un log nella cartella di AVG di oltre 1,7GB

Praticamente io avevo debellato il virus, manualmente, 2 ore prima, che pero' aveva già tentato l'invio di milioni di email...solo che AVG le tiene in cache, le esamina e poi le invia. Ovviamente ciò implica diverse ore..

Alla fine è bastato eliminare i quasi 6.000 file nella cartella QUEUE di AVG e tutto è tornato alla normalità."""
è successo anche a me e ogni volta che apro la posta mi sento "IMPOTENTE" perchè ricevo proposte di acquisto di viagra e cialis

Edited by - sarwad on 08/24/2006 18:42:17

Torna in alto

steven75

Inviato: Thursday, August 24, 2006 4:24:22 PM

Rank: Member

Iscritto dal : 5/8/2006
Posts: 0

be allora non serve a niente farci fare il doppio lavoro .... continua li e sei apposto...

Torna in alto

sarwad

Inviato: Thursday, August 24, 2006 4:27:22 PM

Rank: Member

Iscritto dal : 5/3/2006
Posts: 0

scusami. volevo sapere solo cosa era nv svcd e sono imbattuto in questo che ha spegato meglio di me la mia situazione che ora sono 2
1 housecall che mi tormenta
2 il viagra....che mi tromentaaaaa!!!
ho notato che le infezioni derivano da un file: hkcr/clsid/78653a3e-a63f-42a9-a6fe-7524f4058767.
cercandolo con regedit l'ho trovato in hklm/microsoft/internet explorer/activex compatible. può essere?

Edited by - sarwad on 08/24/2006 18:38:58

Torna in alto

steven75

Inviato: Thursday, August 24, 2006 11:22:18 PM

Rank: Member

Iscritto dal : 5/8/2006
Posts: 0

Il log è pulito , quei due processi sono NVIDIA , mentre quello che hai cancellato era un trojan....

Torna in alto

sarwad

Inviato: Friday, August 25, 2006 9:54:04 AM

Rank: Member

Iscritto dal : 5/3/2006
Posts: 0

grazie . ma per housecall tuti quei vermi? tipo adware-mediaplacetv, iwantsearch, delf, topicks,bhoesyndicate, bho 404 search, tspy-banker.cd , small, crck nero.d, spyware trak tibrowwer ecc.

Torna in alto

Utenti presenti in questo topic

Guest

Aiutamici Forum » FORUM - Istruzioni e Guide » Sicurezza VIRUS » housecall

Salta al Forum

Aggiunta nuovi Topic disabilitata in questo forum.
Risposte disabilitate in questo forum.
Eliminazione tuoi Post disabilitata in questo forum.
Modifica dei tuoi post disabilitata in questo forum.
Creazione Sondaggi disabilitata in questo forum.
Voto ai sondaggi disabilitato in questo forum.

Invia topic via Email

RSS Feed

Watch this topic

Stampa topic

Normale

Threaded