[Risolto] Mi ha colpito il bastardo W32/Tanit. Help!

wolf.otakar

Purtroppo Win32.Tenga.a infetta tutti i file .exe e sfrutta una vulnerabilita' del sistema; effettui gli aggiornamenti automatici?

Questa è la patch da installare: http://www.microsoft.com/technet/security/bulletin/MS03-026.mspx

vale76

no, non posso effettuarli, purtroppo, li cerco a mano.

wolf.otakar

@Vale76 said:

no, non posso effettuarli, purtroppo, li cerco a mano.

Cmq ecco la patch da installare: http://www.microsoft.com/technet/sec.../MS03-026.mspx

vale76

grazie wolf ma in questo caso non vedo nessun link di download in quella pagina; cosa esattamente devo scaricare?

vale76

forse potrei anche averla messa quella patch; mi sembra di aver trovato qualcosa direttamente da una vecchia discussione riguardante il problema di questo virus su Hwugrade forum.

ad ogni modo, ho rifatto la scansione con il tool di Avira e di nuovo mi dice "no virus found". Non so che pensare...
vorrei solo buttarmi dalla finestra, ma si può stare con un sistema operativo così?? ma è un sistema op. questo? io direi che è più un colabrodo!!
e stavolta forse mi decido veramente a passare a LInunx, perché non si può vivere così!

P.S. nuovo log, rifatto poco fa per sicurezza:

Logfile of HijackThis v1.99.1
Scan saved at 23.22.37, on 10/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\sistray.EXE
C:\WINDOWS\system32\keyhook.exe
C:\Programmi\Unlocker\UnlockerAssistant.exe
C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programmi\ScanSoft\OmniPageSE2.0\OpwareSE2.exe
C:\Programmi\SPYWAREfighter\spftray.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programmi\SPYWAREfighter\spfprc.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Programmi\Flashpaste\flashpaste.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\SAGEM\SAGEM F@st 800-840\dslmon.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Programmi\AntiVir PersonalEdition Classic\avcenter.exe
C:\Programmi\AntiVir PersonalEdition Classic\avscan.exe
C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM..\Run: [UnlockerAssistant] "C:\Programmi\Unlocker\UnlockerAssistant.exe"
O4 - HKLM..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM..\Run: [CmUsbSound] RunDll32 cmcnfgu.cpl,CMICtrlWnd
O4 - HKLM..\Run: [OpwareSE2] "C:\Programmi\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"
O4 - HKLM..\Run: [spywarefighterguard] C:\Programmi\SPYWAREfighter\spftray.exe
O4 - HKLM..\Run: [ZoneAlarm Client] "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM..\Run: [!AVG Anti-Spyware] "C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU..\Run: [IncrediMail] C:\Programmi\IncrediMail\bin\IncMail.exe /c
O4 - HKCU..\Run: [Flashpaste] C:\Programmi\Flashpaste\flashpaste.exe
O4 - HKCU..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: DSLMON.lnk = C:\Programmi\SAGEM\SAGEM F@st 800-840\dslmon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O16 - DPF: {814EA0DA-E0D9-4AA4-833C-A1A6D38E79E9} (DASWebDownload Class) - http://das.microsoft.com/activate/cab/x86/i486/NTANSI/retail/DASAct.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: SPYWAREfighterRP - SpamFighter APS - C:\Programmi\SPYWAREfighter\spfprc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

wolf.otakar

@Vale76 said:

grazie wolf ma in questo caso non vedo nessun link di download in quella pagina; cosa esattamente devo scaricare?

Troverai in fondo la pagina i link per il download della patch per i vari sistemi:

Patch availability

Download locations for this patch
?    
Windows NT 4.0 
?    
Windows NT 4.0 Terminal Server Edition 
?    
Windows 2000 
?    
Windows XP 32 bit Edition 
?    
Windows XP 64 bit Edition 
?    
Windows Server 2003 32 bit Edition 
?    
Windows Server 2003 64 bit Edition

Installata la patch "speriamo", prova ad effettuare una scansione con il tuo antivirus dalla modalita' provvisoria!

Il log Vale è pulito!

vale76

ahhhhhh ecco mò ho visto! ma ce ne sono due per XP: quale delle due, "32 o 64 bit Edition" ?

wolf.otakar

@Vale76 said:

ahhhhhh ecco mò ho visto! ma ce ne sono due per XP: quale delle due, "32 o 64 bit Edition" ?

Ecco il link diretto:
http://www.microsoft.com/downloads/details.aspx?displaylang=it&FamilyID=2354406C-C5B6-44AC-9532-3DE40F69C074

p.s. installa anche le patch consigliate "in basso"!

vale76

Ennesimo aggiornamento della situazione

dunque

log di Hitjack pulito.
Tool di Avira che non rileva minacce.
Panda rileva a quant pare solo un cookie, eliminato.
La Patch di microsoft, nonostante il caos delle ultime 24 ore è stata installata.
Altri security update di aprile/maggio scaricati e installati.

Ora ho anche trovato sul sito di Trend Micro questo programma per la rimozione del maledetto Tenga:

http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=PE_TENGA.A&VSect=Sn

Lanciato e non ha dato nessun avviso.

Complessivamente non posso neanche dire che il pc vada particolarmente lento..

Che dite? Posso ardire di star tranquilla?

Eventualmente, sta benedetta patch di microzozz (li odio! colabrodi! )
ha funzione preventiva o può funzionare anche come rimedio per espellere il maledettissimo schifosissimo verme?

wolf.otakar

@Vale76 said:

Eventualmente, sta benedetta patch di microzozz (li odio! colabrodi! )
ha funzione preventiva o può funzionare anche come rimedio per espellere il maledettissimo schifosissimo verme?

Beh, la vulnerabilita' se c'era è stata tappata....

Puoi verificare la presenza o meno di questi file nel tuo sistema?

GAELICUM.EXE

CBACK.EXE

DL.EXE

vale76

certo, e come posso fare? dal Task Manager se anche ci sono non si vedono.
In che cartella di sistema dovrei cercarli?

wolf.otakar

@Vale76 said:

certo, e come posso fare? dal Task Manager se anche ci sono non si vedono.
In che cartella di sistema dovrei cercarli?

Prova dalla funzione cerca file e cartelle!

ah, dimenticavo.. effettua anche un controllo da qui:
http://security.symantec.com/sscv6/home.asp?langid=it&venid=sym&plfid=23&pkj=OIRBXUQIZQVMUYTACDC

vale76

allora, il cerca non li ha trovati!!
ho cercato anch'io nella System e nella System 32 e non li ho trovati

p.s. ora scappo a dormire che sto crollando dal sonno e domani mattina, lavoro. Quando torno a casa provo anche quest'altra scansione.
Per ora grazie di cuore dell'immensa pazienza e dell'aiuto! Se posso stare più tranquilla è anche grazie a voi. :re:

Buona notte a tutti e grazieeeeeeeee!!

wolf.otakar

@Vale76 said:

Quando torno a casa provo anche quest'altra scansione.

Ok!

gorka

Succede spesso che le scansioni o altre operazioni fatte con il Panda mandano in tilt altri software antivirus nel sistema (e penso sia quello che è successo a te).
Quindi disattivare sempre l'antivirus residente e usarne uno per volta, altrimenti "litigano".

Ad esempio disinstallare Panda con Avast attivo è problematico in quanto quest'ultimo inizia a trillare come un'ossesso

vale76

eh si, è proprio quello che è successo a me con Antivir; colpa mia perché non l'ho disattivato prima.
Cmq oggi voglio riprendere la mia vita normale al pc, altrimenti diventa una psicosi quella di stanare il virus, ammesso che il bastardo ci sia ancora.