CrysWeb - Rimozione manuale di un virus (worm e malware vari)

[191macchiaful]

ho windows 7 quindi nn c'è scritto risorse del computer mi puoi dire come si chiama su windows 7? che nn me lo ricordo più

[cryswebtube]

@191macchiaful "Avvia Gestione Attività" :) lo trovi sia col click destro sulla barra delle applicazioni, sia alla pressione di CTRL + ALT + CANC.

[darklore99]

a me vieni autoron il file virus come lo cancello?

[cryswebtube]

@darklore99 Puoi spiegarti meglio?

[pecoranera1976]

taskmenager nn lko riesco a trovare ma dove?

[cryswebtube]

@pecoranera1976 Il task manager lo puoi avviare premendo CTRL + ALT + CANC su Windows XP, altrimenti con un click desto sulla barra delle applicazioni e poi su Gestione Attività in Windows 7.

[Iplayforenjoyment]

no scusa ho scoperto che nn era un virus XD cmq bel video

[Iplayforenjoyment]

a me c'è un processo che si chiama Ati2evxx ed ha una bassa memoria (316kb) e nn ha descrizioni, sai dirmi se è un virus? cmq ho fatto come te, ho messo disco locale>windows>sistem32 ma nn c'è, ho messo anche in ordine alfabetico

[sharkinformation]

io ho eset che aggiorna le firme antivirali ogni giorno!!

[iraynus]

Fantastico. Ho eliminato un dhnba.exe :)

Grazie!

[ZUPERCHANNEL]

per favore puoi chiedere a qualche tuo amico informatico quali sono i processi di un windows vista appena formattato?

[cryswebtube]

@ZUPERCHANNEL Dovresti controllarli tutti comunque, non c'è una lista precisa perchè dipende dai servizi che hai installato causa le differenti versioni di Vista. Non dovrebbero essere molti comunque, fai prima a controllarli tutti attraverso siti come processlibrary . com

[ZUPERCHANNEL]

come si chiama il programma fatto da te?

[cryswebtube]

@ZUPERCHANNEL Non ho fatto un applicativo antivirus, devi aver capito male :)

Io ho scritto "Process & Registry Watcher" per controllare manualmente i processi di sistema... lo trovi nella sezione programmi del mio sito (vedi descrizione del video)!

;)

[1998superpeppe1]

@isma2o

è un worm

[TheDjJonky]

A me c'è scritto 2 volte rundll.32, in una c'è scritta la descrizione e il nome dell'utente , nell'altra no

[cristianviola93]

ma non è nessun worm lol nessuna cosa strana..... lo si disattiva semplicemente digitando Regsvr32.exe /u msimtf.dll

[gianmattianumber1]

lo ho trvato ma non li elimina perchè vuole la registrazione puoi trovarne uno tu per me plz?

[cryswebtube]

Sembra il classico nome generato casualmente da qualche worm. Su Google non c'è niente a riguardo per cui è facile che sia proprio casuale. Prova a stoppare il processo oppure a rinominare il file con qualche distro Live piuttosto di cancellarlo. Se smette di funzionare qualcosa lo rinomini con la dicitura originale...

[gianmattianumber1]

ciao ho un problema: worm.bagle.gen ha colpito il mio pc antivirus e firewall disattivati msn disattivato tutto quanto provo a scaricare non lo apre argh come devo fare?provo molti tools ma niente aiutami

[cryswebtube]

Cerca su Google "worm.bagle.gen removal tool". Il primo risultato è il tool di rimozione su Softpedia... dovrebbe aiutarti ;)

[morex34]

scusa ma del programma che hai fatto te non riesco a trovarlo nel sito.

ah una domanda, come hai fatto a fare il vieo senza (almeno io nn vedo nulla) programmi o cose varie.

grazie

[cryswebtube]

Per filmare il desktop ci sono un sacco di programmi. Io ho utilizzato Camtasia Studio, è a pagamento ma ne vale la pena perchè ha diverse opzioni per il montaggio...

[babamanify]

ciao scusa io ho 1 grosso problema con 1 trojan, credo che mi stia rovinando il comp lentamente. bo arrivando al punto: m trova due file identici ma con due percorsi diversi! quindi come posso aliminarli manualmente dato ke gli antivirus non ce la fanno?

ah i percorsi sono

C:\Documents and Settings\Christian\Impostazion­i locali\Temporary Internet Files\Content.IE5\0F3077H6\msg­asst84[1].dll'

C:\Documents and Settings\Christian\Dati applicazioni\Messenger\Drivers­\Aud32\msgasst84.dll

[cryswebtube]

Dovresti provare a rimuovere la dll da modalità provvisoria o con una distribuzione live. Su ThreatExpert è classificato come facente parte dei processi malevoli di Spyware.Known_Bad_Sites e Adware.SmartAd... niente di pericolossissimo ma comunque fastidioso

[cryswebtube]

Non toccarli, sono processi di sistema importanti, non si tratta assolutamente di virus! Gli altri invece cercali su Google così da capire se effettivamente si tratta di malware e qualcuno ha risolto...

[Checco94]

TOLTOOOO..!!! :D

[cryswebtube]

Se cerchi in Google martsho.dll trovi già tra le prime voci le procedure per rimuoverlo :)

[Checco94]

ho fatto tt i passaggi ma il ctfmon si ricrea sempre !!

[cryswebtube]

Start > Cerca > File o Cartelle impostando la ricerca di tutti i file. Poi a seconda di dove lo trovi vedi cosa fare. Se è uno spyware tipo programma lo disinstalli, se è il solito processo cerchi su Google il nome della DLL e trovi sicuramente la procedura per togliere tutti i file e le chiavi collegate

[cryswebtube]

Il file martsho.dll non è detto che si trovi per forza in System32... Se è uno Spyware ("Ad-Spy" lo fa pensare) potrebbe essersi installato come semplice programma o plug-in per qualche programma come Explorer... fai una ricerca del file su disco, se non è nascosto lo becchi al volo!

[Checco94]

Mi dice che lamministratore ha disabilitato leditor del registro di sistema e non lo sblocca, ho provato con il blocco note in .reg ma nn va....

[cryswebtube]

L'utente con il quale sei collegato non ha i diritti di amministratore... non ci puoi fare niente finché non ottieni tali diritti sul tuo account o non procedi direttamente come Administrator

[cryswebtube]

eMule è sufficiente disinstallarlo come un normale programma e cancellare i file rimasti in C:\Programmi\eMule (in questo modo elimini anche i punteggi e le ultime impostazioni rimaste). Su ProcessLibrary scrivi il nome del file del processo.

[cryswebtube]

Esattamente! Poi comunque non serve cercarli tutti... alcuni che sai per certo essere di sistema o di tue applicazioni non cercarli. Occhio ai nomi simili agli originali! Ad esempio alcuni virus possono prendere nome "explorer" quando magari quello vero, di sistema, si chiama "explore"...

[cryswebtube]

Cerchi i processi del task manager su siti come ProcessLibrary. Se te li segnala come malevoli allora procedi. Altrimenti (processi di sistema o di programmi che hai installato) li lasci stare. E' un procedimento che funziona ma fai sempre un backup dei dati o un punto di ripristino in modo da recuperare tutto se finisce male! :)

[enzinhop]

si hai ragione... stavo vedendo anche sul sito di exterminate che li dà tutti... ma come cerco i file? sono più di uno? a quanto ho capito gli .exe valgono per il task manager e i .dll? sono quelli in system32 e nel registro?.... sto diventando matto.... praticamente mi daranno la laurea ad honorem in informatica... maledetti programmatori di virus in c++!!! :)

[cryswebtube]

Non ti spaccare la testa a cercare chiavi di registro impossibili. Limitati a cercare i file eseguibili e le dll del virus, fermane il processo e cancella solo le chiavi di esecuzione automatica nel registro. Dovrebbe bastare renderli innocui, almeno nella maggior parte dei casi funziona, non è detto. Sul sito PCThreat, se cerchi "virtumonde" o "smitfraud" trovi le liste di file e dll.

[enzinhop]

O ad esempio questa su Virtumonde:

Virtumonde: [SBI $FD08B4B7] File di configurazione (File, nothing done) C:\WINDOWS\system32\ISCdLRqr.i­ni2

[enzinhop]

Altro dettaglio: nel vedere i risultati su blocco appunti dalla scansione spybot riguardo ai virus, mi da nel dettaglio alcune info su di loro ad esempio:

Smitfraud-C.: [SBI $99619F8C] Impostazioni (Chiave di registro, nothing done) HKEY_USERS\S-1-5-21-1038243627­-1295432662-2003556455-1005\So­ftware\Microsoft\instkey ... cosa vogliono dire? sono le locazioni delle loro chiavi?

[enzinhop]

Ma come? no crys nn me lo dire... formattare mai! nn si puo' darla vinta a chi crea questi maledetti virus! dai prova ad elencarmi le chiavi che hai trovato... e poi scusa il processo associato al virus in esecuzione nel task manager ci deve essere per forza... magari camuffato ma deve esserci! cmq ti dico le varianti per virtumonde che ho io sono: Virtumonde, Virtumonde.generic, Virtumonde.prx Segnalate tutte da Spybot insieme a Smitfraud-C..

[enzinhop]

Altro dettaglio: tutte le volte che esco da Windows Xp mi compare una finestra "explorer.exe" la quale dice che chiudendo l'applicazione tutti i dati verranno persi... ma io nn ho aperta nessuna finestra quando esco dal sistema!.... ??? non è che la chiave da chiudere è "explorer.exe"? Ti prego rispondi al più presto sto impazzendo.. grazie di nuovo

[cryswebtube]

Riguardo Smitfraud-C e Virtumonde avevo scritto qualcosa sul mio forum. E' da un po' che l'ho chiuso ma niente paura, entro qualche ora dovrei riuscire a postare una guida sul mio sito con i passaggi chiave.

Per quanto riguarda explorer.exe alla chiusura del sistem... è dovuto a qualche operazione in sospeso durante il logout. Non è un vero problema a quanto ne so, quindi non preoccuparti, non comporta nessuna perdita di dati! ;)

[enzinhop]

cioè vale a dire, posso tranquillamente eliminare il processo explorer.exe dal task manager? non ho capito... cmq vundofix e smitfraudfix, che nello specifico dovrebbero eliminarli, non eliminano un bel nulla, li ho già provati entrambe. Vanno eliminati manualmente Crys nn c è nulla da fare. Bisogna trovare le chiavi esatte ed essere certi di cio' che si elimina dal registro...

[cryswebtube]

No, non devi chiudere il processo explorer.exe dal task manager, non servirebbe a niente. A meno che non individui quale processo lo utilizza e lo lascia in sospeso, non puoi farci niente. Cmq evidentemente ti sei beccato delle varianti dei due virus che i fix non riconoscono (ce ne sono diverse decine). Per Virtumonde ho trovato le chiavi e i file associati, ma sono tantissimi e diversi per ogni sua variante... Fai prima a formattare a momenti...

[enzinhop]

Ma come? no crys nn me lo dire... formattare mai! nn si puo' darla vinta a chi crea questi maledetti virus! dai prova ad elencarmi le chiavi che hai trovato... e poi scusa il processo associato al virus in esecuzione nel task manager ci deve essere per forza... magari camuffato ma deve esserci! cmq ti dico le varianti per virtumonde che ho io sono: Virtumonde, Virtumonde.generic, Virtumonde.prx Segnalate tutte da Spybot insieme a Smitfraud-C...

[enzinhop]

"Smitfraud-C" "Virtumonde" e "Virtumonde.generic" i nomi esatti dei processi malevoli. Tra l'altro, mi stando generando anche diversi cookie, segnalati anche essi da Spy Bot come voci Browser. Grazie ancora!

[enzinhop]

Ho contratto due spyware: "Smitfraud" e "Virtumonde", rilevati di Spybot Search e Destroy, ma non me li elimina. Sapresti darmi informazioni riguardo a loro chiavi di registro in modo da elimiarli manualmente con questa procedura? Come al solito anche tramite mail o qui. Grazie mille!

[LeonardoeLaila]

ok grazie

[LeonardoeLaila]

una cosa: pure io ho questo ctfmon.exe ma ce l'ho da quando anvevo il pc.Come mai?

[cryswebtube]

Perchè è già incluso in Windows. Più precisamente attiva il processore per l'input di testo (TIP, Text Input Processor) di Input alternativo utente e la barra della lingua di Microsoft Office. Quindi averlo nel PC è normale, dipende poi se è quello originale o quello del virus che usa lo stesso nome per cammuffarsi...

[enzinhop]

Molto bravo, però asc io ho un problema, devo aver preso alcuni spyware, xkè mentre navigo normalm, s aprono pagine in automat, contenenti pubblicità ingannevoli di programmi anti-spyware, anti-popup, e altre d contenuto vario. M sembra molto valido il tuo metodo, e l ho capito, però il probl è: come faccio a riconosc le "chiavi malevole" dal task manager? io ad esemp office ce l'ho istallato e, a diffe del tuo caso, nn posso risch di eliminare a caso. Fam saxe anke tramite mail. Grazie.

[cryswebtube]

Nel tuo caso non troverai chiavi di esecuzione automatica perchè si tratta di piccoli plug-in e controlli che si avviano con Internet Explorer. Quindi dovresti andare a guardare a mano tutte le chiavi di Explorer, è un lavoraccio!!! Ti consiglio di eseguire una scansione con SpyBot o Spyware Terminator, così da reperire almeno i nomi degli spyware che ti sei beccato, per poi eliminarli automaticamente tramite programma o manualmente trovando le procedure e le chiavi di registro con Google.

[cryswebtube]

Più che crearlo con un programma apposito, lo scrivi. Devi conoscere molto bene un linguaggio di programmazione (di solito sono scritti in c++), scrivere il codice, compilarlo per la piattaforma giusta... ma perchè crearne uno??? O_o

[LeonardoeLaila]

bravo,molto bravo

[lazykiller87]

lol?

la fai leggermente troppo semplice...

[cryswebtube]

Non per niente dico chiaramente che molti virus prevedono complicazioni. Questo è un metodo abbastanza semplice, spiegato in termini altrettanto semplici per far capire a tutti come cavarsela in situazioni non troppo complicate... C'è chi non sa nemmeno cosa fare quando si becca qualche malware, io così gli do uno spunto! ;)