[HELP] Trojan Puper.dll

[Finrod Felagund]

Salve ho un problema con un Trojan denominato puper.dll. Mcafee lo rileva ad ogni avvio del computer e lo cancella ma quando riavvio si ricrea e viene ricancellato. Non so come eliminarlo...

[Sticky©]

Intanto fai una scansione online con TrendMicro ( e' necessario andarci con Internet Explorer ).

Poi, in caso di esito negativo, passiamo alla rimozione manuale...

[Finrod Felagund]

Fatto la scansione ma non ha avuto effetti .

[Sticky©]

Scarica HijackThis!, genera un log e postalo qui sul forum.

[Finrod Felagund]

Logfile of HijackThis v1.99.1
Scan saved at 8.23.37, on 28/05/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\programmi\mcafee.com\agent\mcdetect.e xe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
c:\PROGRA~1\mcafee.com\agent\mctskshd.ex e
c:\PROGRA~1\mcafee.com\vso\OasClnt.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\PROGRA~1\McAfee.com\PERSON~1\MpfServi ce.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\mcafee.com\vso\mcvsshld.exe
c:\progra~1\mcafee.com\vso\mcvsescn.exe
c:\programmi\mcafee.com\agent\mcagent.ex e
C:\WINDOWS\system32\GSICON.EXE
C:\WINDOWS\system32\dslagent.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray. exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
c:\progra~1\mcafee.com\vso\mcvsftsn.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\system32\wscntfy.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfAgent .exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\io\Desktop\hijackthis_199\Hijac kThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dl l
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programmi\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [VSOCheckTask] "C:\PROGRA~1\McAfee.com\VSO\mcmnhdlr.exe " /checktask
O4 - HKLM\..\Run: [VirusScan Online] C:\Programmi\McAfee.com\VSO\mcvsshld.exe
O4 - HKLM\..\Run: [OASClnt] C:\Programmi\McAfee.com\VSO\oasclnt.exe
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\McUpdate.ex e
O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray. exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programmi\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCE L.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dl l
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dl l
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.D LL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared /mcinsctl/4,0,0,101/mcinsctl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{224C0 19F-4E6C-496A-8DFE-E8D76A8E95F3}: NameServer = 212.216.172.62 151.99.125.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programmi\File comuni\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\programmi\mcafee.com\agent\mcdetect.e xe
O23 - Service: McAfee.com McShield (McShield) - McAfee Inc. - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\PROGRA~1\mcafee.com\agent\mctskshd.ex e
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.ex e
O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\PROGRA~1\McAfee.com\PERSON~1\MpfServi ce.exe

[Sticky©]

Il log di Hijack e' pulitissimo...

Proviamo a rimuoverlo col Sophos:

Scarica questo file autoscompattante ed estrailo dove vuole lui ( mi sembra c:\SAV32CLI ).

Poi scarica questi altri file e mettili nella cartella di cui sopra:

http://www.sophos.com/downloads/ide/sdbo -agc.ide
http://www.sophos.com/downloads/ide/zapc h-kv.ide
http://www.sophos.com/downloads/ide/jubi k-a.ide


Riavvia in Modalita' Provvisoria, apriti un Prompt dei Comandi ( con Start-->Esegui-->cmd ) e poi da li dai i seguenti comandi:

CD C:\SAV32CLI

SAV32CLI -REMOVE -P=C:\LOGFILE.TXT

Speriamo basti...

[Finrod Felagund]

Sophos Anti-Virus
Version 4.05.0 [Win32/Intel]
Virus data version 4.05, May 2006
Includes detection for 121104 viruses, trojans and worms
Copyright (c) 1989-2006 Sophos Plc, www.sophos.com

System time 11:41:07, System date 28 May 2006
Command line qualifiers are: -REMOVE

IDE directory is: C:\SAV32CLI

Using IDE file sdbo-agc.ide
Using IDE file zapch-kv.ide
Using IDE file jubik-a.ide

Quick Scanning

Password protected file C:\Documents and Settings\io\Impostazioni locali\Temp\vusj6rha.ppt
Password protected file C:\Programmi\Adobe\Acrobat 7.0\Reader\Messages\ENU\RdrMsgENU.pdf
Password protected file C:\Programmi\Adobe\Acrobat 7.0\Reader\Messages\ENU\read0600win_ENUy hoo0010.pdf
Password protected file C:\Programmi\Adobe\Acrobat 7.0\Reader\Messages\ITA\RdrMsgITA.pdf
Password protected file C:\Programmi\Adobe\Acrobat 7.0\Reader\Messages\RdrMsgSplash.pdf
Password protected file C:\Programmi\Adobe\Acrobat 7.0\Reader\WebSearch\WebSearchENU.pdf
Could not open C:\WINDOWS\system32\drivers\dtscsi.sys
Could not open C:\WINDOWS\system32\drivers\sptd.sys
Could not open C:\WINDOWS\system32\drivers\sptd0829.sys

2 boot sectors swept.
15175 files swept in 5 minutes and 18 seconds.
9 errors were encountered.
No viruses were discovered.
6 encrypted files were not checked.
Ending Sophos Anti-Virus.

[Sticky©]

Quegli errori non sono un problema. Ma il Mcafee continua a segnalare quel virus?

[Finrod Felagund]

Nockmaar ha scritto dom, 28 maggio 2006 alle 11:56
Ma il Mcafee continua a segnalare quel virus?

Si

[blue_tech]

Finrod Felagund ha scritto dom, 28 maggio 2006 alle 12:24

Nockmaar ha scritto dom, 28 maggio 2006 alle 11:56
Ma il Mcafee continua a segnalare quel virus?

Si

scarica questo, aggiornalo e fai una scansione completa

-> http://www.ewido.net/en/

EDIT: in che cartella te lo trova?

[firewall76]

http://vil.nai.com/vil/SystemHelpDocs/Di sableSysRestore.aspx

le istruzioni del link le hai già seguite?

[Finrod Felagund]

firewall76 ha scritto dom, 28 maggio 2006 alle 13:13
http://vil.nai.com/vil/SystemHelpDocs/Di sableSysRestore.aspx

le istruzioni del link le hai già seguite?

Si già provato.

[Finrod Felagund]

blue_tech ha scritto dom, 28 maggio 2006 alle 13:06


EDIT: in che cartella te lo trova?

System32 ogni volta all'avvio McAfee trova un file *.tmp diverso infetto nella suddetta cartella e lo cancella.

[blue_tech]

Finrod Felagund ha scritto dom, 28 maggio 2006 alle 13:24

blue_tech ha scritto dom, 28 maggio 2006 alle 13:06


EDIT: in che cartella te lo trova?

System32 ogni volta all'avvio McAfee trova un file *.tmp diverso infetto nella suddetta cartella e lo cancella.

fai una scansione di quella cartella con ewido come ti ho scritto sopra

EDIT: qui ti dice che per rimuoverlo basta che aggiorni l'antivirus e che lo elimini con quello dopo aver disattivato il ripristino di sistema

http://vil.nai.com/vil/content/v_133665. htm

[Finrod Felagund]

blue_tech ha scritto dom, 28 maggio 2006 alle 13:26

EDIT: qui ti dice che per rimuoverlo basta che aggiorni l'antivirus e che lo elimini con quello dopo aver disattivato il ripristino di sistema

http://vil.nai.com/vil/content/v_133665. htm

Quello è la prima cosa che ho provato a fare ma non ha sortito alcun effetto.

[blue_tech]

Finrod Felagund ha scritto dom, 28 maggio 2006 alle 13:59

blue_tech ha scritto dom, 28 maggio 2006 alle 13:26

EDIT: qui ti dice che per rimuoverlo basta che aggiorni l'antivirus e che lo elimini con quello dopo aver disattivato il ripristino di sistema

http://vil.nai.com/vil/content/v_133665. htm

Quello è la prima cosa che ho provato a fare ma non ha sortito alcun effetto.

vai con ewido allora

[Finrod Felagund]

blue_tech ha scritto dom, 28 maggio 2006 alle 14:05

vai con ewido allora

Ha funzionato . Ha rilevato un file infetto in system32 l'ha cancellato e al riavvio non ho avuto più il messaggio.

[blue_tech]

Finrod Felagund ha scritto dom, 28 maggio 2006 alle 14:59

blue_tech ha scritto dom, 28 maggio 2006 alle 14:05

vai con ewido allora

Ha funzionato . Ha rilevato un file infetto in system32 l'ha cancellato e al riavvio non ho avuto più il messaggio.

eccellente