virus che crea collegamenti non si elimina

system · 2015-10-24T15:44:16.000Z

Ciao a tutti ho un problema con un virus penso un worm che non riesco a eliminare. Mi crea collegamenti nei dispositivi usb, appena cerco di eliminare il virus si crea subito, se formatto non cambia e anche in modalità provvisoria non risolvo. Il virus si chiama LNK:Jenxcus-D [Trj]

giogio · 2015-10-24T18:50:57.000Z

Ciao,
prima di tutto scarica e installa MCShield http://www.mcshield.net/download.html
Lui inizialmente eseguirà una scansione e mostrerà il risultato vicino all’orologio di sistema
Poi, nel centro di controllo di MCShield selezione scanner e spuntare la voce unhide items on flash drives

https://dl.dropbox.com/u/73555776/mcshield%20unhide.JPG

Inserire la chiavetta USB e McShield inizierà una scansione
Quindi allegare con il prossimo post il log, che sarà qui:
Start> Programmi> McShield>> tutte le scansioni

system · 2015-10-25T12:44:26.000Z

ok tra poco faccio tutto grazie, a questo punto collego le 2 chiavette e un hd esterno che penso abbiano il virus, perchè mi creavano collegamenti non pensando che fosse un virus. >:(
io per ora ho avast free edition e dopo questo virus avevo installato SUPERAntiSpyware Free Edition che non mi ha risolto il problema, forse se lo installavo prima non lo avrei adesso.

gionatan.rmn · 2015-10-25T18:14:27.000Z

stex921 post:1:

Ciao a tutti ho un problema con un virus penso un worm che non riesco a eliminare. Mi crea collegamenti nei dispositivi usb, appena cerco di eliminare il virus si crea subito, se formatto non cambia e anche in modalità provvisoria non risolvo. Il virus si chiama LNK:Jenxcus-D [Trj]

Come fai a conoscere il nome del virus? Lo ha rilevato avast?
Se si se te lo ha rilevato avast come mai non te lo ha bloccato?

system · 2015-10-26T20:35:25.000Z

Si lo ha rilevato avast, ma appena provo a eliminarlo, bloccarlo o altro si rigenera subito. Comunque ho collegato le chiavette usb e mc shield mi ha rilevato subito il malware, allego il file log della scansione. Penso di aver scoperto da dove proviene il virus, MOVIE_20151012.AVI.WEBM.FLV ecc ecc .vbs
un file che avevo scaricato da fonte assolutamente non attendibile…

collegando anche l hd esterno non mi ha rilevato niente per fortuna, sembra che si replica solo su chiavette. Spero ci sia una soluzione senza re installare windows, anche se ultimamente sto pensando di passare a linux o simile.

giogio · 2015-10-26T22:36:57.000Z

Ok
Fai una scansione anche con farbar e allega i log https://forum.avast.com/index.php?topic=166413.msg1185101#msg1185101
Che versione hai di avast? La 10.4.2233?

system · 2015-10-27T20:33:30.000Z

Appena acceso il pc e avast mi rileva lo stesso virus in C, user, appdata, roaming…
comunque si ho quella versione di avast
ho scaricato farbar e fatto partire la scansione, avast me lo aveva rilevato come virus poi ho ignorato e finito la scansione. Allego i 2 file log.

giogio · 2015-10-27T20:41:27.000Z

Ciao,
ho chiesto ad un malaware removal specialist di unirsi a questo topic,
spero che ti risponda presto

Nel frattempo riesci a postare l’immagine del tuo schermo con l’allarme che mostra avast?

essexboy · 2015-10-27T20:50:31.000Z

Let me know if this stops it

CAUTION : This fix is only valid for this specific machine, using it on another may break your computer

Open notepad and copy/paste the text in the quotebox below into it:

CreateRestorePoint: HKU\S-1-5-21-1051667977-3788622818-547820116-1000\...\Run: [MOVIE_20151012] => wscript.exe //B "C:\Users\ste\AppData\Roaming\MOVIE_20151012.AVI.WEBM.FLV_UCNUY389NCU52389Y5UC9823NYC589NY3289C5NY2389CY53NY58923YNC895N3Y298C5YN8239NYC5892YN59N825N2985N92592N59N2895NY239.vbs" ShellIconOverlayIdentifiers: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => No File ShellIconOverlayIdentifiers: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} => No File ShellIconOverlayIdentifiers: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => No File ShellIconOverlayIdentifiers-x32: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} => No File ShellIconOverlayIdentifiers-x32: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} => No File ShellIconOverlayIdentifiers-x32: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} => No File Startup: C:\Users\ste\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\MOVIE_20151012.AVI.WEBM.FLV_UCNUY389NCU52389Y5UC9823NYC589NY3289C5NY2389CY53NY58923YNC895N3Y298C5YN8239NYC5892YN59N825N2985N92592N59N2895NY239.vbs [2015-10-12] () HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.oursurfing.com/?type=hp&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.oursurfing.com/?type=hp&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.oursurfing.com/web/?type=ds&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.oursurfing.com/web/?type=ds&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z&q={searchTerms} HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.oursurfing.com/?type=hp&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.oursurfing.com/?type=hp&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.oursurfing.com/web/?type=ds&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z&q={searchTerms} HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.oursurfing.com/web/?type=ds&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z&q={searchTerms} HKU\S-1-5-21-1051667977-3788622818-547820116-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.oursurfing.com/?type=hp&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.oursurfing.com/web/?type=ds&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z&q={searchTerms} SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.oursurfing.com/web/?type=ds&ts=1435874642&z=24888b5809de05f79c6fe45gbz5c8w7bemez1qec1w&from=2sq&uid=SamsungXSSDX840XEVOX120GB_S1D5NSBDA89697Z&q={searchTerms} SearchScopes: HKU\S-1-5-21-1051667977-3788622818-547820116-1000 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = FF HKLM-x32\...\Firefox\Extensions: [searchffv2@gmail.com] - C:\Users\ste\AppData\Roaming\Mozilla\Firefox\Profiles\vxcoykt2.default\extensions\searchffv2@gmail.com FF HKLM-x32\...\Firefox\Extensions: [sweetsearch@gmail.com] - C:\Users\ste\AppData\Roaming\Mozilla\Firefox\Profiles\vxcoykt2.default\extensions\sweetsearch@gmail.com U3 aul7ho2a; C:\Windows\System32\Drivers\aul7ho2a.sys [0 ] (Microsoft Corporation) <==== ATTENTION (zero byte File/Folder) 2015-10-13 00:05 - 2015-10-12 17:29 - 00015223 _____ C:\Users\ste\AppData\Roaming\MOVIE_20151012.AVI.WEBM.FLV_UCNUY389NCU52389Y5UC9823NYC589NY3289C5NY2389CY53NY58923YNC895N3Y298C5YN8239NYC5892YN59N825N2985N92592N59N2895NY239.vbs 2015-10-13 00:05 - 2015-10-12 17:29 - 0015223 _____ () C:\Users\ste\AppData\Roaming\MOVIE_20151012.AVI.WEBM.FLV_UCNUY389NCU52389Y5UC9823NYC589NY3289C5NY2389CY53NY58923YNC895N3Y298C5YN8239NYC5892YN59N825N2985N92592N59N2895NY239.vbs Reg: reg delete HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local /f Reg: reg add HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local /f RemoveProxy: EmptyTemp: CMD: bitsadmin /reset /allusers

Save this as fixlist.txt, in the same location as FRST.exe

https://dl.dropboxusercontent.com/u/73555776/FRSTfix.JPG

Run FRST and press Fix
On completion a log will be generated please post that

THEN

Download Anti VBS/VBE to your desktop

[]download the appropriate version (32 bit or 64 bit) and double click the file to run it.
[]After a couple of seconds (might also take a whole minute if the machine is heavily infected and/or slow) a report will open in Notepad.
[*]Post that report

Be aware this is a very new programme and as such is not recognised by any Antivirus or Windows, it is safe so allow it to run

FINALLY

Please download AdwCleaner by Xplode onto your desktop.

[*]Close all open programs and internet browsers.
[*]Double click on AdwCleaner.exe to run the tool.
[*]Click on Scan.
[*]After the scan is complete click on “Clean”
[*]Confirm each time with Ok.
[*]Your computer will be rebooted automatically. A text file will open after the restart.
[*]Please post the content of that logfile with your next answer.
[*]You can find the logfile at C:\AdwCleaner[S0].txt as well.

system · 2015-10-27T21:54:22.000Z

allego il fixlog di FRST, il report di Anti VBS e il file log di pulizia di adwcleaner

Dopo aver riavviato il pc, avast mi ha rilevato il virus nelle chiavette, ho visto i file .vir e li ho eliminati. Adesso collegando le chiavette non si crea più il virus sembra risolto il problema.

giogio · 2015-10-27T21:57:22.000Z

Gli allarmi di avast sono cessati?
Are the avast alarms ceased?
ok bene

system · 2015-10-27T22:20:05.000Z

grazie mille di tutto, per evitare problemi simili cosa tengo installato oltre ad avast? tutti questi programmi o basta un anti malware ?

giogio · 2015-10-28T07:29:01.000Z

Io oltre ad avast ho Mbam free
https://it.malwarebytes.org/downloads/
con cui eseguo delle scansioni settimanali non essendo in realtime.
ciao

system · 2015-10-28T16:33:12.000Z

ok allora lo installerò anche io, è utile tenere installato MCShield anti-malware tool ? ho visto un altro prodotto della famiglia Malwarebytes, Anti-Exploit. Può essere utile anche questo?

giogio · 2015-10-28T18:53:01.000Z

L’importante a mio avviso è non esagerare. Non bisogna avere 10 tools di sicurezza installati sul pc che poi tra l’altro potrebbero fare conflitto tra loro…
Un antivirus + un anti malaware + aggiornare windows/programmi + la prudenza sono più che sufficienti
Direi che se usi tanto le chiavette di altre persone di installare MCShied altrimenti no.
L’ho usato ma poi rimane sempre aperto… ho preferito installare invece questo che una volta installato devi solo aggiornarlo ogni tanto https://www.foolishit.com/cryptoprevent-malware-prevention/
Questo è quello che consiglia Essexboy https://forum.avast.com/index.php?topic=178242.msg1262203#msg1262203

ciao

Announcements