Attacco virus, conseguenza: Wireless non funziona più

[superkernel]

Sul mio XP, il Norton ha rilvevato e bloccato un tentativo di attacco virus (probabilmente in un exe file che avevo fatto partire):
"Auto-Protect has detected Hacktool.Rootkit,"Blocked, Blocked",Resolved - No Action,Auto-Protect,,,,Virus,,,f:\documents and settings\administrator\application data\drivers\wfsintwq.sys"
un file wgupgro.exe (non ricordo lo spelling esatto, ma che era nella stessa cartella) si era anche registrato all'avvio. Per poter cancellare la cartella "f:\documents and settings\administrator\application data\drivers\" ho dovuto accedere al drive riavviando il computer in Vista (ho il dual boot).

Il fatto è che la mia wireless non funziona più. Uso XP e Aprendo il Wireless Network Connection, non appare nessuna rete nella lista ma solo il seguente messaggio di errore:

"Windows cannot configure this wireless connection.
If you have enabled another program to manage this wiress connection, use that software.
If you want Windows to configure this wireless connection, start the Wireless Zero Configuration (WZC) service. For information about starting the WZC service, see article 871122 in the Microsoft Knowledge Base on the microsoft.com Web site"

consulto l'articolo 871122 (link seguente)
http://support.microsoft.com/kb/871122
seguo le istruzioni ma ho due problemi:
1 non trovo scritto da nessuna parte "Use Windows to configure my wireless network settings"
2 Avviando Wireless Zero Configuration, e poi cliccando Start in Service status area, ho il seguente messaggio di errore: "Could not start the Wireless Zero Configuration servire on Local Computer. Error 1068: The dependency service or group failed to start"

Ho provato diverse soluzioni alternative, ma sempre con esito negativo:
- Ho anche reistallato i drivers per la scheda wireless ma nulla.
- Rimosso la scheda wireless da Gestione risorse hardware, e poi reistallata automaticamente al riavvio
- Il Ripristino del sistema a un punto precedente non va a buon termine (ho provato con diversi punti di ripristo ma nulla)
- Non riesco ad avviare in XP in modalità provvisoria: al termine del caricamento dei driver a schermo, appare una schermana blu (quella classica di errore di windows!) per qualke istante (non riesco a leggere il contenuto e nemmeno a premere il tasto pausa in tempo!) e poi il computer si riavvia da solo
- Ad ogni avvio di Windows, una volta caricata l'immagine in background e qualke driver, il computer va in "freeze"... ovviamente non posso accedere a Risorse del computer o qualsiasi altra cosa se non attendo circa 3min che il sistema operativo si carichi completamente, da cosa dipende?!

Come faccio a ripristinare la wireless sul mio computer?
Grazie

[quizface]

ma, nei servizi, Zero Configuration e' avviato?

start -> esegui -> %SystemRoot%\system32\services.msc /s, -> (metti anche la virgola dopo la s ) invio

oppure Pannello di controllo -> Strumenti di amministrazione -> Servizi -> (e' fra gli ultimi dell'elenco)

[superkernel]

avevo gia' controllato se fosse avviato facendo Run > msconfig e poi andando in Servizi
e il Wireless Zero Configuration è riportato come "stopped" quindi NON è avviato

come faccio?

credevo fosse problema del Norton, ne ho disattivato l'avvio automatico (sempre deselezionando le voci relative nella lista Sevizi) ma nulla. Ancora come dicevo in precedenza il computer va in freeze per alcuni minuti prima che win XP si carichi completamente (questo avviene giusto prima che le icone della rete LAN e wireless appaiano sulla barra applicazioni)

grazie

[quizface]

ma se avvii il servizio, funziona?

[superkernel]

no riesco ad avviare il servizio!
come scrivevo nel messaggio iniziale, quando provo ad avviare manualmente la WZC ho il seguente messaggio di errore...
"Could not start the Wireless Zero Configuration servire on Local Computer. Error 1068: The dependency service or group failed to start"

Al momento sto accedendo ad internet avviando il computer in vista, Sembra inoltre che sia di costante sotto attacco dall'esterno, dato che il norton mi rileva e blocca diversi tentativi di intrusione.
come fermo tutto cio?

[MIKI68]

Posta il log di hijackthis, hai mai sentito parlare di un certo virus "Win32.DSNChanger? Nel frattempo scaricati anche malwarebyte http://www.ilsoftware.it/querydl.asp?id=1078 aggiornalo e fai una scansione completa (ricordati di togliere la spunta da "visualizza file e cartelle nascosti")!!Ho l'impressione che sei ancora infetto

[piquet]

Ciao MIKI68, ciao superkernel...
sono anche io alle prese con lo stesso (suppongo) virus.
Ho aperto un file exe scaricato in peer to peer. Pensavo che il Norton Internet Security rilevasse l'allarme... Ma niente!
Quindi mi si è spendo il pc (su cui ho installato il Vista 32). Quando l'ho riacceso non mi funzionava più la wireless ("nessuna connessione attiva ad alcuna rete"). Prima di provare a riattivarla, sto tentando di eliminare il virus, per il Norton mi segnala la sua presenza, sebbene mi segnali anche di averlo bloccato. Ogni "tot" mi vengono segnalati anche degli attacchi (bloccati) al sistema.
Inoltre, se mi collego con il cavo di rete tutto funziona, ma non riesco ad inviare e ricevere la posta con il programma Outlook.
Questi sono i sintomi... Proprio in questo momento sto provando a seguire il consiglio di MIKI68. Ho scaricato Malwarebytes e sto facendo una prima scansione.
Dai che aiutandoci riusciamo a rimettere tutto a posto!
Grazie della collaborazione, a dopo.

[piquet]

Ciao MIKI68,
ho provato a fare una scansione con Malawarebyte e mi rivela un file infetto ed un valore di registro infetto.

Ho riavviato il computer, ma il Norton continua a rilevare e bloccare un Hacktool.Rootkit (wfsintwq.sys). Non sto utilizzando internet (attualmente utilizzo il mio computer da tavolo).
Ecco alcune informazioni che potrebbero risultare interessanti segnalate nel file .log.

Valori di registro infetti:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\drvsyskit (Trojan.Agent) -> Quarantined and deleted successfully.

File infetti:
C:\Users\dario\AppData\Roaming\drivers\winupgro.exe (Trojan.Agent) -> Delete on reboot.

Sai come potrei procedere a questo punto?
Grazie mille anticipatamente per il tuo aiuto.

Dario

[MIKI68]

Allora andiamo in ordine... il rootkit wfsintwq.sys dà diversi problemi quindi :
-Il nome del file è associato con il gruppo del malware
-Questo processo Disabilita Altri Prodotti di sicurezza a te funziona il norton
- poi viene Creato come un nuovo servizio di sfondo sulla macchina
-[b]Eseguito come un processo
-Soppresso come un processo dal disco
- quindi WFSINTWQ.SYS è considerato pericoloso
Allora Dario devi rifare la scansione completa con malwarebytes aggiornato ed in modalità provvisoria, comunque a te questa chiave HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\drvsyskit (Trojan.Agent) -> Quarantined and deleted successfully. è infetta e sta in quarantena!!
Per rimuovere il drvsyskit che si trova in C:\Users\dario\AppData\Roaming\drivers\winupgro.exe (Trojan.Agent) dovresti usare combofix però vediamo dopo la nuova scansione in modalità provvisoriia con malwarebytes cosa trova !!!!Fai girare anche l'antivirus in modalità provvisoria e ricordati di mettere la spunta a "visualizza cartelle e file nascosti" da opzioni cartella in pannello di controllo!!!

[piquet]

Grazie MIKI,
sono rientrato praticamente adesso dal lavoro.
Domattina proverò ad eseguire una nuova scansione in modalità provvisoria e ti farò sapere.
Ancora grazie, Dario.

[piquet]

Ciao MIKI68,
ho appena terminato di effettuare una scansione in modalità provvisoria. Sia il Norton che il Malawarebytes (che avevo precedentemente provveduto ad aggiornare), non mi rivelano in questo stato alcuna presenza di virus. Tuttavia, tornando in modalità standard, il Norton continua a rilevare e bloccare un Hacktool.Rootkit all'indirizzo c:\users\dario\appdata\roaming\drivers\wfsintwq.sys. Per essere precisi, non ho provato a ricollegarmi ad internet (ti scrivo sempre dal mio pc da tavolo) e comunque, per il momento, potrei farlo solamente tramite cavo poiché la wireless non funziona più.
Come mi consigli di procedere?

P.S. Ieri pomeriggio, dopo che avevo lasciato il notebook acceso da un po' (ma inoperativo), mi è apparso un messaggio di Norton che mi chiedeva di riavviare il pc per completare la rimozione di un virus. Nella cronologia del Norton viene infatti riportata la rimozione del virus c:\users\dario\appdata\roaming\drivers\wfsintwq.sys. Ma dopo un poco Norton me lo rileva e blocca nuovamente.

[MIKI68]

Ti consiglio di farti spostare da un moderatore in "sicurezza" c'è Luke 57 che è espertissimo di infezioni probabilmente ti aiuterà a risolvere!!!Se dopo la rimozione hai ancora problemi facci sapere che facciamo una procedura.....dimmi che wireless usi??

[piquet]

Gent.mo MIKI68,
ti comunico che ho risolto tutti i problemi. Dopo avere trovato su un altro forum un riferimento allo stesso virus da me contratto (identici sintomi e modalità di acquisizione del malaware in questione), ho seguito passo dopo passo tutto quello che si consigliava di fare. In realtà si trattava di una recente versione del worm Bagle (rilasciata nel mese di dicembre 2008 o nei primi giorni di gennaio 2009). Sono riuscito a debellarlo utilizzando il Findykill e poi eseguendo, cancellando manualmente il file che lo stesso programma mi indicava essere la fonte del contaggio, quindi eseguendo prima del riavvio del pc una scansione di verifica con Kaspery Removal Tool. Ti ho voluto illustrare i vari passaggi per aiutare un eventuale altra persona che incorra nello stesso problema.
Alla fine, riaccendendo il computer, tutto è ritornato alla normalità. Il Norton Internet Security non mi segnala più l'Hacktool.Rootkit e, cosa che mi ha reso tolto ulteriori preoccupazione, la wireless stessa ha ripreso a funzionare senza alcun problema.
L'unico inconveniente è che "misteriosamente" tutti gli account che avevo registrato sull'Outlook si sono rivelati privi di password. In pratica lo spazio della password era vuoto. Non so se è dipeso dal fatto che avevo provato a scaricare la posta quando il virus era già stato contratto, utilizzando la connessione via cavo. Comunque, ho memorizzato nuovamente le password e tutto funziona.
Alla fine ti ringrazio infinitamente questo forum e te la disponibilità e mi metto a mia volta a disposizione di tutti quelli che si ritroveranno alle prese con Hacktool.Rootkit wftsintwq.sys winupgro.exe.
Saluti, Dario.

[MIKI68]

PERFETTO!!!! Grazie mille per l'informazione l'importante è trovare una soluzione ad ogni problema, io personalmente non sono espertissimo di sicurezza, ma ho risolto molti problemi riguardanti le infezioni ed oggi ho scoperto un'altro caso, grazie piquet !!!

[piquet]

Grazie a te!

[superkernel]

carissimi Miki e Piquet,

mi scuso per la mia assenza, ma ho avuto molto lavoro da fare questa scorsa settimana per concludere una deadline.

Il mio problema si sta espandendo a macchia d'olio, intaccando anche WinVista ora. E come da sintomi annunciati da piquet, il mio outlook comicia a non volermi più mandare email.

ora, (in WinXP) ho fatto partire il FindyKill.cmd e mi rileva delle infezioni, ne rimuove solo alcune perchè probabilmente alcuni file sono in uso al riavvio de sistema. Provo ad avviare in modalità provvisoria (che ricordo prima non mi era possibile in quanto il sistema si resettava di nuovo da solo!).. il computer parte ma appena premo QUALSIASI TASTO della tastiera tuttto si blocca, devo spegnere il computer in modo forzato per poterlo riavviare. Il problema è che non posso usare il Findykill se non immetto da tastiera i processi da avviare ("e" per la lingainglese e poi "1" o "2" per controllo prima e rimozione dopo).
Ho quindi provato ad editare il file FindyKill.cmd (che include usa serie di comandi dos), ma senza successo dato che son passati i tempi quando ero capace di operazioni del genere... il mio scopo è quello di etitare il file in modo che salti il menu ed esegua direttamente le operazioni per il "controllo" prima e poi per la "rimozione", senza che io debba immettere alcun comando da tastiera.
L'unica cosa che posso usare in modalità provvisoria con rete è il touchpad...

per favore, c'è qualcuno che mi possa editare il file FindyKill.cmd in modo che mi esegua tutte le operazioni in automatico?
in aggiunta, piquet, potresti gentilmente postare il link dell'altro forum che menzionavi prima che ti ha aiutato a risolvere il problema?

grazie mille...

[superkernel]

aggiornamento:
son riuscito a risolvere parte del problema rimuovendo le registry entries infette manualmente dopo aver riavviato in modalità provvisoria.

FAcendo di nuovo prtire un'altra scasione di findykill, non mi ritrova nessuna infezione, solo questo problema quando va a controllare il registo:
Scanning registry...
Error: Rccess is denied in the key HKEY_CURRENT_USER\Software\Microsoft\Protected Storage System Prouider\S-1-5-21-1614895754-162531612-839522115-SBB
Error: The system was unable to find the specified registry key or value
Error: Rccess is denied in the key HKEY_CURRENT_USER\Software\Microsoft\Protected Storage System Prouider\S-1-5-21-1614895754-162531612-839522115-SBB
Error: The system was unable to find the specified registry key or value

provo a cancellare queste entries in maniera manuale ma nn mi è concesso. lo stesso vale da modalità provvisoria.
c'è da preoccuparsi?

Il problema che ho ora è sempre che in modalità provvisoria se premo qualsiasi tasto di tastiera il mio computer si blocca. Come risolvo questo problema?

[MIKI68]

Non ho capito cosa sia successo per questo errore: Error: The system was unable to find the specified registry key or value leggi qui: http://translate.google.it/translate?hl ... 26pwst%3D1
e comunque anche questo errore corrisponde alla pagina che ti ho indicato sopra scaricati il service pack3 ( se non lo hai già installato) dovrebbe contenere un hotfix che corregge quell'errore....

[superkernel]

ho scaricato il SP3, ma quell'errore che nn può accedre alle chiavi prima indicate resta.

Resta pure il fatto che il computer si blocca quando premo qualsiasi tasto se riavviato in modalità provvisoria (ma per questo magari dovrei postarlo come un'altro topic...)

[piquet]

Ciao Superkernel,
perdona il ritardo con cui ti rispondo.
Ti mando il link da cui potrai accedere alle istruzioni che ho seguito per rimuovere il virus.

http://www.megalab.it/3724/3/il-worm-ba ... -rimozione

Il procedimento è stato abbastanza semplice e non ha rivelato alcun problema, pur non essendo personalmente un grande esperto di queste cose.
Fai attenzione al punto in cui ti viene raccomandato di effettuare un "Searching other Infections" e di rimuovere manualmente (lo cancelli e basta) il file considerato all'origine dell'infezione che nel mio pc si era insediato nella cartella del programma TomTom.
Un'altra segnalazione che voglio farti è che, durante l'utilizzo del Findykill, con la schermata rossa, il programma ci mette diversi minuti a lavorare ed il led dell'hard disk non dà segnali di effettuare un grande "sforzo". Ti potrà sembrare che si è bloccato tutto. Abbi pazienza...
Fammi sapere...
Dario