Ciao... E' da una settimana che, dopo aver ricevuto una multa fasulla via mail, mi si apre la schermata di koolynoody.net e katasearch.com su internet explorer. Ho provato a fare di tutto... Il mio antivirus, Avast, trova solamente un paio di malware e win32, ma anche dopo averli eliminati il problema rimane.
Ho letto un topic nel forum che con Hijack This è stato risolto lo stesso problema... Potete darmi una mano e dirmi cosa devo eliminare? Ecco qui il testo copiato dal Log.
Grazie mille in anticipo.





Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13.37.03, on 19/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\EPSON\EBAPI\eEBSVC.exe
C:\Programmi\Adobe\Photoshop Elements 4.0\PhotoshopElementsFileAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\WFXSVC.EXE
C:\Programmi\WinFax\WFXMOD32.EXE
C:\WINDOWS\system32\atiptaxx.exe
C:\WINDOWS\system32\wfxsnt40.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\WinFax\WFXCTL32.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\explorer.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.katasearch.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Cram Toolbar - {01E69986-A054-4C52-ABE8-EF63DF1C5211} - C:\Programmi\Cram Toolbar\untitled.dll (file missing)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\bak\bak\bak\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Microsoft .Net Framework] C:\WINDOWS\system32\microsof\serv\servic.exe
O4 - HKCU\..\Run: [gmost.exe] C:\WINDOWS\system32\netdriver\service\gmost.exe
O4 - HKCU\..\Run: [updateMgr] "C:\Programmi\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Controller.LNK = C:\Programmi\WinFax\WFXCTL32.EXE
O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV03.EXE
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Search - http://kc.bar.need2find.com/KC/menusearch.html?p=KC
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {05CA9FB0-3E3E-4B36-BF41-0E3A5CAA8CD8} (Office Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=58813
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O17 - HKLM\System\CCS\Services\Tcpip\..\{D9C7F713-A9A7-406C-B185-9147AD195B66}: NameServer = 85.37.17.6 85.38.28.89
O23 - Service: Adobe Active File Monitor V4 (AdobeActiveFileMonitor4.0) - Unknown owner - C:\Programmi\Adobe\Photoshop Elements 4.0\PhotoshopElementsFileAgent.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: EpsonBidirectionalService - Unknown owner - C:\Programmi\File comuni\EPSON\EBAPI\eEBSVC.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: WinFax PRO (wfxsvc) - Symantec Corporation - C:\WINDOWS\system32\WFXSVC.EXE

--
End of file - 5815 bytes

Ciao laura85 .
Si tratta di un Worm.

Assicurati di avere accesso a file e cartelle nascosti
(Pannello di controllo-> Opzioni Cartella-> Visualizzazione)
1) Metti la spunta su: Visualizza file e cartelle nascoste
2) Togli la spunta: nascondi file protetti di sistema

Disattiva il ripristino configurazione di sistema, e tienilo disattivato, fino alla soluzione del problema http://guide.aiutamici.com/guide?C1=7&C2=68&ID=80121

Se non sai "fixare"le voci,segui questa guida dettagliata: http://www.aiutaamici.com/software?ID=11175

Avvia in modalità provvisoria http://guide.aiutamici.com/guide?C1=7&C2=68&ID=80122

Avvia hijackthis, metti la spunta alle voci che andrò ad elencarti e con tutte le applicazioni chiuse e disconnesso da Internet,premi su fix checked
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKCU\..\Run: [Microsoft .Net Framework] C:\WINDOWS\system32\microsof\serv\servic.exe
O4 - HKCU\..\Run: [gmost.exe] C:\WINDOWS\system32\netdriver\service\gmost.exe
O8 - Extra context menu item: &Search - http://kc.bar.need2find.com/KC/menusearch.html?p=KC
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -

ADESSO FAI ATTENZIONE:
Trova e cancella i file in rosso:
C:\WINDOWS\system32\microsof\serv\servic.exe
DEVI STARE ATTENTA A NON CONFONDERLO CON MICROSOFT
VEDI QUELLO SCRITTO IN ROSSO ? NOTA CHE MANCA UNA T .
E' QUELLO CHE DEVI ELIMINARE.(E' una cartella)
MI raccomando, NON ti sbagliare.

C:\WINDOWS\system32\P2P Networking\P2P Networking.exe /AUTOSTART (Ti consiglio la disinstallazione di P2P Networking )
C:\WINDOWS\system32\netdriver\service\gmost.exe (E' una cartella)

Devi controllare questa chiave del registro:
Hkey_Current_User\Software\Microsoft\Windows\CurrentVersion\Run
Cliccando sopra la cartella RUN,guarda nella pagina a destra, se trovi :C:\WINDOWS\system32\microsof\serv\servic.exe
Se lo vedi,lo elimini (tasto destro,elimina)

Scarica VIRIT :
http://www.tgsoft.it/italy/download.htm lo aggiorni (cliccando sulla parabola in alto) e lo fai girare in Modalità Provvisoria (è molto importante).

Scarica Spy-Bot da qui http://www.aiutaamici.com/software?ID=10831 e fai una scansione sempre in Modalità Provvisoria.

Dai una pulita (registro compreso)con CCleaner http://www.aiutaamici.com/software?ID=11223

Riavvia il computer.

Fai una scansione on-line con questo;
http://housecall.trendmicro.com/it/
Posta un nuovo log di HijackThis .

Ciao laura85 .
Cosa intendi dire "Non riesco a collegarmi ad internet in modalità provvisoria"?
Non devi collegarti a internet in MODALITA PROVVISORIA,lo credo che non ci riesci.
Virit lo SCARICHI in MODALITA NORMALE ,e fai LA SCANSIONE IN MODALITA PROVVISORIA.
Tutti i programmi,vanno scaricati in modalità normale,non è possibile(tecnicamente)scaricare file da internet in Modalita Provvisoria.
Hai eliminato la cartella microsof?
Altra cosa :C:\WINDOWS\system32\netdriver\service\gmost.exe
Prova a vedere se trovi il file scritto in rosso.


C:\WINDOWS\system32\netdriver\service\gmost.exe (E' una cartella non un file.)
E un'altra cosa ancora: Hai "visualizzato i file e cartelle nascoste ?"
Per la chiave del registro fai cosi:
Start\Esegui|digita:regedit\ok.
Clicca sul + di Hkey_Current_User
Clicca sul + di SOFTWARE
Clicca sul + di Microsoft
Clicca sul +di Windows
Clicca sul + di CurrentVersion
Scorri finchè trovi la cartella RUN
Cliccando sopra la cartella RUN,guarda nella pagina a destra, se trovi (può anche NON esserci):C:\WINDOWS\system32\microsof\serv\servic.exe
Se lo vedi,lo elimini (tasto destro,elimina)
Fai attenzione,quello che elimini, deve essere perfettamente uguale alla scritta in rosso

TUTTI PER RUDY!!!

Ciao laura85 .
Trovo strano...........
Non sono convinto di aver fatto fuori un Worms,semplicemente fixando delle voci di hijackthis.
Sarebbe la prima volta.
Comunque,dopo che hai fatto la scansione con Virit,posta un nuovo log di hijackthis.

Ciao laura85
Volevo ben dire........
Comunque :BUONE FERIE!!!!!!
DIVERTITI!