A niente , se sei fortunato e segui la rpocedura alla lettera riuscirai solo a sbarazzarti di quella porcheria di linkoptimizer..... Ecco la guida :
http://steven.altervista.org/files/rootkit.html

infatti le finestre che ho usato , sono quelle che hai postato tu sul forum ....

La sintomatologia (per usare i tuoi termini), è uguale (piu o meno) per tutti quelli che hanno contratto l'infezione ....

<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>
Bandw mi fai una cortesia ? riesci a mandarmi per email i file che trovi sul tuo sitema legati all'infezione , dovrresti giusto comprimerli e spedirli , ti và?
<hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>

Ciao Steven, fosse per me ti manderei anche il pc almeno vediamo se tu riesci a sistemare la faccenda, stasera descrivendo il problema a mio fratello ho visto che anche lui ha lo stesso problema tale e quale al mio (non abbiamo scambiato niente che possa avere infettato entrambi i pc), magari sarà il problema del momento!!!

Sinceramente oggi mi sono arreso, visto che il mio pc soffree ancora del'handicap del blocco del sistema

http://www.aiutamici.com/aiutaforum/topic.asp?TOPIC_ID=31809andFORUM_ID=61andCAT_ID=4andTopic_Title=Pulizie+di+fine+stagione:21:21+:3A:29andForum_Title=Discussioni+Varie

L'altra mattina dopo tre ore e mezza per una scansione online con un antivirus di quelli del tuo link, mi si è bloccato il pc quando mancavano 2 minuti e 48 secondi alla fine, dopo riaverlo riavviato e rifatto una scansione con un'altro antivirus e 01:50 di attesa mi si è nuovamente bloccato il pc
stamattina mi ero messo di buona lena ma dopo due blocchi del pc legati a non capisco cosa allora mi sono arreso ed ho deciso che finchè questo file non mi arreca nessun disturbo di connessione lascio tutto com'è, magari qualche mattina mi alzo e decido di formattare tutto e così faccio veramente un bel pò di pulizia!!
Comunque seguendo la procedura del tuo link (sito) ho avuto qualche problema in qualche punto e cioè:
al punto 7 mi fermo in quanto con hijaick non riesco a cancellare tramite delete an NT service perchè quando inserisco il nome del file .\yyzsvk mi dice testuali parole:
<b>Service".\yzsvk" was not found in the registry.
Make sure you entered the short name of the service., vBexclamation</b>
che pressappoco dovrebbe significare che non ha trovato questo file nel registro e di assicurarmi che il nome dello stesso sia giusto, lo stesso succede se inserisco il nome <b>thx.exe</b>, in effetti se la connessione mi appare solo al momento, sicuramente non potra trovare niente da cancellare, materialmente dall'elenco delle connessioni non c'è ninete adesso oltre alle normali, ma appare solo quando cerca di connettersi, poi si è bloccato il pc per l'ennesima volta e mi sono girate le ..... scatole!!!

Comunque forse da quando almeno sono riuscito da Esegui/services.msc/

<img src="http://i61.photobucket.com/albums/h71/BANDW1/WebBku1.jpg" border=0>

a commutare su disattiva (e quindi pare sia disabilitato) non succede nient'altro di più di quello che succedeva quando ancora tutto sembrava funzionasse (cioè disconnessione adsl e tentativi di connessione con modem 56k).


Grazie di cuore per il tuo interesse, sei davvero molto in gamba! (ti ho incrociato su diversi forum!) e complimenti anche per il tuo sito, semplice ed utilissimo per chi sta sempre davanti ad un monitor ed una tastiera.

ciao , bandw....
purtroppo in questi casi , hijackthis serve a poco .... almeno all'inizio , bisgona procedere, come sepiegato nella guida con altri metodi.... quindi solo seguendo la guida alla lettera si riesce a sconfiggere quell'infezione.... e posso dirti che ci si riesce....anche perchè io ho infettato volontariamente l'altro mio computer,e sono riuscito a liberarmene......

Ecco cosa mi ha trovato Kaspersky

C:\WINDOWS\system32\braa.dll Infected: Trojan.Win32.Gload.e skipped

vado e cancello!!

Ogni tuo desiderio è un ordine

<b> Log di G MER in modalità provvisoria scansione di autostart:</b>
GMER 1.0.10.10122 - http://www.gmer.net
Autostart 2006-08-24 00:11:29
Windows 5.1.2600 Service Pack 1


HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems@Windows = :SystemRoot:\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon@Userinit = C:\WINDOWS\system32\userinit.exe,

HKLM\SYSTEM\CurrentControlSet\Services\ )))
aswUpdSv /*avast! iAVS4 Control Service*/@ = "C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe"
avast! Antivirus /*avast! Antivirus*/@ = "C:\Programmi\Alwil Software\Avast4\ashServ.exe"
btwdins /*Bluetooth Service*/@ = C:\Programmi\TRUST\Bluetooth Software\bin\btwdins.exe
Fax /*Fax*/@ = :systemroot:\system32\fxssvc.exe
NVSvc /*NVIDIA Driver Helper Service*/@ = :SystemRoot:\System32\nvsvc32.exe
Spooler /*Spooler di stampa*/@ = :SystemRoot:\system32\spoolsv.exe
vsmon /*TrueVector Internet Monitor*/@ = C:\WINDOWS\system32\ZoneLabs\vsmon.exe -service
WebBku /*WebBku*/@ = "C:\Programmi\File comuni\System\thX.exe" /*file not found*/

HKLM\Software\Microsoft\Windows\CurrentVersion\Run )))
@Zone Labs Client"C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe" = "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
@avast!C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe = C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
@SiSUSBRGC:\WINDOWS\SiSUSBrg.exe = C:\WINDOWS\SiSUSBrg.exe
@PinnacleDriverCheckC:\WINDOWS\System32\PSDrvCheck.exe -CheckReg = C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg
@NvCplDaemonRUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup = RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
@nwiznwiz.exe /install = nwiz.exe /install
@REGSHAVEC:\Programmi\REGSHAVE\REGSHAVE.EXE /AUTORUN = C:\Programmi\REGSHAVE\REGSHAVE.EXE /AUTORUN

HKCU\Software\Microsoft\Windows\CurrentVersion\Run )))
@CTFMON.EXEC:\WINDOWS\System32\ctfmon.exe = C:\WINDOWS\System32\ctfmon.exe
@PowerBar ?? ?Bntx?nt????6?kteO?w ? ??? (?@ (?@ (?? !~?w ? ? ??? 0~?w(?@ (?@ ??? ??? ???w?O?w????0~?w?~?wp?? ??? ?~?w ??? ??? ?M?wp?? 0 ? ? ??kt6O?w ? ??q ?? O ? (?@ (?@ ??? ?C?w? D?@ (?@ ??@ (?@ ???s /*file not found*/ = ?? ?Bntx?nt????6?kteO?w ? ??? (?@ (?@ (?? !~?w ? ? ??? 0~?w(?@ (?@ ??? ??? ???w?O?w????0~?w?~?wp?? ??? ?~?w ??? ??? ?M?wp?? 0 ? ? ??kt6O?w ? ??q ?? O ? (?@ (?@ ??? ?C?w? D?@ (?@ ??@ (?@ ???s /*file not found*/
@SmartSync Pro"C:\Programmi\SmartSync Pro\SmartSync.exe" /Logon = "C:\Programmi\SmartSync Pro\SmartSync.exe" /Logon
@msnmsgr"C:\Programmi\MSN Messenger\msnmsgr.exe" /background = "C:\Programmi\MSN Messenger\msnmsgr.exe" /background

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )))
@{42071714-76d4-11d1-8b24-00a0c9068ff3} /*Estensione panoramica video del Pannello di controllo*/deskpan.dll /*file not found*/ = deskpan.dll /*file not found*/
@{5F327514-6C5E-4d60-8F16-D07FA08A78ED} /*Estensione finestra proprietà di aggiornamento automatico*/C:\WINDOWS\System32\wuaueng.dll = C:\WINDOWS\System32\wuaueng.dll
@{BDEADF00-C265-11D0-BCED-00A0C90AB50F} /*Cartelle Web*/C:\PROGRA~1\FILECO~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL = C:\PROGRA~1\FILECO~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL
@{0006F045-0000-0000-C000-000000000046} /*Microsoft Outlook Custom Icon Handler*/C:\Programmi\Microsoft Office\Office10\OLKFSTUB.DLL = C:\Programmi\Microsoft Office\Office10\OLKFSTUB.DLL
@{42042206-2D85-11D3-8CFF-005004838597} /*Microsoft Office HTML Icon Handler*/C:\Programmi\Microsoft Office\Office10\msohev.dll = C:\Programmi\Microsoft Office\Office10\msohev.dll
@{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4} /*Shell Extensions for RealOne Player*/(null) =
@{472083B0-C522-11CF-8763-00608CC02F24} /*avast*/C:\Programmi\Alwil Software\Avast4\ashShell.dll = C:\Programmi\Alwil Software\Avast4\ashShell.dll
@(null) =
@{6af09ec9-b429-11d4-a1fb-0090960218cb} /*My Bluetooth Places*/C:\WINDOWS\System32\btneighborhood.dll = C:\WINDOWS\System32\btneighborhood.dll
@{1CDB2949-8F65-4355-8456-263E7C208A5D} /*Desktop Explorer*/C:\WINDOWS\System32\nvshell.dll = C:\WINDOWS\System32\nvshell.dll
@{1E9B04FB-F9E5-4718-997B-B8DA88302A47} /*Desktop Explorer Menu*/C:\WINDOWS\System32\nvshell.dll = C:\WINDOWS\System32\nvshell.dll
@{E0D79304-84BE-11CE-9641-444553540000} /*WinZip*/C:\PROGRA~1\WinZip\WZSHLSTB.DLL = C:\PROGRA~1\WinZip\WZSHLSTB.DLL
@{E0D79305-84BE-11CE-9641-444553540000} /*WinZip*/C:\PROGRA~1\WinZip\WZSHLSTB.DLL = C:\PROGRA~1\WinZip\WZSHLSTB.DLL
@{E0D79306-84BE-11CE-9641-444553540000} /*WinZip*/C:\PROGRA~1\WinZip\WZSHLSTB.DLL = C:\PROGRA~1\WinZip\WZSHLSTB.DLL

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\ )))
avast@{472083B0-C522-11CF-8763-00608CC02F24} = C:\Programmi\Alwil Software\Avast4\ashShell.dll
SmartSync Pro@{78665058-7E5E-47DF-BA8E-53986B6B0B06} = C:\PROGRA~1\SMARTS~1\SspShell.dll
WinZip@{E0D79304-84BE-11CE-9641-444553540000} = C:\PROGRA~1\WinZip\WZSHLSTB.DLL

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\ )))
SmartSync Pro@{78665058-7E5E-47DF-BA8E-53986B6B0B06} = C:\PROGRA~1\SMARTS~1\SspShell.dll
WinZip@{E0D79304-84BE-11CE-9641-444553540000} = C:\PROGRA~1\WinZip\WZSHLSTB.DLL

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\ >>>
avast@{472083B0-C522-11CF-8763-00608CC02F24} = C:\Programmi\Alwil Software\Avast4\ashShell.dll
WinZip@{E0D79304-84BE-11CE-9641-444553540000} = C:\PROGRA~1\WinZip\WZSHLSTB.DLL

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects >>>
@{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll = C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
@{4115122B-85FF-4DD3-9515-F075BEDE5EB5}C:\Programmi\SlipStream Web Accelerator\PBHelper.dll = C:\Programmi\SlipStream Web Accelerator\PBHelper.dll
@{53707962-6F74-2D53-2644-206D7942484F}C:\PROGRA~1\SPYBOT~1\SDHelper.dll = C:\PROGRA~1\SPYBOT~1\SDHelper.dll

HKLM\Software\Microsoft\Internet Explorer\Main >>>
@Default_Page_URLhttp://www.microsoft.com/isapi/redir.dll?prd=ieandpver=6andar=msnhome = http://www.microsoft.com/isapi/redir.dll?prd=ieandpver=6andar=msnhome
@Start Pagehttp://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}andclcid={SUB_CLSID}andpver={SUB_PVER}andar=home = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}andclcid={SUB_CLSID}andpver={SUB_PVER}andar=home
@Local Page:SystemRoot:\system32\blank.htm = %SystemRoot%\system32\blank.htm

HKCU\Software\Microsoft\Internet Explorer\Main >>>
@Start Pagehttp://www.google.it/ = http://www.google.it/
@Local PageC:\WINDOWS\System32\blank.htm = C:\WINDOWS\System32\blank.htm

HKLM\Software\Classes\PROTOCOLS\Handler\ >>>
cdo@CLSID = C:\Programmi\File comuni\Microsoft Shared\Web Folders\PKMCDO.DLL
dvd@CLSID = C:\WINDOWS\System32\msvidctl.dll
its@CLSID = C:\WINDOWS\System32\itss.dll
mhtml@CLSID = %SystemRoot%\System32\inetcomm.dll
ms-its@CLSID = C:\WINDOWS\System32\itss.dll
ms-itss@CLSID = C:\Programmi\File comuni\Microsoft Shared\Information Retrieval\msitss.dll
msero@CLSID = C:\Programmi\File comuni\Microsoft Shared\Encarta Researcher\MSERO.DLL
msnim@CLSID = "C:\PROGRA~1\MSNMES~1\msgrapp.dll"
mso-offdap@CLSID = C:\PROGRA~1\FILECO~1\MICROS~1\WEBCOM~1\10\OWC10.DLL
tv@CLSID = C:\WINDOWS\System32\msvidctl.dll
vnd.ms.radio@CLSID = C:\WINDOWS\System32\msdxm.ocx
wia@CLSID = C:\WINDOWS\System32\wiascr.dll

HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\ >>>
000000000001@PackedCatalogItem = C:\PROGRA~1\SLIPST~1\sliplsp.dll
000000000002@PackedCatalogItem = C:\PROGRA~1\SLIPST~1\sliplsp.dll
000000000003@PackedCatalogItem = C:\PROGRA~1\SLIPST~1\sliplsp.dll

HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009@PackedCatalogItem = C:\PROGRA~1\SLIPST~1\sliplsp.dll

C:\Documents and Settings\Rosario\Menu Avvio\Programmi\Esecuzione automatica = CountDown.lnk

C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica >>>
BTTray.lnk = BTTray.lnk
Microsoft Office.lnk = Microsoft Office.lnk

---- EOF - GMER 1.0.10 ----

<b> Log di G MER in modalità provvisoria scansione di rootkit:</b>
GMER 1.0.10.10122 - http://www.gmer.net
Rootkit 2006-08-24 00:10:26
Windows 5.1.2600 Service Pack 1


---- Registry - GMER 1.0.10 ----

Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32@cd042efbbd7f7af1647644e76e06692b 0x2E 0xE8 0xE1 0x00 ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32@bca643cdc5c2726b20d2ecedcc62c59b 0x6A 0x9C 0xD6 0x61 ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32@2c81e34222e8052573023a60d06dd016 0x25 0xDA 0xEC 0x7E ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32@2582ae41fb52324423be06337561aa48 0x3E 0x1E 0x9E 0xE0 ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32@caaeda5fd7a9ed7697d9686d4b818472 0xCD 0x44 0xCD 0xB9 ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32@a4a1bcf2cc2b8bc3716b74b2b4522f5d 0xDF 0x20 0x58 0x62 ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32@4d370831d2c43cd13623e232fed27b7b 0xFB 0xA7 0x78 0xE6 ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32@1d68fe701cdea33e477eb204b76f993d 0x83 0x6C 0x56 0x8B ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32@1fac81b91d8e3c5aa4b0a51804d844a3 0xF6 0x0F 0x4E 0x58 ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32@f5f62a6129303efb32fbe080bb27835b 0x3D 0xCE 0xEA 0x26 ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32@fd4e2e1a3940b94dceb5a6a021f2e3c6 0x2A 0xB7 0xCC 0xB5 ...
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@ThreadingModel Apartment
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@ C:\WINDOWS\System32\OLE32.DLL
Reg \Registry\MACHINE\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32@8a8aec57dd6508a385616fbc86791ec2 0x05 0x73 0x21 0xDD ...

---- Files - GMER 1.0.10 ----

File C:\System Volume Information\tracking.log
File C:\System Volume Information\_restore{B94F4F4B-B5A0-4CA3-BAAB-5B96081EFFE0}
File D:\System Volume Information\tracking.log
File D:\System Volume Information\_restore{B94F4F4B-B5A0-4CA3-BAAB-5B96081EFFE0}
File E:\System Volume Information\tracking.log
File E:\System Volume Information\_restore{A8C3D8C6-90D6-4D01-94AA-4ED54C15DD9C}
File E:\System Volume Information\_restore{B94F4F4B-B5A0-4CA3-BAAB-5B96081EFFE0}

---- EOF - GMER 1.0.10 ----

<b>log di rootkitrevealer</b>

HKLM\S-1-5-21-507921405-920026266-839522115-1003\Software\Microsoft\At Work Fax\Transport Service Provider\Cover Page Editor 12/01/06 13.54 43 bytes Data mismatch between Windows API and raw hive data.
HKLM\SOFTWARE\Classes\CLSID\{47629D4B-2AD3-4e50-B716-A66C15C63153}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{604BB98A-A94F-4a5c-A67C-D8D3582C741C}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{684373FB-9CD8-4e47-B990-5A4466C16034}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{74554CCD-F60F-4708-AD98-D0152D08C8B9}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{7EB537F9-A916-4339-B91B-DED8E83632C0}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{948395E8-7A56-4fb1-843B-3E52D94DB145}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{AC3ED30B-6F1A-4bfc-A4F6-2EBDCCD34C19}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{DE5654CA-EB84-4df9-915B-37E957082D6D}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{E39C35E8-7488-4926-92B2-2F94619AC1A5}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{EACAFCE5-B0E2-4288-8073-C02FF9619B6F}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{F8F02ADD-7366-4186-9488-C21CB8B3DCEC}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\CLSID\{FEE45DE2-A467-4bf9-BF2D-1411304BCD84}\InprocServer32* 20/09/05 16.34 0 bytes Key name contains embedded nulls (*)


<b>Inoltre avenger alla fine del suo lavoro mi riporta questo:</b>

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\oaftkynf

*******************

Script file located at: \??\C:\rxqhccoe.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\Programmi\File comuni\System\thX.exe not found!
Deletion of file C:\Programmi\File comuni\System\thX.exe failed!

Could not process line:
C:\Programmi\File comuni\System\thX.exe
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

Ma il mio problema persiste e cioè il file thX.exe è ancora nel pc!!! <img src=icon_smile_sad.gif border=0 align=middle><img src=icon_smile_angry.gif border=0 align=middle><img src=icon_smile_sad.gif border=0 align=middle><img src=icon_smile_angry.gif border=0 align=middle>

Edited by - Bandw on 08/24/2006 17:10:06

Che pazienza che hai Steven75,
<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>
fai cosi:
Recati nel pannello di controllo e vedi se presente una voce con il nome LinkOptimizer, se si non toccarla , scarica e decomprimi MyUninstaller,(se lo vuoi tradurre in italiano,scarica questo file.zip
decomprimilo ,prendi il file e copialo nella cartella dove c'è Myuninstaller) .
Adesso avvia l'applicazione, attendi che siano visibili tutti i programmi installati, seleziona la voce in oggetto e premi sull'iconcina a forma di cestino per disinstallarla.....
<hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>
non c'è nessuna voce LINKOPTIMIZER quindi non ho proceduto a scaricare il programma;
<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>
Poi vai su Start->esegui->digita control userpasswords2 e dai l'ok....
Nella finestra che si aprira controlla di non avere un utenza sospetta oltre alle solite , se c'è cliccaci sopra con il tasto destro ed eliminala .....
(se hai XP PRO,semore nella finestra degli account,clicca su avanzate,poi ancora su avanzate, e controlla sia in user , che in groups di non avere alcuna utenza strana)
<hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>
Un'altro passo avanti è stato fatto, con questo comando ho cancellato la connessione ed ho trovato un'altro utente che pensavo fossi io ma era anch'esso camuffato; W O N D E R F U L L
<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>
- Ora scarica e decomprimi the avenger ,
http://swandog46.geekstogo.com/avenger.zip
- Avvia Avenger.exe e seleziona Input Script Manually
- Clicca sulla lente d'ingrandimento e si aprirà la finestra View/edit script,
- All'interno copiaci quanto segue:

Registry values to replace with dummy:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

Files to delete:
C:\Programmi\File comuni\System\thX.exe

- Clicca sul pulsante Done
- Clicca sull'icona del semaforo verde
- Rispondi due volte Yes
- Il pc dovrebbe riavviarsi da solo,(altrimenti fallo tu)

E quindi posta il log di Avenger che trovi in (C:\avenger.txt)
<hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>
Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\yhkbkndo

*******************

Script file located at: \??\C:\WINDOWS\System32\wstagryf.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\Programmi\File comuni\System\thX.exe not found!
Deletion of file C:\Programmi\File comuni\System\thX.exe failed!

Could not process line:
C:\Programmi\File comuni\System\thX.exe
Status: 0xc0000034

Registry value HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows|AppInit_DLLs replaced with dummy successfully.

Completed script processing.

*******************

Finished! Terminate.

---

Come avrai potuto notare il file incriminato che dall'inizio non si è voluto mai cancellare, è ancora li:
<b>Deletion of file C:\Programmi\File comuni\System\thX.exe failed!</b>

<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>
Disattiva il ripristino configurazione di sistema e riposta l'esito del log...
<hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>
Adesso quale log dovrei postare tra tutti i programmi installati? HiJack, Gmer, RootkitRevealer, Avenger.

<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>
normalmente non c'è piu il file :
File C:\Programmi\File comuni\System\thX.exe <b>not found!</b><hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>

ed invece, here it's

<img src="http://i61.photobucket.com/albums/h71/BANDW1/virusthXexedacartellasystem.jpg" border=0>

Scusa Steven, ma FILE NOT FOUND non dovrebbe significare che il file non è stato trovato prima della ricerca e quindi risulta impossibile cancellare?)?)


<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>
comunque scarica Registry Search Tools.zip -> http://www.billsway.com/vbspage/
decomprimlo , avvialo e nello spazio bianco scrivi <b>thX.exe</b> e dai l'ok , riporta il risultato
<hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>

eccolo
REGEDIT4
; RegSrch.vbs © Bill James

; Registry search results for string "thX.exe" 24/08/2006 23.36.39

; NOTE: This file will be deleted when you close WordPad.
; You must manually save this file to a new location if you want to refer to it again later.
; (If you save the file with a .reg extension, you can use it to restore any Registry changes you make to these values.)


[HKEY_USERS\S-1-5-21-507921405-920026266-839522115-1003\Software\Microsoft\Search Assistant\ACMru\5603]
"000"="thx.exe"

[HKEY_USERS\S-1-5-21-507921405-920026266-839522115-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\exe]
"a"="C:\\Documents and Settings\\Rosario\\Desktop\\virus & c\\thX.exe"

ma a quanto pare mi trova un file di un ritaglio in formato .jpg che avevo precedentemente creato in una cartella creata sul desktop e poi quando ho visto che salvandolo con estensione .exe diventava tipo file eseguibile allora l'ho cancellato

grandeeeee , finalmente.....<img src=icon_smile_wink.gif border=0 align=middle>
Se hai bisogno (spero di no) sai dove trovarci...