Per me siete l'ultima risorsa prima di formattare di nuovo...
Credo di avere uno di quei programmi che vengono chiamati dirottatori...
Mi si aprono continuamente pagine web con explorer, anche senza connessione ad internet
(io uso mozilla).
Ho fatto la scansione con antivirus ma non ha rilevato virus.
Ho provato anche con AD-AWARE SE ma all'avvio il pc si riavvia senza poter completare la scansione.
Vi prego controllate il Logfile of HijackThis v1.99.1 grazie



Logfile of HijackThis v1.99.1
Scan saved at 17.13.10, on 29/07/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\D-Tools\daemon.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\WINDOWS\thiselt.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\PROGRA~1\Yahoo!\MESSEN~1\ymsgr_tray.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\taskmgr.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Michela\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\etc\services.exe,smwphqa.exe
O3 - Toolbar: andRadio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn0\yt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programmi\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programmi\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [pop06apelt] C:\WINDOWS\thiselt.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [KernelFaultCheck] :systemroot:\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE" -quiet
O4 - HKCU\..\Run: [nvkbx] C:\WINDOWS\System32\rhyiwl.exe reg_run
O8 - Extra context menu item: andMyToolBar Search - res://C:\Programmi\ToolBar888\MyToolBar.dll/MENUSEARCH.HTM
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesit.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesit.dll
O9 - Extra button: (no name) - {4ABF810A-F11D-4169-9D5F-7D274F2270A1} - C:\WINDOWS\System32\dmonwv.dll (file missing)
O9 - Extra 'Tools' menuitem: Java - {4ABF810A-F11D-4169-9D5F-7D274F2270A1} - C:\WINDOWS\System32\dmonwv.dll (file missing)
O15 - Trusted Zone: *.elitemediagroup.net
O15 - Trusted Zone: *.media-motor.net
O15 - Trusted Zone: *.mmohsix.com
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{C7EAACBB-8499-4E9E-8C47-752128EF396C}: NameServer = 85.37.17.16 151.99.125.1
O20 - AppInit_DLLs: C:\WINDOWS\System32\netdde.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Windows Protected Content Restoration Service (ProtectedContentSvc) - Unknown owner - C:\WINDOWS\etc\services.exe (file missing)
O23 - Service: Windows Update Manager Tool (UpdateManagerTool) - Unknown owner - C:\WINDOWS\update\updmangr.exe (file missing)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Ciao ,
vai tranquillo che qui riusciremo a rimediarlo il format , ma dovrai eseguire alla lettera il procedimento:
- Scarica questi programmi (quelli che non hai)
Ti serviranno sia adesso per ripulire il log ma anche in seguito per la pulizia del tuo sistema.
<b>Antispyware e Protezioni</b>
Ad-aware - SpybotS&D - Spyware Blaster - CWShredder --)http://www.aiutamici.com/software/view.asp?tipo=home&CodSw=388&SH=N

<b>Antimlware</b>
Ewido
http://www.ewido.net/en/download/
PS: é shareware ma dopo i 14 gg di prova,smetterà di funzionare solo
la protezione in tempo reale, il programma potrai continuare ad aggiornarlo per fare lo scan del tuo pc.

<b>Pulizia files inutili</b>
Ccleaner -> <b>(Quando lo installi ricordati che se lasci le spunte di defuat ,verrà installata anche la toolbar yahoo)</b>
http://www.aiutamici.com/software/view.asp?tipo=home&CodSw=1223

<b>Pulizia chiavi di registro obsolete</b>
RegSeeker
http://www.aiutamici.com/software/descrizione.asp?CodSw=931

Per il log prosegui cosi:
- Scarica lo script per riparare la trusted zone
http://www.mvps.org/winhelp2002/DelDomains.inf (--->(tasto destro sul link e salvalo sul desktop)
- Portati nelle installazioni/applicazioni del pannello di controllo e disinstalla tutto quello che non hai installato tu,compreso <b>ToolBar888</b>

---

- <b>Consiglio__</b>Metti hijackthis in una cartella a lui dedicata,es;(C:\HJT) altrimenti non sarà in grado di fare il backup delle voci rimosse
- <b>Consiglio__</b>Stampati la pagina perché in modalità provvisoria non avrai accesso a internet

---

Poi:
- <b>Disattiva il ripristino di configurazione di sistema</b>,
guida-->> http://www.aiutamici.com/software/view.asp?tipo=home&CodSw=257&SH=N

- <b>Riavvia in modalità provvisoria</b>
guida-->> http://www.aiutamici.com/software/view.asp?tipo=home&CodSw=344&SH=NA

- <b>Assicurati di avere accesso a file e cartelle nascosti</b>
(Pannello di controllo--> Opzioni Cartella--> Visualizzazione) metti la spunta su:
1)Visualizza file e cartelle nascoste
2)Disattiva nascondi file protetti di sistema
- Ora tasto destro sul file <b>.inf</b> salvato sul desktop e seleziona installa

Adesso vai su start->esegui->digita <b>sc delete UpdateManagerTool</b> e dai l'ok...

- Avvia hijackthis, metti la spunta alle voci che andro ad elencarti e con tutte le applicazioni chiuse e disconnesso da Internet,premi su <b>fix checked</b>:
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\etc\services.exe,smwphqa.ex e
O4 - HKLM\..\Run: [pop06apelt] C:\WINDOWS\thiselt.exe
O4 - HKCU\..\Run: [nvkbx] C:\WINDOWS\System32\rhyiwl.exe reg_run
O8 - Extra context menu item: andMyToolBar Search - res://C:\Programmi\ToolBar888\MyToolBar.dll/MENUSEARCH.HTM
O9 - Extra button: (no name) - {4ABF810A-F11D-4169-9D5F-7D274F2270A1} - C:\WINDOWS\System32\dmonwv.
O9 - Extra 'Tools' menuitem: Java - {4ABF810A-F11D-4169-9D5F-7D274F2270A1} - C:\WINDOWS\System32\dmonwv.dll (file missing)
Tutte le 015 se ci sono ancora
O20 - AppInit_DLLs: C:\WINDOWS\System32\netdde.dll
O23 - Service: Windows Update Manager Tool (UpdateManagerTool) - Unknown owner - C:\WINDOWS\update\updmangr.exe (file missing)

- Cerca ed elimina:
C:\WINDOWS\<b>thiselt.exe</b>
C:\WINDOWS\etc\<b>services.exe,smwphqa.ex</b>
C:\Programmi\<b>ToolBar888</b>->cartella
C:\WINDOWS\System32\<b>netdde.dll</b>
<b>Nota__</b>se i file non compaiono in modalità provvisoria vanno cercati dalla modalità normale

---

- Dai una ripulita ai files inutili,temp etc con Ccleaner
PS:prima di usarlo vai in opzioni-->avanzate e togli la spunta da:
(elimina file di windows solo se piu vecchi di 48 ore)

- Elimina le chiavi di registro ormai inutili con RegSeeker

- Fai una scansione con il tuo antivirus e con i programmi elencati sopra [SpybotS&D / Ad-aware / Ewido / CWShredder]
- Applica le protezioni di spyware blaster

- Ritorna in modalità normale,e <b>posta un log aggiornato</b> che sicuramente ci sarà da fare qualche altro piccolo procedimento

- Al limite fai anche uno scan online:
BitDefender
oppure
Panda
http://steven.altervista.org/files/scan.html

- Dovresti fare il windows update per aggiornare il sistema compreso IE
http://update.microsoft.com/windowsupdate/v6/thanks.aspx?ln=it&&thankspage=5

- Se vuoi aumentare notevolmente il livello di sicurezza del tuo sistema dovresti installare il ServicePack2
http://www.microsoft.com/downloads/details.aspx?FamilyID=049c9dbe-3b8e-4f30-8245-9e368d3cdb5a&DisplayLang=it

<b>PS__</b> Alla fine delle procedure é importante:
1) ri-nascondere i file e le cartelle di sistema
2) Riattivare il ripristino configurazione di sistema
3) Creare un nuovo punto di ripristino -> http://steven.altervista.org/files/ripristino.html

<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>"- Cerca ed elimina:
C:\WINDOWS\thiselt.exe
C:\WINDOWS\etc\services.exe,smwphqa.ex
C:\Programmi\ToolBar888->cartella
C:\WINDOWS\System32\netdde.dll
Nota__se i file non compaiono in modalità provvisoria vanno cercati dalla modalità normale"
Se cerco ad esempio -thiselt .exe-
mi esce sul risultato di ricerca:

"THISELT.EXE-23231EF6.pf"
C:\windows\prefetc

quello può essere il file giusto da eliminare?<hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>

Puoi tranquillamente "dare una bella ripulita" alla cartella "Prefetc"... ma non sta lì il file ".exe" che dovresti eliminare. Sta proprio nella cartella WINDOWS, non in una delle varie sottocartelle.

Il tuo ultimo LOG mi sembra a posto (ma io non me ne intendo, per cui aspetta che diano il loro parere Alfonso oppure Steven). Hai fatto una bella scansione <i>online</i> come t'era stato consigliato? Se no, allora (mentre aspetti risposta da qualcuno che, di LOG, se ne capisca) falla subito, così hai qualche informazione in più e puoi dormirci sopra un pochino più tranquilla. <img src=icon_smile.gif border=0 align=middle>

OK, Michela: vediamo se ci riesce di tagliare la testa, una volta per tutte, a questo fetentone. Sicuramente, altri (Steven, Alfonso, Poldogio, etc...) partoriranno idee migliori. Però, vedremo d'arrangiarci pure noi...
Innanzitutto, il dannato trojan che ti perseguita è una variante del famoso <i>Vundo</i>. Se t'ha beccata, possono esserci moltissime ragioni, però la principale è che il tuo Sistema Operativo è un po' -come dire?- <i>sorpassato</i> (tanto per fare un esempio, tu usi ancora Internet Explorer 5... quando la Microsoft sta testando già da tempo la versione 7) e, se la mia impressione non m'inganna, non ti sei mai sforzata troppo d'aggiornarlo (mi riferisco, in specie, all'installazione regolare di tutti gli "Aggiornamenti alla sicurezza" rilasciati da Microsoft tramite Windows Update). Ora, devi sapere che il buon <i>Vundo</i>, in tutte le sue varianti, predilige -in qualità di prede- proprio computer che non siano troppo "aggiornati" (peraltro, così non solo gli è più agevole l'entrare, ma gli è anche molto più facile -una volta scoperto- asserragliarsi lì e resistere).
Dunque, prima d'ogni altra cosa, mi permetto di darti un (buon) consiglio: aggiorna le componenti obsolete del tuo Sistema -incluso IE, come t'ha detto pure Steven- e installa quanto prima tutti gli "Aggiornamenti alla sicurezza" rilasciati da Microsoft (farlo tramite Windows Update è forse la scelta migliore). Tutto ciò, comunque, DOPO che avremo buttato fuori dal tuo computer questo dannato <i>trojan</i>. Per farlo fuori, infatti, un modo c'è. Se cliccherai sul link che ti posto qui sotto, ti troverai in una pagina Web in cui è spiegato come puoi liberarti dell'intruso (tutto in lingua italiana, non ti preoccupare). Dovrai scaricare i due files di cui -proprio su quella stessa pagina- troverai i link (si tratta di <b>VundoFix</b> e di <b>VirtumondoBegone</b>). Lancia, prima di tutto, <i>VundoFix.exe</i> seguendo con precisione le istruzioni. Dovresti riuscire, ma non è detto. Se non riesci, riavvia il comnputer, entra in Modalità Provvisoria e -quivi giunta- lancia la tua "arma di riserva" (ossia <i>VirtumondoBegone</i>). Se non riesci neanche così, allora proveremo altre strade. Non ti preoccupare che 'sto fetente l'accoppiamo.(Ma tu, poi, aggiorna il tuo Sistema e installa tutte le necessarie <i>patches</i> alla siucurezza rilasciate, nel corso del tempo, dalla Microsoft).
E, alla fine della tiritera, eccoti -era ora!- il sospirato <i>link</i>:

http://collectiontricks.p2pforum.it/modules/edito/edito.php?idedito=23

PARTE SECONDA
Tanto per non farci mancare niente, se non dovesse riuscire la strategia precedente, eccone un'altra, un po' diversa.
Anche qui, devi andare su di una pagina Web (della quale ti posto ilo link alla fine). Si tratta della HomePage italiana dell'antivirus <b>Nod32</b>. Quivi giunta, vedrai che c'è una finestrella intitolata "Preleva cleaner gratuiti". Cliccando sulla freccina posta subito accanto alla finestrella, vedrai che spunta un elenco di vari malware. Tu devi selezionare il nome seguente e impostarlo in modo che sia leggibile nella finestrella:
<b>Agent.CS cleaner</b>
Questo è uno dei tanti nomi del tuo simpatico trojan. Fatto ciò, clicca sul pulsante con scritto <b>Download</b> che c'è immediatamente sotto alla finestrella.
Il file che in questo modo scaricherai, si chiama "Agent.CS cleaner 1.0.0.1" e quelli del <b>Nod32</b> l'han messo in piedi apposta per eradicare il trojan che t'affligge.
Bene, t'ho scocciata abbastanza. Eccoti ora il sospirato link:

http://www.nod32.it/home/home.htm


Edited by - monsee on 08/01/2006 05:19:55

Ho scaricato i due files ma lanciando VundoFix.exe mi da il seguente errore:
Run-time error '9'
Subscript out of range

Che si fa' ora?

Se non riesci con i tools consigliati , prova anche con questo:
http://www.symantec.com/region/it/techsupp/avcenter/venc/data/it-trojan.vundo.removal.tool.html

Provato anche con <i>VirtumondoBegone</i> in Modalità Provvisoria come t'avevo suggerito nel caso <i>Vundo Fix</i> avesse fatto cilecca? (ah! sappi che la colpa non è sua: la variante "T" che tu hai beccato è per davvero nuova e soltanto pochissimi l'hanno già rilevata)...

A dirti tutta la verità, sono stupito. Perchè -a legger quello che ho trovato in Internet [e in più di un forum]- perlomeno con il <i>remover-tool</i> di <b>Nod32</b>, avresti dovuto farcela (gente che non c'era riuscita in nessun altro modo, così c'era riuscita).
Probabilmente, il problema è un po' più complesso di quello che appare.
Può essere che tutti questi intoppi siano collegati, non so dirti in che modo, alla "scarsità d'aggornamento" del tuo software (e del tuo Sistema Operativo). Forse, sarebbe il caso di mutare strategia: può esser che la via migliore sia -alla fin fine- quella di salvare su CD e su DVD tutto quel che t'interessa, formattare e poi re-installare tutto... MA, questa volta, TENENDOTI AGGIORNATISSIMA (a cominciare dalla tua versione -davvero arcaica, con XP- di Internet Explorer).
Ti suggerisco una tal soluzione perchè, in ogni caso -anche se lo riuscissimo a far fuori, questo dannato- dovresti poi immediatamente "rivoluzionare" una percentuale consistentissima (la metà ed oltre) del tuo Sistema Operativo, per riuscire ad aggiornare.
Sicché, "se tanto 'sta fatica s'ha da fare..."

Edited by - monsee on 08/03/2006 00:31:05

Se ancora non hai risolto , prova a fare una passata anche con questo : http://www.superantispyware.com/
Tentar non nuoce...