Benvenuto Ospite Cerca | Topic Attivi | Utenti | | Log In | Registra

Aiutamici Forum » FORUM - Istruzioni e Guide » Sicurezza VIRUS » per r16: Adware.Navipromo

2 pages: [1] 2
per r16: Adware.Navipromo Opzioni
Topic Precedente · Topic Sucessivo
toro051963
Inviato: Monday, May 18, 2009 10:51:19 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
ciao,
con due scansioni una rapida e una completa malawb ha scovato questo.

Tipo di scansione: Scansione rapida
Elementi scansionati: 108962
Tempo trascorso: 2 minute(s), 10 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 1

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\RECYCLER\S-1-5-21-1844237615-1425521274-725345543-1005\Dc8.exe (Adware.Navipromo) -> Quarantined and deleted successfully.


e poi questo

Malwarebytes' Anti-Malware 1.36
Versione del database: 2148
Windows 5.1.2600 Service Pack 3

18/05/2009 22.43.00
mbam-log-2009-05-18 (22-43-00).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 172562
Tempo trascorso: 17 minute(s), 18 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 1

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\Documents and Settings\Flavio Massimo.OK\Impostazioni locali\Temporary Internet Files\Content.IE5\V5C1AYR2\Live-Player_setup[1].exe (Adware.Navipromo) -> Quarantined and deleted successfully.


allego anche hij:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22.46.31, on 18/05/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe
C:\Programmi\PC Tools Firewall Plus\FirewallGUI.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Eset\nod32krn.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programmi\PC Tools Firewall Plus\FWService.exe
C:\WINDOWS\PMJ151LA.BIN
C:\Programmi\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOCUME~1\Mauro\IMPOST~1\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [00PCTFW] "C:\Programmi\PC Tools Firewall Plus\FirewallGUI.exe" -s
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1222182782356
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: PC Tools Firewall Plus (PCToolsFirewallPlus) - PC Tools - C:\Programmi\PC Tools Firewall Plus\FWService.exe
O23 - Service: PMJ151 AutoLaunch Service (PMJ151LA) - Matsushita Electric Industrial Co. ,Ltd, - C:\WINDOWS\PMJ151LA.BIN
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe

--
End of file - 4993 bytes


aspetto tue notizie sul dafrsi.
grazie
Torna in alto
 
Sponsor
Inviato: Monday, May 18, 2009 10:51:19 PM

 
Torna in alto
 
toro051963
Inviato: Monday, May 18, 2009 11:21:25 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
facendo un'altra scansione in un altro account malawb ha dato questo:

Malwarebytes' Anti-Malware 1.36
Versione del database: 2148
Windows 5.1.2600 Service Pack 3

18/05/2009 23.18.25
mbam-log-2009-05-18 (23-18-25).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 170258
Tempo trascorso: 24 minute(s), 32 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 1
Valori di registro infetti: 0
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 0

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
HKEY_CURRENT_USER\SOFTWARE\fcn (Rogue.Residue) -> Quarantined and deleted successfully.

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
(Nessun elemento malevolo rilevato)

grazie
Torna in alto
 
toro051963
Inviato: Tuesday, May 19, 2009 1:39:26 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
ciao
che mi puoi vedere il mio problema'
grazie
Torna in alto
 
r16
Inviato: Tuesday, May 19, 2009 1:43:56 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Ciao.
Fai questa scansione:
Importante: Disabilita il tuo antivirus e chiudi TUTTI i programmi aperti,(Firewall compreso) e dopo aver scaricato COMBOFIX, chiudi la connessione.
Scarica Combofix
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Salvalo sul desktop.
Doppio click su combofix.exe (comparirà una videata.)
Se ti verrà chiesto se vuoi Installare LA CONSOLE DI RIPRISTINO DI EMERGENZA, clicca NO.
E' probabile che ti siano inviati messaggi dall'antivirus, tu ignorali.
Durante l'operazione di scansione è importante non usare il PC (neanche il mouse) e attendere pazientemente la fine delle operazioni.
Al termine, verrà creato un file log sul Desktop, chiamato C:\ComboFix.txt. Postalo qui.

Disinstalla combofix in questo modo: (dopo che avrò visto il log)
Start
Esegui
nella finestra di dialogo, copia ed incolla questo comando: Combofix /u e premi Invio poi cancella le cartelle in "C" di combofix (qoobox)
Dimmi se il problema è risolto.
Torna in alto
 
toro051963
Inviato: Tuesday, May 19, 2009 1:48:40 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
scusa in mod. provv. o normale?
rifaccio le scansioni con malawb da norm o da provv?
anche hija (da normale)
Torna in alto
 
r16
Inviato: Tuesday, May 19, 2009 1:50:01 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Fà tutto in Modalità normale.
Torna in alto
 
toro051963
Inviato: Tuesday, May 19, 2009 1:53:00 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
grazie a stasera dopo le 21,30 ora sono al lavoro
Torna in alto
 
toro051963
Inviato: Tuesday, May 19, 2009 6:28:04 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
ecco il log di combofix.
due precisazioni.
mio figlio quindicenne per sbaglio ha cliccato su di una finestra che installava live-player che ha subito disistallato poichè si è accorto dello sbaglio
ho notato una applicazione strana ikycmmi.exe
può essere utile usare navilog1.exe?

ComboFix 09-05-18.06 - Mauro 19/05/2009 18.13.54.4 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.39.1040.18.2046.1511 [GMT 2:00]
Eseguito da: c:\documents and settings\Mauro\Desktop\ComboFix.exe
AV: Sistema Antivirus NOD32 2.70 *On-access scanning enabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
FW: PC Tools Firewall Plus *disabled* {ABBD5028-5A95-4B6D-996E-98D64AE88D52}
* Creato nuovo punto di ripristino
* Resident AV is active


ATTENZIONE - QUESTO PC NON HA LA CONSOLE DI RIPRISTINO DI EMERGENZA INSTALLATA !!
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\Flavio Massimo.OK\Impostazioni locali\Dati applicazioni\ikycmmi.dat
c:\documents and settings\Flavio Massimo.OK\Impostazioni locali\Dati applicazioni\ikycmmi.exe
c:\documents and settings\Flavio Massimo.OK\Impostazioni locali\Dati applicazioni\ikycmmi_nav.dat
c:\documents and settings\Flavio Massimo.OK\Impostazioni locali\Dati applicazioni\ikycmmi_navps.dat
c:\documents and settings\Flavio Massimo.OK\Impostazioni locali\Dati applicazioni\qouau.dat
c:\documents and settings\Flavio Massimo.OK\Impostazioni locali\Dati applicazioni\qouau_nav.dat
c:\documents and settings\Flavio Massimo.OK\Impostazioni locali\Dati applicazioni\qouau_navps.dat

.
((((((((((((((((((((((((( Files Creati Da 2009-04-19 al 2009-05-19 )))))))))))))))))))))))))))))))))))
.

2009-05-15 20:14 . 2009-05-15 20:14 -------- d-----w c:\documents and settings\Mauro\Dati applicazioni\dvdcss

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-05-19 16:13 . 2008-02-29 19:30 -------- d-----w c:\programmi\ESET
2009-05-19 15:46 . 2008-06-25 16:24 -------- d-----w c:\programmi\SpywareBlaster
2009-05-05 19:51 . 2008-11-05 14:24 -------- d-----w c:\programmi\SUPERAntiSpyware
2009-04-27 17:15 . 2007-02-26 23:10 -------- d-----w c:\programmi\eMule
2009-04-17 13:05 . 2008-01-17 19:41 -------- d-----w c:\programmi\Windows Live Safety Center
2009-04-16 19:38 . 2008-11-13 20:33 -------- d-----w c:\programmi\Spyware Terminator
2009-04-15 14:50 . 2001-08-31 11:00 72580 ----a-w c:\windows\system32\perfc010.dat
2009-04-15 14:50 . 2001-08-31 11:00 444988 ----a-w c:\windows\system32\perfh010.dat
2009-04-07 19:56 . 2008-11-04 18:23 -------- d-----w c:\programmi\Malwarebytes' Anti-Malware
2009-04-06 13:32 . 2008-11-04 18:23 38496 ----a-w c:\windows\system32\drivers\mbamswissarmy.sys
2009-04-06 13:32 . 2008-11-04 18:23 15504 ----a-w c:\windows\system32\drivers\mbam.sys
2009-03-20 17:43 . 2009-02-13 18:14 -------- d-----w c:\programmi\PC Tools Firewall Plus
2009-03-13 18:14 . 2009-02-13 18:14 130424 ----a-w c:\windows\system32\drivers\PCTCore.sys
2009-03-07 09:37 . 2008-02-13 20:21 90248 ----a-w c:\documents and settings\ff\Impostazioni locali\Dati applicazioni\GDIPFONTCACHEV1.DAT
2009-03-06 14:19 . 2002-09-09 12:51 286208 ----a-w c:\windows\system32\pdh.dll
2009-02-20 08:09 . 2002-09-09 12:51 668672 ----a-w c:\windows\system32\wininet.dll
2009-02-20 08:09 . 2007-02-26 23:34 81920 ----a-w c:\windows\system32\ieencode.dll
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nod32kui"="c:\programmi\Eset\nod32kui.exe" [2008-11-07 949376]
"SpywareTerminator"="c:\programmi\Spyware Terminator\SpywareTerminatorShield.exe" [2008-11-13 1783808]
"00PCTFW"="c:\programmi\PC Tools Firewall Plus\FirewallGUI.exe" [2009-02-24 2652056]
"QuickTime Task"="c:\programmi\QuickTime\qttask.exe" [2007-02-26 98304]
"BluetoothAuthenticationAgent"="bthprops.cpl" - c:\windows\system32\bthprops.cpl [2008-04-13 110592]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-13 15360]

c:\documents and settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\
EPSON Status Monitor 3 Environment Check 2.lnk - c:\windows\system32\spool\drivers\w32x86\3\E_SRCV02.EXE [2007-2-27 127488]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\programmi\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"JavaQuickStarterService"=2 (0x2)
"gusvc"=3 (0x3)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programmi\\eMule\\emule.exe"=
"c:\\WINDOWS\\system32\\usmt\\migwiz.exe"=
"<NO NAME>"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programmi\\MSN Messenger\\msnmsgr.exe"=
"c:\\Programmi\\MSN Messenger\\livecall.exe"=
"c:\\Programmi\\NVIDIA Corporation\\NetworkAccessManager\\Apache Group\\Apache2\\bin\\Apache.exe"=

R1 nod32drv;nod32drv;c:\windows\system32\drivers\nod32drv.sys [07/11/2008 22.47.14 15424]
R1 pctgntdi;pctgntdi;c:\windows\system32\drivers\pctgntdi.sys [13/02/2009 20.14.16 159600]
R1 SASDIFSV;SASDIFSV;c:\programmi\SUPERAntiSpyware\SASDIFSV.SYS [03/09/2008 15.07.14 9968]
R1 SASKUTIL;SASKUTIL;c:\programmi\SUPERAntiSpyware\SASKUTIL.SYS [03/09/2008 15.07.12 55024]
R1 sp_rsdrv2;Spyware Terminator Driver 2;c:\windows\system32\drivers\sp_rsdrv2.sys [13/11/2008 22.33.12 141312]
R2 PCTAppEvent;PCTAppEvent Driver;c:\windows\system32\drivers\PCTAppEvent.sys [13/02/2009 20.14.16 73840]
R2 PMJ151NM;Panasonic DVC Web Camera;c:\windows\system32\drivers\PMJ151NM.sys [27/02/2007 1.55.44 14848]
R3 pctplfw;pctplfw;c:\windows\system32\drivers\pctplfw.sys [13/02/2009 20.14.05 95640]
R3 SASENUM;SASENUM;c:\programmi\SUPERAntiSpyware\SASENUM.SYS [03/09/2008 15.07.16 7408]
S3 MovRVDrv32;MovRVDrv32;c:\windows\system32\drivers\MovRVDrv32.sys [30/01/2008 20.18.25 3768]
S3 SDTHOOK;SDTHOOK;c:\windows\system32\drivers\SDTHOOK.SYS [02/03/2008 10.48.54 44928]
.
.
------- Scansione supplementare -------
.
uStart Page = about:blank
LSP: c:\windows\system32\imon.dll
LSP: %SYSTEMROOT%\system32\nvappfilter.dll
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-05-19 18:14
Windows 5.1.2600 Service Pack 3 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\PMJ151LA]
"ImagePath"="%SystemRoot%\PMJ151LA.BIN"
.
--------------------- Dlls caricate dai processi in esecuzione ---------------------

- - - - - - - > 'winlogon.exe'(1056)
c:\windows\system32\Ati2evxx.dll

- - - - - - - > 'lsass.exe'(1112)
c:\windows\system32\imon.dll
c:\programmi\Eset\pr_imon.dll
c:\windows\system32\nvappfilter.dll
.
Ora fine scansione: 2009-05-19 18.15.56
ComboFix-quarantined-files.txt 2009-05-19 16:15

Pre-Run: 67.716.972.544 byte disponibili
Post-Run: 67.909.398.528 byte disponibili

Current=3 Default=3 Failed=1 LastKnownGood=4 Sets=1,2,3,4
120 --- E O F --- 2009-05-13 13:02


attendo tue notizie
Torna in alto
 
r16
Inviato: Tuesday, May 19, 2009 6:34:26 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Ciao.
Non serve a niente navilog1.
I file li ha già levati Combofix.

Dai una pulita (registro compreso)con CCleaner http://www.aiutaamici.com/software?ID=11223
Poi:
Start\Esegui\copia e incolla la stringa %temp% clicca su Ok, svuota la cartella temp. (non eliminare la cartella)
Poi:
Provvedi a svuotare del suo contenuto la cartella Prefetch :
clicca su Risorse del Computer
clicca su Disco locale C:
cerca, all’interno delle cartelle che saranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimina tutte le voci conservate al suo interno ( non eliminare la cartella)
SVUOTA IL CESTINO
Poi:
Lancia Hijackthis e pulisci gli ADS in questo modo:(esclusivamente, su partizioni in NTFS):
clicca sulla voce Open the misc tool section
clicca su Open ads spy
togli la spunta alla voce Quick scan (windows base folder only)
clicca su Scan
se venissero rilevati ADS, spunta tutte le caselline e clicca su Remove selected
Posta un nuovo log di HJT.
Torna in alto
 
toro051963
Inviato: Tuesday, May 19, 2009 6:41:16 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
scusa ma credo che l'antivirus nod32 quando girava combofix non era disattivato.ripeto la scansione ed il log?
Torna in alto
 
r16
Inviato: Tuesday, May 19, 2009 6:55:53 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
No, non serve.
Quello che doveva essere eliminato, è stato eliminato.
Mi raccomando la prossima volta.Drool
Torna in alto
 
toro051963
Inviato: Tuesday, May 19, 2009 7:04:05 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
ecco i log
gli ads eliminati

C:\Documents and Settings\All Users\Dati applicazioni\TEMP : 2E7127D2 (99 bytes)
C:\Documents and Settings\All Users\Dati applicazioni\TEMP : 5C321E34 (125 bytes)
C:\Documents and Settings\All Users\Dati applicazioni\TEMP : C31F31E6 (129 bytes)
C:\Documents and Settings\All Users\Dati applicazioni\TEMP : C39E55C5 (123 bytes)
C:\Documents and Settings\All Users\Dati applicazioni\TEMP : DFC5A2B2 (98 bytes)
C:\Documents and Settings\All Users\Dati applicazioni\TEMP : 2E7127D2 (99 bytes)
C:\Documents and Settings\All Users\Dati applicazioni\TEMP : 5C321E34 (125 bytes)
C:\Documents and Settings\All Users\Dati applicazioni\TEMP : C31F31E6 (129 bytes)
C:\Documents and Settings\All Users\Dati applicazioni\TEMP : C39E55C5 (123 bytes)
C:\Documents and Settings\All Users\Dati applicazioni\TEMP : DFC5A2B2 (98 bytes)
C:\Programmi\ATI Technologies\ATI.ACE\skins\CATALYST_Quicksilver\CATALYST_Quicksilver.uis_Scrollbar : Smaller.WB4 (2416 bytes)


e quello di hjt

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18.58.28, on 19/05/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe
C:\Programmi\PC Tools Firewall Plus\FirewallGUI.exe
C:\Programmi\Eset\nod32krn.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programmi\PC Tools Firewall Plus\FWService.exe
C:\WINDOWS\PMJ151LA.BIN
C:\Programmi\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOCUME~1\Mauro\IMPOST~1\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [00PCTFW] "C:\Programmi\PC Tools Firewall Plus\FirewallGUI.exe" -s
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1222182782356
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: PC Tools Firewall Plus (PCToolsFirewallPlus) - PC Tools - C:\Programmi\PC Tools Firewall Plus\FWService.exe
O23 - Service: PMJ151 AutoLaunch Service (PMJ151LA) - Matsushita Electric Industrial Co. ,Ltd, - C:\WINDOWS\PMJ151LA.BIN
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe

--
End of file - 5146 bytes


dimmi se devo fare nuova scansione con malawb, se disatt. ripristino config. e farne uno nuovo ecc
(purtroppo sti ragazzi come li lasci soli......)
fatto una lavata di capo
Torna in alto
 
r16
Inviato: Tuesday, May 19, 2009 7:12:06 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Se vuoi fare le cose per bene:
Disattiva il ripristino configurazione di sistema, e tienilo disattivato, fino alla soluzione del problema http://guide.aiutamici.com/guide?C1=7&C2=68&ID=80121
Riavvia il pc.
Fai una scansione Con Malwarebytes, se non rileva niente, aggiorna :
Da Installazione Applicazioni, disinstalla le versioni installate di Abobe Reader
Una volta disistallato fai una pulizia con CCleaner.
Dopo la disinstallazione, installa la versione aggiornata di:
Adobe Reader:
http://www.adobe.com/it/products/acrobat/readstep2.html
Riattiva il ripristino configurazione di sistema e, se tutto è a posto, creane uno nuovo.
Torna in alto
 
toro051963
Inviato: Tuesday, May 19, 2009 8:17:44 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
sembra tutto a posto;
ai vari rinvii terro d'occhio se si ripresenta rogue.residue, (anche se l'eseguibile che lo genera dovrebbe essere stato eliminato)
per adobe per il momento lascio la vecchia versione poichè è meno 'pesante' e per quello che la uso mi basta.
grazie di tutto come sempre.
Torna in alto
 
r16
Inviato: Wednesday, May 20, 2009 12:41:01 AM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
toro051963 ha scritto:
per adobe per il momento lascio la vecchia versione poichè è meno 'pesante' e per quello che la uso mi basta.
grazie di tutto come sempre.

Sarà meno "pesante", ma è più "vulnerabile".
Comunque se và bene a te, và bene anche a me.Drool
Torna in alto
 
toro051963
Inviato: Wednesday, May 20, 2009 12:56:39 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
premetto che i consigli gli accetto sempre ben volentieri pertanro scusa la mia ignoranza, ma essendo adobe un applicativo .exe con le varie librerie, penso che intendi che queste ultime siano vulnerabili giusto?
grazie
Torna in alto
 
r16
Inviato: Wednesday, May 20, 2009 1:21:36 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
toro051963 ha scritto:
premetto che i consigli gli accetto sempre ben volentieri pertanro scusa la mia ignoranza, ma essendo adobe un applicativo .exe con le varie librerie, penso che intendi che queste ultime siano vulnerabili giusto?
grazie


No.
Il programma presenta dei Bug, (vuol dire difetti) che vengono corretti, con i vari aggiornamenti.
Se non si scaricano le versioni più aggiornate, è chiaro che il programma risulta "vulnerabile" ad un eventuale attacco da parte di virus.
Proprio ultimamente, Adobe è stata costretta a rilasciare in fretta e furia,un aggiornamento, per una falla che che era stata trovata da un Hacker.
Ecco perchè ho detto che è più "vulnerabile" la tua versione.
Torna in alto
 
toro051963
Inviato: Wednesday, May 20, 2009 1:31:28 PM

Rank: AiutAmico

Iscritto dal : 2/25/2008
Posts: 453
si grazie allora farò come dici (sperando che essendo una versione free non sia soggetta a scadenza).
Torna in alto
 
r16
Inviato: Wednesday, May 20, 2009 2:05:31 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
toro051963 ha scritto:
si grazie allora farò come dici (sperando che essendo una versione free non sia soggetta a scadenza).

Non ti preoccupare, non paghi niente, e non ha scadenze.
Torna in alto
 
Utenti presenti in questo topic
Guest

2 pages: [1] 2

Aiutamici Forum » FORUM - Istruzioni e Guide » Sicurezza VIRUS » per r16: Adware.Navipromo


Salta al Forum
Aggiunta nuovi Topic disabilitata in questo forum.
Risposte disabilitate in questo forum.
Eliminazione tuoi Post disabilitata in questo forum.
Modifica dei tuoi post disabilitata in questo forum.
Creazione Sondaggi disabilitata in questo forum.
Voto ai sondaggi disabilitato in questo forum.

Main Forum RSS : RSS

Aiutamici Theme
Powered by Yet Another Forum.net versione 1.9.1.8 (NET v2.0) - 3/29/2008
Copyright © 2003-2008 Yet Another Forum.net. All rights reserved.