RAGAZZI ECCOMI, ECCO A SEGUIRE I LOG DI FINDYKILL E DI NORMAN MALWARE CLEANER:



----------------- FindyKill V4.707 ------------------

* User : martino - MM-15588F2769DC
* executed from : C:\Programmi\FindyKill
* Update on 06/12/08 par Chiquitine29
* Start at 23:50:28 the 04/09/2009
* Windows XP - Internet Explorer 7.0.5730.13


((((((((((((((( *** deleting *** ))))))))))))))))))


--------------- [ Active Processes ] ----------------


C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Programmi\Telecom Italia\WanMiniport1st\srvany.exe
C:\Programmi\Telecom Italia\WanMiniport1st\WanMiniport1st_srv.exe
C:\WINDOWS\System32\alg.exe

--------------- [ Infected files / folders ] ----------------


»»»» Supression files in C:


»»»» Supression files in C:\WINDOWS


»»»» Supression files in C:\WINDOWS\Prefetch


»»»» Supression files in C:\WINDOWS\system32


»»»» Supression files in C:\WINDOWS\system32\drivers


»»»» Supression files in C:\Documents and Settings\martino\Dati applicazioni


»»»» Supression files in C:\DOCUME~1\martino\IMPOST~1\Temp


»»»» Supression files in C:\Documents and Settings\martino\Local Settings\Temporary Internet Files\Content.IE5


--------------- [ Registry / Infected keys ] ----------------


--------------- [ States / Restarting of services ] ----------------



+- Services : [ Auto=2 / Request=3 / Disable=4 ]

Ndisuio - Type of startup = 3

EapHost - Type of startup = 2

Ip6Fw - Type of startup = 2

SharedAccess - Type of startup = 2

wuauserv - Type of startup = 2

wscsvc - Type of startup = 2


--------------- [ Cleaning removable drives ] ----------------

+- Informations :

C: - Unit… fissa


+- deleting files :


--------------- [ Registry / Mountpoint2 ] ----------------


-> Not found !


--------------- [ Searching Cracks / Keygen ] ----------------

C:\Documents and Settings\martino\Documenti\ZONE ALARM Internet_Security_Suite_2009_'' v8.0.108.000 ''_ITALIANO100%+crack.rar
C:\Documents and Settings\martino\Documenti\Preferiti\AIUTO PC\DownloadWarez.org - Music Serial Crack Keygen Rapidshare Torrent Full Download.url
C:\Documents and Settings\martino\Documenti\Preferiti\AIUTO PC\WWW.CRACKS.AM - the oldest and largest source of cracks, patches, keygens and serials - since 1999!.url
C:\Documents and Settings\martino\Documenti\real player 10\real_player_10_premium-crack.rar
C:\Documents and Settings\martino\Recent\Tracks.Eraser.Pro.v5.7.WinALL.Incl.Keygen-BRD.lnk


---------------- ! End of report ! ------------------

*********************************************************************************************************


Norman Malware Cleaner
Version 1.5.0.5Copyright © 1990 - 2009, Norman ASA. Built 2009/09/03 19:10:14

Norman Scanner Engine Version: 6.01.09
Nvcbin.def Version: 6.01.00, Date: 2009/09/03 19:10:14, Variants: 3732090

Scan started: 05/09/2009 01:49:23

Running pre-scan cleanup routine:
Operating System: Microsoft Windows XP Professional 5.1.2600(Safe mode) Service Pack 3
Logged on user: MM-15588F2769DC\martino

Set registry value: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLS = -> ""
Removed registry value: HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -> DisableRegistryTools = 0x00000000
Removed registry value: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -> DisableRegistryTools = 0x00000000
Removed registry value: HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer -> NoDrives = 0x00000000
Removed registry value: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer -> NoDrives = 0x00000000


Scanning running processes and process memory...

Number of processes/threads found: 919
Number of processes/threads scanned: 919
Number of processes/threads not scanned: 0
Number of infected processes/threads terminated: 0
Total scanning time: 21s


Scanning file system...

Scanning: C:\*.*

C:\Documents and Settings\martino\Documenti\Preferiti\SURF & METEO\˜˜ SurfReport Italia » Surf da Onda Windsurf Kite Snowboard » Wind Wave Snow Report Surfing Windsurfing Kitesurfing Snowboarding in Italy.url (Error opening file: Not found)

C:\Documents and Settings\martino\Preferiti\SURF & METEO\˜˜ SurfReport Italia » Surf da Onda Windsurf Kite Snowboard » Wind Wave Snow Report Surfing Windsurfing Kitesurfing Snowboarding in Italy.url (Error opening file: Not found)

C:\Programmi\Jasc Software Inc\Crack Paint Shop Pro v9.00 & Animation Shop v3.11.exe (Infected with W32/SDBot.CHNB)
Deleted file

C:\Programmi\Satsuki Decoder Pack\Cpl\SDPCPL.exe (Infected with W32/Obfuscated.BQ!genr)
Deleted file

C:\System Volume Information\_restore{61378D83-57D6-4BCF-AEE8-EBE792E88E2F}\RP2\A0000297.reg (Infected with REG/Small.A)
Deleted file

C:\System Volume Information\_restore{61378D83-57D6-4BCF-AEE8-EBE792E88E2F}\RP2\A0000377.exe (Infected with W32/SDBot.CHNB)
Deleted file

C:\System Volume Information\_restore{61378D83-57D6-4BCF-AEE8-EBE792E88E2F}\RP2\A0000378.exe (Infected with W32/Obfuscated.BQ!genr)
Deleted file


Running post-scan cleanup routine:

Number of files found: 40802
Number of archives unpacked: 0
Number of files scanned: 40790
Number of files not scanned: 12
Number of files skipped due to exclude list: 0
Number of infected files found: 5
Number of infected files repaired/deleted: 5
Number of infections removed: 5
Total scanning time: 26m 26s

FATEMI SAPERE..CIAO CIAO

PER SHAPIRO:

allora il programmino è ottimo ma non ritrovandomi più Zone Alarm in installazione applicazioni (nonostante vi sia ancora la cartella Zonelab e risulti installato in programmi!!) mi risulta impossibile fare una disinstallazione guidata con questo software...
Senti cosa ne pensi se elimino direttamente la cartella da programmi e poi reinstallo Zone Alarm da capo come nuova installazione? ho fatto lo stesso con nod32 e sembra sia andato bene come soluzione.....anche se è vero che nod32 sono riuscito a disinstallarlo da installazione applicazioni!!
Ma il pc secondo te adesso è pulito dal virus?
ciao

elimina la cartella di zone alarm e fai una nuova installazione del programma

se non provi a lanciare qualche programma non posso dirti se il bagle e' ancora nel pc....con le ultime due scansioni hai tolto qualche minaccia ma per sapere se e' tutto a posto prova a reinstallare l'antivirus,vedi se te lo permette

si fai come ti ho detto....reinstalla zone alarm dopo aver tolto la cartella della precedente installazione

se tutto funziona, il bagle e' sconfitto ma attenzione ai crack, sono loro i portatori di questa brutta infezione

fai un po' di pulizia con ccleaner

http://www.aiutamici.com/software?ID=11223

installalo (deseleziona l'opzione che installa la barra di Yahoo) poi avvialo >Opzioni>Avanzate, togli la spunta a "cancella file windows più vecchi di 48 ore".
Poi premi "avvia pulizia".

postami anche un log di hijackthis

Formatta!!!
il sistema era già seriamente compromesso dieci giorni fa, adesso è kappaò anche per l'accanimento terapeutico. E' già tanto che ti parta Windows.

---

ciao shapiro
questo è il log di dr.web....

A0000344.exe C:\System Volume Information\_restore{61378D83-57D6-4BCF-AEE8-EBE792E88E2F}\RP2 Tool.Prockill Incurabile.Cancellato.
A0000346.exe C:\System Volume Information\_restore{61378D83-57D6-4BCF-AEE8-EBE792E88E2F}\RP2 Tool.ProcessKill.7 Incurabile.Cancellato.
A0000465.exe C:\System Volume Information\_restore{61378D83-57D6-4BCF-AEE8-EBE792E88E2F}\RP3 Tool.Prockill Incurabile.Cancellato.
A0000467.exe C:\System Volume Information\_restore{61378D83-57D6-4BCF-AEE8-EBE792E88E2F}\RP3 Tool.ProcessKill.7 Incurabile.Cancellato.
A0000484.exe\data009 C:\System Volume Information\_restore{61378D83-57D6-4BCF-AEE8-EBE792E88E2F}\RP3\A0000484.exe Tool.Prockill
A0000484.exe C:\System Volume Information\_restore{61378D83-57D6-4BCF-AEE8-EBE792E88E2F}\RP3 Il Container contiene oggetti infetti Spostato

Onestamente la vedo dura anche io..ma già dalle prime battute nutrivo poche speranze!!!
zone alarm continua a darmi gli stessi problemi mentre l'antivirus come t avevo detto ha funzionato da subito dopo che lo avevo reinstallato!
Anche l'ultima indicazione (vedi services.msc...) non ha dato esiti...
Boh....mi sà che pian piano stò arrivando alla formattazione...come paventavo dall'inizio...
Fammi sapere, notte ciao

ciao shapiro..
sai che alla fine sono riuscito a installare zone alarm free!?!?
outpost sinceramente dopo averlo messo non mi soddisfaceva e poi non mi faceva girare emule....
dopodichè ho rimessso zone alarm free...dopo aver fatto tutte le operazioni da te indicate,comprese l'eliminazione delle chiavi del registro,
ed è partito! In più mi ricordo di aver eliminato diverse cartelle facendo regedit, cosa che non avevo ancora fatto, e ne ho trovate molte devo dire!! forse anche questo mi ha aiutato!
Ah.... zone alarm che avevo inizialmente l'ho avevo tirato giù dal mulo...compresa la "cura"!!!!
comunque pensi sia il caso di postarti qualche log? elibagla l'ho fatto e non ha trovato nulla, non te l'ho mandato per questo motivo...
ciao

Si riesco a lanciare ed aggiornare nod32, spybot, malwarebytes e ora zone alarm...
questo è il log di hjt:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13.46.02, on 14/09/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16876)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Programmi\Telecom Italia\WanMiniport1st\srvany.exe
C:\Programmi\Telecom Italia\WanMiniport1st\WanMiniport1st_srv.exe
C:\WINDOWS\Mixer.exe
C:\PROGRA~1\ALICET~1\SMARTB~1\MotiveSB.exe
C:\PROGRA~1\ALICET~1\vendors\AliceRE\content\template\DRIVEN~1\syncer\MCCITR~1.EXE
C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\internet explorer\iexplore.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [Motive SmartBridge] C:\PROGRA~1\ALICET~1\SMARTB~1\MotiveSB.exe
O4 - HKLM\..\Run: [AliceRE_McciTrayApp] C:\PROGRA~1\ALICET~1\vendors\AliceRE\content\template\DRIVEN~1\syncer\MCCITR~1.EXE
O4 - HKLM\..\Run: [egui] "C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Programmi\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.4.8.cab
O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} - http://download.eset.com/special/eos/OnlineScanner.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: Network WanMiniport First Position - Unknown owner - C:\Programmi\Telecom Italia\WanMiniport1st\srvany.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 6957 bytes

COME TI SEMBRA??
CIAO

OK GRAZIE DI TUTTO PER ORA..
SEI STATO GENT.MO E PRECISO...
GRAZIE DELL'AIUTO
CIAO