Mi sono appena iscritto al forum perciò prima di passare ai problemi ho intenzione di salutare tutti i colleghi partecipanti e ringraziare i conduttori che già, a loro insaputa, mi hanno aiutato.
Vengo al sodo: ho avuto un bel po' di problemi con virus, spie varie, dialer ecc. che ho risolto con i consigli del sito e con gli aggiornamenti.
Un paio di cosette però non ne vogliono sapere e sfuggono ad ogni controllo:
1) alla partenza di IE si imposta sempre una pagina non richiesta con indirizzo "searchweb2.com".
2) nella lista dei preferiti, mi sono stati caricati (dai vari programmi pirata che hanno girato), degli indirizzi che non sono rintracciabili in nessuna delle cartelle destinate ai preferiti stessi. Quindi non sono eliminabili anche perchè cliccandoci con il tasto destro del mouse presentano una strana scritta che dice "chiudi barra degli strumenti".
Che posso fare?

Scarica questo programma e leggi l'articolo
http://www.aiutamici.com/software/descrizione.asp?CodSw=1175

---

Collaboratore Aiutamici

<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>
Scarica questo programma e leggi l'articolo
http://www.aiutamici.com/software/descrizione.asp?CodSw=1175
<hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>

<BLOCKQUOTE id=quote><font size=1 face="Sans Serif, Arial, Helvetica" id=quote>quote:<hr height=1 noshade id=quote>
Scarica questo programma e leggi l'articolo
http://www.aiutamici.com/software/descrizione.asp?CodSw=1175
<hr height=1 noshade id=quote></BLOCKQUOTE id=quote></font id=quote><font face="Sans Serif, Arial, Helvetica" size=2 id=quote>

Scusate se ho fatto un po' di casino per la risposta: è la prima volta che uso il forum.
Grazie ad Alfonso e Rayo25 per la sollecitudine della risposta.
Ho seguito il vostro consiglio:
1)Avast non trova niente;
2)AD-Aware-Se non trova niente;
3)Spybot continua a segnalarmi 4 problemi di DSO EXPLOIT (tipo: HKEY-USER\s-1-5-18\software\microsoft\windows\current version\internet setting\zones\0\004!=w=3);
4)CW-Shredder non trova niente;
5)ho fatto girare anche SpySubtract che non trova niente.
Stranamente, nonostante i risultati degli scan, la pagina iniziale indesiderata non compare più. I preferiti indesiderati invece sono sempre lì.
Ogni tanto poi compare una strana Toolbar sopra la linea delle applicazioni (che rimanda a giochini vari sempre di searchweb2), la quale scompare se tento di monitorizzarla con il task-manager.
A questo punto ho mandato HIJACK-THIS, incollo di seguito il risultato e se e quando avete tempo dategli un'occhiata.
Grazie.

Logfile of HijackThis v1.99.0
Scan saved at 10.21.06, on 07/01/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\Mixer.exe
C:\WINDOWS\system32\carpserv.exe
C:\WINDOWS\system32\Atiptaxx.exe
C:\Programmi\Messenger Plus! 3\MsgPlus.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\gsicon.exe
C:\WINDOWS\system32\dslagent.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Internet Explorer\iexplore.exe
c:\progra~1\intern~1\iexplore.exe
C:\Program Files\interMute\SpySubtract\SpySub.exe
C:\PROGRA~1\Yahoo!\MESSEN~1\ymsgr_tray.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\TEMP\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.aoqderdfpxuegufues.uk/FcdZ8FmMj1ZJMFWBXmdSGZchbjz8/mVTturkWYLKiwiYGRb33vtbUDBhBNkboEmr.cgi
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {BCBBE608-45F2-DB5F-7131-2D35654B7F5E} - C:\DOCUME~1\admin\DATIAP~1\DOWNLO~1\mail bin.exe
O2 - BHO: (no name) - {E77813AE-D82C-DF07-2708-36D3A19EE792} - C:\DOCUME~1\admin\DATIAP~1\DOWNLO~1\mail bin.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programmi\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [GSICONEXE] gsicon.exe
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [DentFlap64Type] C:\Documents and Settings\All Users\Dati applicazioni\16movedentflap\iso start.exe
O4 - HKLM\..\Run: [platformhidelonginternet] C:\Documents and Settings\All Users\Dati applicazioni\Skipnameplatformhide\mpeg heart.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Yahoo! Pager] C:\PROGRA~1\Yahoo!\MESSEN~1\ypager.exe -quiet
O4 - HKCU\..\Run: [Show aim] C:\DOCUME~1\admin\DATIAP~1\POLLDA~1\birdinsideweb.exe
O4 - HKCU\..\Run: [IncrediMail] C:\Programmi\IncrediMail\bin\IncMail.exe /c
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: SpySubtract.lnk = C:\Program Files\interMute\SpySubtract\SpySub.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: Yahoo! Towers 2.0 - http://download.games.yahoo.com/games/clients/y/ywt0_x.cab
O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\ied_s7.cab
O16 - DPF: {11111111-1111-1111-1111-511111113457} - file://c:\x.cab
O16 - DPF: {11111111-1111-1111-1111-511111113458} - file://c:\x.cab
O16 - DPF: {11111111-1111-1111-1111-511111193457} - file://c:\x.cab
O16 - DPF: {11111111-1111-1111-1111-511111193458} - file://c:\x.cab
O16 - DPF: {23232323-2323-2323-2323-232323291122} - file://c:\x.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1104688339458
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = mydom.org
O17 - HKLM\Software\..\Telephony: DomainName = mydom.org
O17 - HKLM\System\CCS\Services\Tcpip\..\{24B4BE14-44B8-418D-A8E7-6280BB61A32E}: NameServer = 130.244.127.161 130.244.127.169
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = mydom.org
O17 - HKLM\System\CS1\Services\Tcpip\..\{24B4BE14-44B8-418D-A8E7-6280BB61A32E}: NameServer = 130.244.127.161 130.244.127.169
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = mydom.org
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2 (file missing)
O23 - Service: AntiVir Service - Unknown - C:\Programmi\AVPersonal\AVGUARD.EXE (file missing)
O23 - Service: avast! iAVS4 Control Service - Unknown - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programmi\AVPersonal\AVWUPSRV.EXE

Ciao Alfonso,
ho seguito alla lettera le tue istruzioni e sembra che le cose siano tornate a posto.
Ho trovato però qualche intoppo che mi lascia un po' perplesso:
-quando ho cancellato le righe del log di Hijack per una in particolare (O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS\System32\vbsys2 (file missing)) mi ha dato un errore (an unexpeted error has occurred at procedure: mod backup_makebackup error #62 input past end of file), più altre indicazioni sulla versione di windows e conclude dicendo: this message has been copied to your clipboard.
Per quanto riguarda invece la cancellazione dei File:
-MSGPLUS.EXE: impossibile eliminare accesso negato controllare che il disco sia pieno o protetto da scrittura e che il file non sia attualmente in uso.
-oltre ai file che mi hai detto di cancellare (mail bin.exe e x.cab non li ho trovati) ho trovato file con la stessa radice:
MSGPLUS.exe-18d27421.pf,
Iso start.exe-20f7ad5f.pf,
Mpeg heart.exe-1dba41e2.pf,
Birdinside web.exe-07d7cc12.pf,
Birdinside web.exe-2225337c.pf e
Vbysys2.dll_old.
CHE CI DEVO FARE???
-Cosa strana è che anche AVAST ha trovato un cavallo di troia, WIN32 troiano-863 che però non è riuscito a mettere nel cestino.
Sono contento dei risultati, ma non mi sento tranquillo.
Se c'è qualche altro suggerimento da seguire lo farò senza esitazione.
Grazie di cuore.
Erninjo

Ciao Alfonso,
ti invio il log aggiornato come mi hai chiesto.
Ti faccio notare che nel momento in cui ho fatto girare Hijack, mi era appena comparsa una Toolbar sotto la riga degli indirizzi internet. Questa Toolbar da la possibilità di essere tolta con il tasto destro del mouse ma comunque chi glie lo ha chiesto di comparire?
Ciao. Grazie.
Erninjo.

Logfile of HijackThis v1.99.0
Scan saved at 10.08.33, on 08/01/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\Mixer.exe
C:\WINDOWS\system32\carpserv.exe
C:\WINDOWS\system32\Atiptaxx.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\gsicon.exe
C:\WINDOWS\system32\dslagent.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\interMute\SpySubtract\SpySub.exe
C:\PROGRA~1\Yahoo!\MESSEN~1\ymsgr_tray.exe
C:\Programmi\Internet Explorer\iexplore.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\TEMP\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.atohbscuaz.us/FcdZ8FmMj1ZJMFWBXmdSGZchbjz8/mVTturkWYLKiwi7YT/9zolGczBhBNkboEmr.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.etfoobsneqfpulfnunmszno.com/FcdZ8FmMj1YdxaANvkDZCUnb7p6j26enTydmKqmtIl0.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {E77813AE-D82C-DF07-2708-36D3A19EE792} - C:\DOCUME~1\admin\DATIAP~1\DOWNLO~1\mail bin.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programmi\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [GSICONEXE] gsicon.exe
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [platformhidelonginternet] C:\Documents and Settings\All Users\Dati applicazioni\Skipnameplatformhide\Wait Show.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Yahoo! Pager] C:\PROGRA~1\Yahoo!\MESSEN~1\ypager.exe -quiet
O4 - HKCU\..\Run: [IncrediMail] C:\Programmi\IncrediMail\bin\IncMail.exe /c
O4 - HKCU\..\Run: [Show aim] C:\DOCUME~1\admin\DATIAP~1\POLLDA~1\birdinsideweb.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: SpySubtract.lnk = C:\Program Files\interMute\SpySubtract\SpySub.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1104688339458
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = mydom.org
O17 - HKLM\Software\..\Telephony: DomainName = mydom.org
O17 - HKLM\System\CCS\Services\Tcpip\..\{24B4BE14-44B8-418D-A8E7-6280BB61A32E}: NameServer = 130.244.127.161 130.244.127.169
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = mydom.org
O17 - HKLM\System\CS1\Services\Tcpip\..\{24B4BE14-44B8-418D-A8E7-6280BB61A32E}: NameServer = 130.244.127.161 130.244.127.169
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = mydom.org
O23 - Service: avast! iAVS4 Control Service - Unknown - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - C:\Programmi\AVPersonal\AVWUPSRV.EXE

Ciao Alfonso,
scusa seti rispondo con un po' di ritardo ma non ho avuto tempo di dedicarmi al computer.
Prima di eseguire le tue istruzioni volevo chiederti se i file con la stessa radice di quelli che mi hai indicato devono essere eliminati.
Grazie. Erninjo.

Dalla rapidità con cui mi hai risposto mi pare di capire che sei davanti al tuo computer (spero che sia quello nuovo) e approfitto per farti un'altra domanda:
perchè quando inserisco un nuovo messaggio nel forum mi dice sempre che vado in overflow e di tornare indietro per correggere l'errore?
In realtà il messaggio me lo inserisce correttamente.
Non te li avevo fatti fino ad adesso:
Auguri di buon anno e spero anche per il nuovo computer con il poderoso XP hi..hi..hi.
Ciao. Erninjo.

Ciao Alfonso,
mi sarebbe piaciuto dirti che è tutto risolto ma purtroppo è tutto come era all'inizio.
Rifare gli stessi passi mi sembra inutile se vogliamo provare un'altra strada io ci sto. Comunque sia ti ringrazio per l'aiuto.

Per quanto riguarda le risposte al forum se questa risposta mi da il problema te lo invio.
Erninjo.