Cavalli di Troia, Dialer... manca nulla? - Sicurezza VIRUS - Aiutamici Forum

Aiutamici Forum

Benvenuto Ospite

Cerca | Topic Attivi | Utenti | | Log In | Registra

Aiutamici Forum » FORUM - Istruzioni e Guide » Sicurezza VIRUS » Cavalli di Troia, Dialer... manca nulla?

2 pages: [1] 2

Cavalli di Troia, Dialer... manca nulla?

Opzioni

Topic Precedente · Topic Sucessivo

bbrun

Inviato: Saturday, January 17, 2009 11:21:48 PM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

Salve, lunedì 5 Gennaio è cominciato il ballo nel mio pc (in http://forum.aiutamici.com/Default.aspx?g=posts&m=225199&#225199).

Dopo aver aggiunto XP Professional (che sta in H:) al 98SE (che sta in C:), mi sono ritrovato, in ogni partizioni (che sono 7):

Autorun.inf (che credo faccia partire Wqesvxa.exe)
Fppg1.exe
Wqesvxa.exe
Yb12j.cmd

E la cartella System volume information, che contiene: _restore(apri p. graffa)segue valore di una key(chiudi p. graffa).
Il quale a sua volta contiene:

RP0
RP1
RP2
RP3

Dentro RP0 c'è il file change.log.1
Dentro RP1 e 2 c'è sempre change.log.1 e RestorePointSize
Dentro RP3 ci sono i file A0003571.cmd, A0003571.inf, A0003584.exe e Change.log

Dimenticavo, anche XP usa la FAT32.

Premetto che io non uso Antivirus & C., ritengo che usando SeaMonkey e un po di prudenza si possa viaggiare tranquilli, difatti in 4 anni, ma forse sono 6, questo è il secondo impiccio che mi capita (per distrazione mia) Whistle

Whistle

.

Dietro consiglio di Monsee, il quale mi suggerisce di controllare se non sia arrivata della monnezza nel mio pc, uso kill_amvo_virus_usb_en.vbs per ripulirlo.

Dopodiché lo ispeziono con prevx CSI, poi con Kapersky online e infine lo ripulisco con Avast, che trova dei Cavalli di Troia e dei Dialer.

Ma al primo avvio di XP il rompiballe si presenta.
Parte tutto da XP perché lo ho installato unicamente per copiare sul mio HD dei filmati posti dentro un HD esterno che si avviava solo da XP in poi.

Al momento ho cancellato a mano dentro XP (nel 98SE non c'era nulla) lo scocciatore, ma dato che Avast non è riuscito a trovarlo sarà sicuramente ben nascosto da qualche parte.

A questo punto vi chiedo quale procedura devo seguire per ripulire il mio pc.
Considerate che pur avendo l'ADSL ho ancora il modem a 56K per poter ricevere la posta con Libero e Tiscali, pertanto il rischio Dialer, sia pure ridotto al minimo, esiste ancora.

Grazie.

Sponsor

Inviato: Saturday, January 17, 2009 11:21:48 PM

r16

Inviato: Saturday, January 17, 2009 11:48:38 PM

Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016

Ciao.
Che mi venga un accidente se ho capito qualcosa....... Drool

Drool

Comunque fai questa scansione:
Scarica ed installa MalwareBytes:
clicca qui per il download : http://www.malwarebytes.org/
Prima di fare la scansione AGGIORNALO.
Esegui una scansione completa del sistema .
Posta il log.
*********************************************************************************************************
Poi esegui questa alla lettera:
Importante: Disabilita il tuo antivirus e chiudi TUTTI i programmi aperti,e dopo aver scaricato COMBOFIX, chiudi la connessione.

Scarica Combofix
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Salvalo sul desktop.
Doppio click su combofix.exe (comparirà una videata.)
Digita 1 premi Invio e segui le indicazioni.
Al termine, verrà creato un file log chiamato C:\ComboFix.txt. Postalo qui.
Durante l'operazione di scansione è importante non usare il PC (neanche il mouse) e attendere pazientemente la fine delle operazioni.

Disinstalla combofix in questo modo: (dopo che avrò visto il log)
Start
Esegui
nella finestra di dialogo, digita (oppure, copia ed incolla) questo comando: Combofix /u e premi invio poi cancella le cartelle in "C" di combofix (qoobox)
Poi posta un log di hijackthis

bbrun

Inviato: Sunday, January 18, 2009 5:37:27 PM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

r16 ha scritto:

Ciao.
Che mi venga un accidente se ho capito qualcosa....... Drool

Drool

Ciao r16 e scusa se sono stato un po troppo frettoloso nell'esporre la cosa.
Ti torna utile riscritto più chiaro?

Considera che Combofix collideva con Spybot, ma tutto dovrebbe essere
andato bene perché Spybot chiedeva conferma di ciò che aveva fatto
Combofix e io ho sempre detto di sì.

Ho aggiornati tutti e due prima di iniziare, Combofix mi ha chiesto se
volevo installare la Console di emergenza e io ho risposto sì.
Sempre Combofix è partito in automatico anzichè su mio comando.
Per abitudine lo ho messo dove metto sempre i programmi scaricati
anzichè sul desktop e poi lo ho installato, la cosa può avere conseguenze?

Ti spedisco i risultati di ambedue (Malwarebytes è pulito).

Malwarebytes' Anti-Malware 1.33
Versione del database: 1665
Windows 5.1.2600 Service Pack 2

18/01/2009 16.43.45
mbam-log-2009-01-18 (16-43-45).txt

Tipo di scansione: Scansione completa (C:\|D:\|E:\|F:\|G:\|H:\|I:\|)
Elementi scansionati: 115900
Tempo trascorso: 23 minute(s), 16 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 0

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
(Nessun elemento malevolo rilevato)

ComboFix 09-01-17.04 - b 2009-01-18 16.52.24.1 - FAT32x86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1040.18.1023.669 [GMT 1:00]
Eseguito da: d:\aggiornamenti e programmi utili\Programmi\Prelevati da Internet\Windowsiani\Antitutto\Combo fix\ComboFix.exe
AV: avast! antivirus 4.8.1296 [VPS 090117-0] *On-access scanning disabled* (Outdated)
* Creato nuovo punto di ripristino
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

h:\windows\expiorer.exe

.
((((((((((((((((((((((((( Files Creati Da 2008-12-18 al 2009-01-18 )))))))))))))))))))))))))))))))))))
.

2009-01-18 16:17 . 2009-01-18 16:17 <DIR> d-------- h:\programmi\Malwarebytes' Anti-Malware
2009-01-18 16:17 . 2009-01-18 16:17 <DIR> d-------- h:\documents and settings\b\Dati applicazioni\Malwarebytes
2009-01-18 16:17 . 2009-01-18 16:17 <DIR> d-------- h:\documents and settings\All Users\Dati applicazioni\Malwarebytes
2009-01-18 16:17 . 2009-01-14 16:11 38,496 --a------ h:\windows\system32\drivers\mbamswissarmy.sys
2009-01-18 16:17 . 2009-01-14 16:11 15,504 --a------ h:\windows\system32\drivers\mbam.sys
2009-01-18 16:16 . 2009-01-18 16:16 <DIR> d-------- h:\windows\LastGood
2009-01-17 09:50 . 2009-01-17 09:50 13,718 --a------ h:\windows\system32\wpa.bak
2009-01-16 22:14 . 2009-01-16 22:14 <DIR> d-------- h:\programmi\Spybot - Search & Destroy
2009-01-16 22:14 . 2009-01-16 22:14 <DIR> d-------- h:\documents and settings\All Users\Dati applicazioni\Spybot - Search & Destroy
2009-01-10 19:37 . 2009-01-10 19:37 <DIR> d-------- h:\windows\BDOSCAN8
2009-01-10 12:49 . 2009-01-10 12:49 <DIR> d--h----- h:\windows\system32\GroupPolicy
2009-01-06 19:19 . 2009-01-06 19:19 <DIR> d-------- h:\programmi\Alwil Software
2009-01-06 19:19 . 2003-03-18 21:20 1,060,864 --a------ h:\windows\system32\MFC71.dll
2009-01-06 19:19 . 2003-03-18 20:14 499,712 --a------ h:\windows\system32\MSVCP71.dll
2009-01-06 19:19 . 2003-02-21 04:42 348,160 --a------ h:\windows\system32\MSVCR71.dll
2009-01-06 13:36 . 2009-01-06 13:36 <DIR> d-------- h:\windows\Sun
2009-01-06 13:35 . 2009-01-06 13:35 <DIR> d-------- h:\programmi\Java
2009-01-06 13:35 . 2009-01-06 13:35 410,984 --a------ h:\windows\system32\deploytk.dll
2009-01-06 13:35 . 2009-01-06 13:35 73,728 --a------ h:\windows\system32\javacpl.cpl
2009-01-06 12:57 . 2009-01-06 12:57 118,784 --a------ h:\windows\SeaMonkeyUninstall.exe
2009-01-06 12:57 . 2009-01-06 12:57 118,784 --a------ h:\windows\GREUninstall.exe
2009-01-06 12:57 . 2009-01-06 12:57 7,122 --a------ h:\windows\mozver.dat
2009-01-06 12:57 . 2009-01-06 12:57 335 --a------ h:\windows\nsreg.dat
2009-01-06 12:56 . 2009-01-06 12:56 <DIR> d-------- h:\programmi\mozilla.org
2009-01-06 12:20 . 2009-01-06 12:20 <DIR> d-------- h:\programmi\Total Commander
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\UC.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\RAR.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\PKZIP.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\PKUNZIP.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\NOCLOSE.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\LHA.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\ARJ.PIF
2009-01-06 11:45 . 2009-01-06 11:45 8,025 --a------ H:\kill_amvo_virus_usb_en.vbs
2009-01-05 19:01 . 2009-01-05 19:01 <DIR> d--h----- h:\windows\$hf_mig$
2009-01-05 18:58 . 2008-10-16 14:09 43,544 --a------ h:\windows\system32\wups2.dll
2009-01-05 18:58 . 2008-10-16 14:12 35,864 --a------ h:\windows\system32\wucltui.dll.mui
2009-01-05 18:58 . 2008-10-16 14:08 27,672 --a------ h:\windows\system32\wuaucpl.cpl.mui
2009-01-05 18:58 . 2008-10-16 14:08 27,672 --a------ h:\windows\system32\wuapi.dll.mui
2009-01-05 18:58 . 2008-10-16 14:07 19,480 --a------ h:\windows\system32\wuaueng.dll.mui
2009-01-05 18:16 . 2009-01-05 18:16 <DIR> d-------- h:\documents and settings\b\Dati applicazioni\MSN6
2009-01-05 18:16 . 2009-01-05 18:16 <DIR> d-------- h:\documents and settings\All Users\Dati applicazioni\MSN6
2009-01-05 18:07 . 2009-01-05 18:07 <DIR> d-------- h:\documents and settings\b\Dati applicazioni\DeepBurner
2009-01-05 18:00 . 2009-01-18 16:48 3,564 --a------ h:\windows\WINCMD.INI
2009-01-05 17:30 . 2009-01-05 17:30 23,600 --a------ h:\windows\system32\drivers\TVICHW32.SYS
2009-01-05 16:43 . 2009-01-05 16:43 <DIR> d-------- h:\windows\system32\FxsTmp
2009-01-05 16:43 . 2001-08-31 13:00 138,240 --a------ h:\windows\system32\fxsclntR.dll
2009-01-05 16:43 . 2001-08-31 13:00 138,240 --a------ h:\windows\system32\dllcache\fxsclntr.dll
2009-01-05 16:43 . 2001-08-31 13:00 112,128 --a------ h:\windows\system32\fxscfgwz.dll
2009-01-05 16:43 . 2001-08-31 13:00 112,128 --a------ h:\windows\system32\dllcache\fxscfgwz.dll
2009-01-05 16:43 . 2001-08-31 13:00 31,744 --a------ h:\windows\system32\fxsroute.dll
2009-01-05 16:43 . 2001-08-31 13:00 31,744 --a------ h:\windows\system32\dllcache\fxsroute.dll
2009-01-05 16:43 . 2001-08-31 13:00 11,264 --a------ h:\windows\system32\fxssend.exe
2009-01-05 16:43 . 2001-08-31 13:00 11,264 --a------ h:\windows\system32\dllcache\fxssend.exe
2009-01-05 16:43 . 2001-08-31 13:00 3,476 --a------ h:\windows\system32\fxsperf.ini
2009-01-05 16:43 . 2001-08-31 13:00 1,361 --a------ h:\windows\system32\fxscount.h
2009-01-05 16:43 . 2009-01-05 16:43 550 --a------ h:\windows\system32\mapisvc.inf
2009-01-05 16:29 . 2004-08-03 23:08 26,496 --a------ h:\windows\system32\dllcache\usbstor.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-01-06 19:05 2,864 ----a-w h:\windows\system32\winsock.dll
2009-01-06 19:05 2,864 ----a-w h:\windows\system32\dllcache\winsock.dll
2009-01-05 14:09 --------- d-----w h:\programmi\microsoft frontpage
2009-01-05 14:06 --------- d-----w h:\programmi\Servizi in linea
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="h:\windows\system32\ctfmon.exe" [2004-08-19 15360]
"MSMSGS"="h:\programmi\Messenger\msmsgs.exe" [2004-08-19 1667584]
"SpybotSD TeaTimer"="h:\programmi\Spybot - Search & Destroy\TeaTimer.exe" [2008-09-16 1833296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="h:\programmi\Java\jre6\bin\jusched.exe" [2009-01-06 136600]
"avast!"="h:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2008-11-26 81000]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="h:\windows\System32\CTFMON.EXE" [2004-08-19 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=

R1 aswSP;avast! Self Protection;h:\windows\system32\drivers\aswSP.sys [2009-01-06 111184]
R4 aswFsBlk;aswFsBlk;h:\windows\system32\drivers\aswFsBlk.sys [2009-01-06 20560]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{70dcc016-db49-11dd-a1d3-000b6a058df5}]
\Shell\AutoRun\command - P:\fppg1.exe
\Shell\explore\Command - P:\fppg1.exe
\Shell\open\Command - P:\fppg1.exe
.
- - - - CHIAVI ORFANE RIMOSSE - - - -

HKCU-Run-vamsoft - h:\windows\system32\vamsoft.exe

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-18 16:54:24
Windows 5.1.2600 Service Pack 2 FAT NTAPI

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
Ora fine scansione: 2009-01-18 16.55.57
ComboFix-quarantined-files.txt 2009-01-18 15:55:56

Pre-Run: 5.328.822.272 byte disponibili
Post-Run: 5,341,855,744 byte disponibili

WindowsXP-KB310994-SP2-Pro-BootDisk-ITA.exe
[boot loader]
timeout=2
default=C:\
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
C:\="Microsoft Windows"
multi(0)disk(0)rdisk(0)partition(6)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn

127

Ciao.

bbrun

Inviato: Sunday, January 18, 2009 5:58:42 PM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

Ho spostato Combofix nel desktop e ho rifatto l'esame, questo è il risultato.

ComboFix 09-01-17.04 - b 2009-01-18 17:49:10.2 - FAT32x86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1040.18.1023.710 [GMT 1:00]
Eseguito da: h:\documents and settings\b\Desktop\ComboFix.exe
AV: avast! antivirus 4.8.1296 [VPS 090117-0] *On-access scanning disabled* (Outdated)
.

((((((((((((((((((((((((( Files Creati Da 2008-12-18 al 2009-01-18 )))))))))))))))))))))))))))))))))))
.

2009-01-18 16:17 . 2009-01-18 16:17 <DIR> d-------- h:\programmi\Malwarebytes' Anti-Malware
2009-01-18 16:17 . 2009-01-18 16:17 <DIR> d-------- h:\documents and settings\b\Dati applicazioni\Malwarebytes
2009-01-18 16:17 . 2009-01-18 16:17 <DIR> d-------- h:\documents and settings\All Users\Dati applicazioni\Malwarebytes
2009-01-18 16:17 . 2009-01-14 16:11 38,496 --a------ h:\windows\system32\drivers\mbamswissarmy.sys
2009-01-18 16:17 . 2009-01-14 16:11 15,504 --a------ h:\windows\system32\drivers\mbam.sys
2009-01-18 16:16 . 2009-01-18 16:16 <DIR> d-------- h:\windows\LastGood
2009-01-17 09:50 . 2009-01-17 09:50 13,718 --a------ h:\windows\system32\wpa.bak
2009-01-16 22:14 . 2009-01-16 22:14 <DIR> d-------- h:\programmi\Spybot - Search & Destroy
2009-01-16 22:14 . 2009-01-16 22:14 <DIR> d-------- h:\documents and settings\All Users\Dati applicazioni\Spybot - Search & Destroy
2009-01-10 19:37 . 2009-01-10 19:37 <DIR> d-------- h:\windows\BDOSCAN8
2009-01-10 12:49 . 2009-01-10 12:49 <DIR> d--h----- h:\windows\system32\GroupPolicy
2009-01-06 19:19 . 2009-01-06 19:19 <DIR> d-------- h:\programmi\Alwil Software
2009-01-06 19:19 . 2003-03-18 21:20 1,060,864 --a------ h:\windows\system32\MFC71.dll
2009-01-06 19:19 . 2003-03-18 20:14 499,712 --a------ h:\windows\system32\MSVCP71.dll
2009-01-06 19:19 . 2003-02-21 04:42 348,160 --a------ h:\windows\system32\MSVCR71.dll
2009-01-06 13:36 . 2009-01-06 13:36 <DIR> d-------- h:\windows\Sun
2009-01-06 13:35 . 2009-01-06 13:35 <DIR> d-------- h:\programmi\Java
2009-01-06 13:35 . 2009-01-06 13:35 410,984 --a------ h:\windows\system32\deploytk.dll
2009-01-06 13:35 . 2009-01-06 13:35 73,728 --a------ h:\windows\system32\javacpl.cpl
2009-01-06 12:57 . 2009-01-06 12:57 118,784 --a------ h:\windows\SeaMonkeyUninstall.exe
2009-01-06 12:57 . 2009-01-06 12:57 118,784 --a------ h:\windows\GREUninstall.exe
2009-01-06 12:57 . 2009-01-06 12:57 7,122 --a------ h:\windows\mozver.dat
2009-01-06 12:57 . 2009-01-06 12:57 335 --a------ h:\windows\nsreg.dat
2009-01-06 12:56 . 2009-01-06 12:56 <DIR> d-------- h:\programmi\mozilla.org
2009-01-06 12:20 . 2009-01-06 12:20 <DIR> d-------- h:\programmi\Total Commander
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\UC.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\RAR.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\PKZIP.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\PKUNZIP.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\NOCLOSE.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\LHA.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\ARJ.PIF
2009-01-06 11:45 . 2009-01-06 11:45 8,025 --a------ H:\kill_amvo_virus_usb_en.vbs
2009-01-05 19:01 . 2009-01-05 19:01 <DIR> d--h----- h:\windows\$hf_mig$
2009-01-05 18:58 . 2008-10-16 14:09 43,544 --a------ h:\windows\system32\wups2.dll
2009-01-05 18:58 . 2008-10-16 14:12 35,864 --a------ h:\windows\system32\wucltui.dll.mui
2009-01-05 18:58 . 2008-10-16 14:08 27,672 --a------ h:\windows\system32\wuaucpl.cpl.mui
2009-01-05 18:58 . 2008-10-16 14:08 27,672 --a------ h:\windows\system32\wuapi.dll.mui
2009-01-05 18:58 . 2008-10-16 14:07 19,480 --a------ h:\windows\system32\wuaueng.dll.mui
2009-01-05 18:16 . 2009-01-05 18:16 <DIR> d-------- h:\documents and settings\b\Dati applicazioni\MSN6
2009-01-05 18:16 . 2009-01-05 18:16 <DIR> d-------- h:\documents and settings\All Users\Dati applicazioni\MSN6
2009-01-05 18:07 . 2009-01-05 18:07 <DIR> d-------- h:\documents and settings\b\Dati applicazioni\DeepBurner
2009-01-05 18:00 . 2009-01-18 17:45 3,715 --a------ h:\windows\WINCMD.INI
2009-01-05 17:30 . 2009-01-05 17:30 23,600 --a------ h:\windows\system32\drivers\TVICHW32.SYS
2009-01-05 16:43 . 2009-01-05 16:43 <DIR> d-------- h:\windows\system32\FxsTmp
2009-01-05 16:43 . 2001-08-31 13:00 138,240 --a------ h:\windows\system32\fxsclntR.dll
2009-01-05 16:43 . 2001-08-31 13:00 138,240 --a------ h:\windows\system32\dllcache\fxsclntr.dll
2009-01-05 16:43 . 2001-08-31 13:00 112,128 --a------ h:\windows\system32\fxscfgwz.dll
2009-01-05 16:43 . 2001-08-31 13:00 112,128 --a------ h:\windows\system32\dllcache\fxscfgwz.dll
2009-01-05 16:43 . 2001-08-31 13:00 31,744 --a------ h:\windows\system32\fxsroute.dll
2009-01-05 16:43 . 2001-08-31 13:00 31,744 --a------ h:\windows\system32\dllcache\fxsroute.dll
2009-01-05 16:43 . 2001-08-31 13:00 11,264 --a------ h:\windows\system32\fxssend.exe
2009-01-05 16:43 . 2001-08-31 13:00 11,264 --a------ h:\windows\system32\dllcache\fxssend.exe
2009-01-05 16:43 . 2001-08-31 13:00 3,476 --a------ h:\windows\system32\fxsperf.ini
2009-01-05 16:43 . 2001-08-31 13:00 1,361 --a------ h:\windows\system32\fxscount.h
2009-01-05 16:43 . 2009-01-05 16:43 550 --a------ h:\windows\system32\mapisvc.inf
2009-01-05 16:29 . 2004-08-03 23:08 26,496 --a------ h:\windows\system32\dllcache\usbstor.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-01-06 19:05 2,864 ----a-w h:\windows\system32\winsock.dll
2009-01-06 19:05 2,864 ----a-w h:\windows\system32\dllcache\winsock.dll
2009-01-05 14:09 --------- d-----w h:\programmi\microsoft frontpage
2009-01-05 14:06 --------- d-----w h:\programmi\Servizi in linea
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="h:\windows\system32\ctfmon.exe" [2004-08-19 15360]
"MSMSGS"="h:\programmi\Messenger\msmsgs.exe" [2004-08-19 1667584]
"SpybotSD TeaTimer"="h:\programmi\Spybot - Search & Destroy\TeaTimer.exe" [2008-09-16 1833296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="h:\programmi\Java\jre6\bin\jusched.exe" [2009-01-06 136600]
"avast!"="h:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2008-11-26 81000]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="h:\windows\System32\CTFMON.EXE" [2004-08-19 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=

R1 aswSP;avast! Self Protection;h:\windows\system32\drivers\aswSP.sys [2009-01-06 111184]
R4 aswFsBlk;aswFsBlk;h:\windows\system32\drivers\aswFsBlk.sys [2009-01-06 20560]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{70dcc016-db49-11dd-a1d3-000b6a058df5}]
\Shell\AutoRun\command - P:\fppg1.exe
\Shell\explore\Command - P:\fppg1.exe
\Shell\open\Command - P:\fppg1.exe
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-18 17:51:01
Windows 5.1.2600 Service Pack 2 FAT NTAPI

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
Ora fine scansione: 2009-01-18 17:52:34
ComboFix-quarantined-files.txt 2009-01-18 16:52:32
ComboFix2.txt 2009-01-18 15:56:00

Pre-Run: 5,354,594,304 byte disponibili
Post-Run: 5,345,755,136 byte disponibili

113

r16

Inviato: Sunday, January 18, 2009 7:23:05 PM

Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016

Ciao.
Hai una chiavetta o un HD esterno infettati.
Esegui questa operazione NON avendo collegato nulla, (nè chiavette, nè HD esterni):

Apri un file di testo sul Desktop (start\esegui\digita: notepad.exe\ Ok
Ci incolli il codice che vedi qui sotto, e salvi il file di testo obbligatoriamente con il nome CFScript.txt

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{70dcc016-db49-11dd-a1d3-000b6a058df5}]

Trascinalo sull'icona di ComboFix.
Attendi la fine dei lavori, senza toccare tastiera, mouse o altro.
Posta il log aggiornato di combofix
*********************************************************************************************************
Bisogna disattivare momentaneamente il riconoscimento automatico delle periferiche USB;
serve il programma TweakUI scaricabile in questa pagina (lo trovi sulla destra verso metà pagina) e installalo:
http://www.microsoft.com/windowsxp/downloads/powertoys/xppowertoys.mspx
Una volta installato, eseguilo e procedi con questi passaggi:

clicca sul simbolo + la sezione My Computer
clicca sul simbolo [+] la sottosezione Autoplay
Spostati in Types
Togli il segno di spunta a Enable Autoplay for removable drives
Clicca su Apply
Chiudi TweakUI

Da questo momento tutti gli apparati USB smetteranno di avviarsi automaticamente.
Inserisci le tue chiavette e fai una scansione delle stesse, con il tuo antivirus.
Quando sei sicuro che tutto è a posto, puoi riabilitare l'avvio automatico, rifacendo lo stesso percorso che ti ho indicato.

bbrun

Inviato: Sunday, January 18, 2009 8:48:59 PM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

Ecco il resoconto di Combofix PORCA MISERIA, HO SBAGLIATO

Lo rifaccio subito!

ECCOLO

ComboFix 09-01-17.04 - b 2009-01-18 20:42:15.4 - FAT32x86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1040.18.1023.739 [GMT 1:00]
Eseguito da: h:\documents and settings\b\Desktop\ComboFix.exe
Opzioni usate :: h:\documents and settings\b\Desktop\CFScript.txt.txt
AV: avast! antivirus 4.8.1296 [VPS 090117-0] *On-access scanning disabled* (Outdated)
* Creato nuovo punto di ripristino
.

((((((((((((((((((((((((( Files Creati Da 2008-12-18 al 2009-01-18 )))))))))))))))))))))))))))))))))))
.

2009-01-18 20:30 . 2003-06-25 16:05 266,360 --a------ h:\windows\system32\TweakUI.exe
2009-01-18 20:30 . 2002-06-21 15:09 160,217 --a------ h:\windows\system32\PowerToysLicense.rtf
2009-01-18 20:15 . 2009-01-18 20:15 <DIR> d-------- h:\windows\system32\it-it
2009-01-18 16:19 . 2008-06-14 18:59 272,768 --------- h:\windows\system32\dllcache\bthport.sys
2009-01-18 16:17 . 2009-01-18 16:17 <DIR> d-------- h:\programmi\Malwarebytes' Anti-Malware
2009-01-18 16:17 . 2009-01-18 16:17 <DIR> d-------- h:\documents and settings\b\Dati applicazioni\Malwarebytes
2009-01-18 16:17 . 2009-01-18 16:17 <DIR> d-------- h:\documents and settings\All Users\Dati applicazioni\Malwarebytes
2009-01-18 16:17 . 2008-04-11 19:50 683,520 --------- h:\windows\system32\dllcache\inetcomm.dll
2009-01-18 16:17 . 2008-10-24 12:10 453,632 --------- h:\windows\system32\dllcache\mrxsmb.sys
2009-01-18 16:17 . 2008-12-11 12:57 333,184 --------- h:\windows\system32\dllcache\srv.sys
2009-01-18 16:17 . 2008-05-01 15:31 331,776 --------- h:\windows\system32\dllcache\msadce.dll
2009-01-18 16:17 . 2009-01-14 16:11 38,496 --a------ h:\windows\system32\drivers\mbamswissarmy.sys
2009-01-18 16:17 . 2009-01-14 16:11 15,504 --a------ h:\windows\system32\drivers\mbam.sys
2009-01-18 16:16 . 2008-09-04 17:44 1,106,944 --------- h:\windows\system32\dllcache\msxml3.dll
2009-01-18 16:16 . 2008-10-15 17:57 332,800 --------- h:\windows\system32\dllcache\netapi32.dll
2009-01-18 16:16 . 2008-10-03 11:15 247,326 --------- h:\windows\system32\dllcache\strmdll.dll
2009-01-17 09:50 . 2009-01-17 09:50 13,718 --a------ h:\windows\system32\wpa.bak
2009-01-16 22:14 . 2009-01-16 22:14 <DIR> d-------- h:\programmi\Spybot - Search & Destroy
2009-01-16 22:14 . 2009-01-16 22:14 <DIR> d-------- h:\documents and settings\All Users\Dati applicazioni\Spybot - Search & Destroy
2009-01-10 19:37 . 2009-01-10 19:37 <DIR> d-------- h:\windows\BDOSCAN8
2009-01-10 12:49 . 2009-01-10 12:49 <DIR> d--h----- h:\windows\system32\GroupPolicy
2009-01-06 19:19 . 2009-01-06 19:19 <DIR> d-------- h:\programmi\Alwil Software
2009-01-06 19:19 . 2003-03-18 21:20 1,060,864 --a------ h:\windows\system32\MFC71.dll
2009-01-06 19:19 . 2003-03-18 20:14 499,712 --a------ h:\windows\system32\MSVCP71.dll
2009-01-06 19:19 . 2003-02-21 04:42 348,160 --a------ h:\windows\system32\MSVCR71.dll
2009-01-06 13:36 . 2009-01-06 13:36 <DIR> d-------- h:\windows\Sun
2009-01-06 13:35 . 2009-01-06 13:35 <DIR> d-------- h:\programmi\Java
2009-01-06 13:35 . 2009-01-06 13:35 410,984 --a------ h:\windows\system32\deploytk.dll
2009-01-06 13:35 . 2009-01-06 13:35 73,728 --a------ h:\windows\system32\javacpl.cpl
2009-01-06 12:57 . 2009-01-06 12:57 118,784 --a------ h:\windows\SeaMonkeyUninstall.exe
2009-01-06 12:57 . 2009-01-06 12:57 118,784 --a------ h:\windows\GREUninstall.exe
2009-01-06 12:57 . 2009-01-06 12:57 7,122 --a------ h:\windows\mozver.dat
2009-01-06 12:57 . 2009-01-06 12:57 335 --a------ h:\windows\nsreg.dat
2009-01-06 12:56 . 2009-01-06 12:56 <DIR> d-------- h:\programmi\mozilla.org
2009-01-06 12:20 . 2009-01-06 12:20 <DIR> d-------- h:\programmi\Total Commander
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\UC.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\RAR.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\PKZIP.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\PKUNZIP.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\NOCLOSE.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\LHA.PIF
2009-01-06 12:20 . 2008-08-08 07:04 545 --a------ h:\windows\ARJ.PIF
2009-01-06 11:45 . 2009-01-06 11:45 8,025 --a------ H:\kill_amvo_virus_usb_en.vbs
2009-01-05 19:01 . 2009-01-05 19:01 <DIR> d--h----- h:\windows\$hf_mig$
2009-01-05 18:58 . 2008-10-16 14:09 43,544 --a------ h:\windows\system32\wups2.dll
2009-01-05 18:58 . 2008-10-16 14:12 35,864 --a------ h:\windows\system32\wucltui.dll.mui
2009-01-05 18:58 . 2008-10-16 14:08 27,672 --a------ h:\windows\system32\wuaucpl.cpl.mui
2009-01-05 18:58 . 2008-10-16 14:08 27,672 --a------ h:\windows\system32\wuapi.dll.mui
2009-01-05 18:58 . 2008-10-16 14:07 19,480 --a------ h:\windows\system32\wuaueng.dll.mui
2009-01-05 18:16 . 2009-01-05 18:16 <DIR> d-------- h:\documents and settings\b\Dati applicazioni\MSN6
2009-01-05 18:16 . 2009-01-05 18:16 <DIR> d-------- h:\documents and settings\All Users\Dati applicazioni\MSN6
2009-01-05 18:07 . 2009-01-05 18:07 <DIR> d-------- h:\documents and settings\b\Dati applicazioni\DeepBurner
2009-01-05 18:00 . 2009-01-18 18:26 3,616 --a------ h:\windows\WINCMD.INI
2009-01-05 17:30 . 2009-01-05 17:30 23,600 --a------ h:\windows\system32\drivers\TVICHW32.SYS
2009-01-05 16:43 . 2009-01-05 16:43 <DIR> d-------- h:\windows\system32\FxsTmp
2009-01-05 16:43 . 2001-08-31 13:00 138,240 --a------ h:\windows\system32\fxsclntR.dll
2009-01-05 16:43 . 2001-08-31 13:00 138,240 --a------ h:\windows\system32\dllcache\fxsclntr.dll
2009-01-05 16:43 . 2001-08-31 13:00 112,128 --a------ h:\windows\system32\fxscfgwz.dll
2009-01-05 16:43 . 2001-08-31 13:00 112,128 --a------ h:\windows\system32\dllcache\fxscfgwz.dll
2009-01-05 16:43 . 2001-08-31 13:00 31,744 --a------ h:\windows\system32\fxsroute.dll
2009-01-05 16:43 . 2001-08-31 13:00 31,744 --a------ h:\windows\system32\dllcache\fxsroute.dll
2009-01-05 16:43 . 2001-08-31 13:00 11,264 --a------ h:\windows\system32\fxssend.exe
2009-01-05 16:43 . 2001-08-31 13:00 11,264 --a------ h:\windows\system32\dllcache\fxssend.exe
2009-01-05 16:43 . 2001-08-31 13:00 3,476 --a------ h:\windows\system32\fxsperf.ini
2009-01-05 16:43 . 2001-08-31 13:00 1,361 --a------ h:\windows\system32\fxscount.h
2009-01-05 16:43 . 2009-01-05 16:43 550 --a------ h:\windows\system32\mapisvc.inf
2009-01-05 16:29 . 2004-08-03 23:08 26,496 --a------ h:\windows\system32\dllcache\usbstor.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-01-06 19:05 2,864 ----a-w h:\windows\system32\winsock.dll
2009-01-06 19:05 2,864 ----a-w h:\windows\system32\dllcache\winsock.dll
2009-01-05 14:09 --------- d-----w h:\programmi\microsoft frontpage
2009-01-05 14:06 --------- d-----w h:\programmi\Servizi in linea
2008-12-11 11:57 333,184 ----a-w h:\windows\system32\drivers\srv.sys
2008-11-07 17:32 2,109,440 ------w h:\windows\system32\dllcache\WMVCore.dll
2008-10-23 12:59 283,648 ----a-w h:\windows\system32\gdi32.dll
2008-10-23 12:59 283,648 ------w h:\windows\system32\dllcache\gdi32.dll
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="h:\windows\system32\ctfmon.exe" [2004-08-19 15360]
"MSMSGS"="h:\programmi\Messenger\msmsgs.exe" [2004-08-19 1667584]
"SpybotSD TeaTimer"="h:\programmi\Spybot - Search & Destroy\TeaTimer.exe" [2008-09-16 1833296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SunJavaUpdateSched"="h:\programmi\Java\jre6\bin\jusched.exe" [2009-01-06 136600]
"avast!"="h:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2008-11-26 81000]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="h:\windows\System32\CTFMON.EXE" [2004-08-19 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=

R1 aswSP;avast! Self Protection;h:\windows\system32\drivers\aswSP.sys [2009-01-06 111184]
R4 aswFsBlk;aswFsBlk;h:\windows\system32\drivers\aswFsBlk.sys [2009-01-06 20560]
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-18 20:44:14
Windows 5.1.2600 Service Pack 2 FAT NTAPI

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
Ora fine scansione: 2009-01-18 20:45:51
ComboFix-quarantined-files.txt 2009-01-18 19:45:48
ComboFix3.txt 2009-01-18 15:56:00
ComboFix2.txt 2009-01-18 16:52:38

Pre-Run: 3,801,628,672 byte disponibili
Post-Run: 3,793,092,608 byte disponibili

126 --- E O F --- 2009-01-18 19:16:23

r16

Inviato: Sunday, January 18, 2009 9:46:58 PM

Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016

Ok .
Adesso pulisci con TweakUI, seguendo le indicazioni descritte nel post precedente.

bbrun

Inviato: Monday, January 19, 2009 10:51:12 PM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

Salve, solo adesso ho potuto usare Tweak UI per scansionare la penna USB.
Ma... SORPRESA, Avast NON HA la scansione delle penne!

Altri antivirus da consigliare?
Grazie.

r16

Inviato: Monday, January 19, 2009 11:14:54 PM

Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016

Ciao.
Come non scansiona la penna........
Inserisci la penna
Clicca Risorse del Computer.
Clicca con il tasto destro sopra la dicitura "Disco rimovibile" e scegli "scansiona con Avast.
Altrimenti :
Scarica VIRIT :
http://www.tgsoft.it/italy/download.htm
lo aggiorni (cliccando sulla parabola in alto) e fai la scansione.
Posta anche il log. (lo trovi sull'icona in alto, con raffigurato un block notes ,con una penna)
NB:Fai la scansione con la penna inserita.

bbrun

Inviato: Tuesday, January 20, 2009 12:06:02 AM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

Bé r16, sai com'è... la mia vasta esperienza nel campo...

Fatta la scansione, e trovati:
Fppg1.exe
Autorun.inf
Wqesvxa.exe
Yb12j.cmd

I file che avevano impestato le partizioni (sto ri-scansionando anche loro).

Morale della favola?
Sto pensando di proporre ad Alfonso di pagarvi (tu e Shapiro, praticamente
siete voi le colonne portanti di questa sezione del forum) per fare una guida
completa alla protezione per gli Utonti.

Ovviamente non sarà Alfonso a pagarvi, ma noi Utonti che veniamo qui su
Aiutamici per rimediare alle stupidaggini che abbiamo fatto.
Come dice il proverbio "Un deca per la guida toglie i guai di torno", non fa
la rima ma di getto e a quest' ora è il massimo che riesco a tirare fuori.
10 Euro a cranio per, mettiamo, 1000 Utonti fanno un deca(mila) che
vi dividerete fra voi due.

Che ne dici Alfonso?

Grazie e buonanotte a tutti.

bbrun

Inviato: Tuesday, January 20, 2009 12:17:47 AM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

Ultime notizie, Avast ha trovato d:\nero\testcd.exe\testcd.nrg, il commento è:
Impossibilitato al controllo: il file è una bomba a decompressione.

Non ho fatto nulla perché credo sia un falso positivo, però... voi che ne pensate?

Ri-buonanotte a tutti.

r16

Inviato: Tuesday, January 20, 2009 12:55:46 PM

Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016

bbrun ha scritto:

Bé r16, sai com'è... la mia vasta esperienza nel campo...

Fatta la scansione, e trovati:
Fppg1.exe
Autorun.inf
Wqesvxa.exe
Yb12j.cmd

I file che avevano impestato le partizioni (sto ri-scansionando anche loro).

Morale della favola?
Sto pensando di proporre ad Alfonso di pagarvi (tu e Shapiro, praticamente
siete voi le colonne portanti di questa sezione del forum) per fare una guida
completa alla protezione per gli Utonti.

Ovviamente non sarà Alfonso a pagarvi, ma noi Utonti che veniamo qui su
Aiutamici per rimediare alle stupidaggini che abbiamo fatto.
Come dice il proverbio "Un deca per la guida toglie i guai di torno", non fa
la rima ma di getto e a quest' ora è il massimo che riesco a tirare fuori.
10 Euro a cranio per, mettiamo, 1000 Utonti fanno un deca(mila) che
vi dividerete fra voi due.

Che ne dici Alfonso?

Grazie e buonanotte a tutti.

Non accetterei denaro dagli amici-utenti nemmeno se mi implorassero di riceverlo.
Piuttosto di ricevere soldi, per questa passione, saluterei tutti, e leverei le tende.
Per quanto riguarda le colonne portanti, meglio lasciare perdere. (non è tutto oro quello che luccica)
Ti garantisco che sono altre persone che sono "colonne portanti".

Riguardo il file testcd.exe, dovrebbe trattarsi di un file di Nero legittimo.
Per sicurezza fallo visionare da Virustotal.
Disattiva il ripristino configurazione di sistema, http://guide.aiutamici.com/guide?C1=7&C2=68&ID=80121
Riavvia il pc.
Riattiva il ripristino configurazione di sistema.( quersta operazione serve a eliminare il virus che hai nella cartella dei Ripristini)
Poi posta un log, (te lo avevo chiesto in precedenza) di hijackthis per un controllo.

bbrun

Inviato: Tuesday, January 20, 2009 8:31:30 PM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

r16 ha scritto:

Non accetterei denaro dagli amici-utenti nemmeno se mi implorassero di riceverlo.

Agli ordini capo... Angel

Angel

r16 ha scritto:

Riguardo il file testcd.exe, dovrebbe trattarsi di un file di Nero legittimo.
Per sicurezza fallo visionare da Virustotal.

Ho controllato, non è un file DENTRO Nero (che su XP non è nemmeno installato),
È una utilità che ho prelevato dal sito di Nero e che ancora non ho installato.
Ho risolto il problema cancellandolo.

r16 ha scritto:

Disattiva il ripristino configurazione di sistema, http://guide.aiutamici.com/guide?C1=7&C2=68&ID=80121
Riavvia il pc.
Riattiva il ripristino configurazione di sistema.( quersta operazione serve a eliminare il virus che hai nella cartella dei Ripristini)

Fatto

r16 ha scritto:

Poi posta un log, (te lo avevo chiesto in precedenza) di hijackthis per un controllo.

Eccolo, ma solo su H:\, come si fa a farlo su tutte le partizioni?

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20.21.59, on 20/01/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)
Boot mode: Normal

Running processes:
H:\WINDOWS\System32\smss.exe
H:\WINDOWS\system32\winlogon.exe
H:\WINDOWS\system32\services.exe
H:\WINDOWS\system32\lsass.exe
H:\WINDOWS\system32\svchost.exe
H:\WINDOWS\System32\svchost.exe
H:\WINDOWS\Explorer.EXE
H:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
H:\Programmi\Alwil Software\Avast4\ashServ.exe
H:\WINDOWS\system32\spoolsv.exe
H:\Programmi\Java\jre6\bin\jusched.exe
H:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
H:\WINDOWS\system32\ctfmon.exe
H:\Programmi\Messenger\msmsgs.exe
H:\Programmi\Java\jre6\bin\jqs.exe
H:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
H:\Programmi\Alwil Software\Avast4\ashWebSv.exe
H:\WINDOWS\System32\svchost.exe
H:\WINDOWS\system32\wuauclt.exe
H:\Programmi\mozilla.org\SeaMonkey\seamonkey.exe
H:\WINDOWS\system32\wscntfy.exe
H:\WINDOWS\system32\wuauclt.exe
H:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - H:\Programmi\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - H:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - H:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "H:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avast!] H:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] H:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "H:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] H:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] H:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - H:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - H:\WINDOWS\bdoscandel.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - H:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - H:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1231178286171
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - H:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - H:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - H:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - H:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - H:\Programmi\Java\jre6\bin\jqs.exe

--
End of file - 3833 bytes

r16

Inviato: Tuesday, January 20, 2009 9:41:18 PM

Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016

Ciao.
HijackThis , scansiona solo il Sistema Operativo. (Windows) .
Se il S.O. è contrassegnato con la lettera H, risulterà sempre la lettera H.
Per farmi capire meglio, nelle altre partizioni, non ci può essere il Sistema Operativo.
Quindi non le scansiona.
HijackThis, non è un antivirus, o un anti-qualcosa,non rimuove niente.
Serve solamente a indicare se ci possono essere delle infezioni, e qualche volta si sbaglia. Think

Think

Bene, nel tuo caso dice che il pc è pulito.
Se non riscontri problemi, dovrebbe avere ragione.

bbrun

Inviato: Tuesday, January 20, 2009 9:54:04 PM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

Bene, tutto pulito.
Per quanto mi riguarda continuerò a tenere disattivato l'avvio automatico delle penne USB.
Come succede per i floppy...

Ciao e grazie r16.

r16

Inviato: Tuesday, January 20, 2009 10:32:38 PM

Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016

Di niente. Drool

Drool

Ciao!

bbrun

Inviato: Tuesday, January 20, 2009 10:44:23 PM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

Scusa r16

Ti rompo le scatole per l'ultima volta.

Fatto 30 tanto vale fare 31, e ho controllato anche Win 98SE.

Ecco il log, grazie ancora.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22.41.02, on 20/01/09
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\KB918547\KB918547.EXE
C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE
C:\PROGRAMMI\EXECUTIVE SOFTWARE\DISKEEPERLITE\DKSERVICE.EXE
C:\WINDOWS\SYSTEM\ATI2EVXX.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\DIT.EXE
C:\PROGRAMMI\ASUSTEK\ASUSDVD\PDVDSERV.EXE
C:\PROGRAMMI\LOGITECH\SETPOINT\KEM.EXE
C:\WINDOWS\DITEXP.EXE
C:\PROGRAMMI\ATI TECHNOLOGIES\ATI CONTROL PANEL\ATIPTAXX.EXE
C:\PROGRAMMI\LOGITECH\DESKTOP MESSENGER\8876480\PROGRAM\BACKWEB-8876480.EXE
C:\WINDOWS\TWAIN_32\A4CIS600\WATCH.EXE
C:\PROGRAMMI\FILE COMUNI\MICROSOFT SHARED\WORKS SHARED\WKCALREM.EXE
C:\PROGRAMMI\LOGITECH\SETPOINT\KHALMNPR.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAMMI\ALICE\ALICE ENTERNET\APP\ENTERNET.EXE
C:\PROGRAMMI\MOZILLA.ORG\SEAMONKEY\SEAMONKEY.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\PROGRAM FILES\TREND MICRO\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_04\bin\ssv.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [Welcome] C:\WINDOWS\Welcome.exe /R
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [CriticalUpdate] C:\WINDOWS\SYSTEM\wucrtupd.exe -startup
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\ASUSTek\ASUSDVD\PDVDServ.exe
O4 - HKLM\..\Run: [SetPoint] C:\Programmi\Logitech\SetPoint\KEM.EXE
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [Atomic clock synchronizer] C:\PROGRAMMI\ATOMIC CLOCK\ATOMICCLOCK.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [KB918547] C:\WINDOWS\SYSTEM\KB918547\KB918547.EXE
O4 - HKLM\..\RunServices: [KB891711] C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE
O4 - HKLM\..\RunServices: [DkService] C:\Programmi\Executive Software\DiskeeperLite\DkService.exe
O4 - HKLM\..\RunServices: [ATIPOLL] ati2evxx.exe
O4 - HKLM\..\RunServices: [ATISmart] C:\WINDOWS\SYSTEM\ati2s9ag.exe
O4 - HKCU\..\Run: [LDM] C:\Programmi\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe
O4 - HKUS\.DEFAULT\..\Run: [LDM] C:\Programmi\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe (User 'Default user')
O4 - .DEFAULT Startup: Watch.lnk = C:\WINDOWS\TWAIN_32\A4CIS600\WATCH.exe (User 'Default user')
O4 - .DEFAULT Startup: Logitech Desktop Messenger.lnk = C:\Programmi\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe (User 'Default user')
O4 - .DEFAULT Startup: Promemoria del Calendario di Microsoft Works.lnk = C:\Programmi\File comuni\Microsoft Shared\Works Shared\wkcalrem.exe (User 'Default user')
O4 - Startup: Watch.lnk = C:\WINDOWS\TWAIN_32\A4CIS600\WATCH.exe
O4 - Startup: Logitech Desktop Messenger.lnk = C:\Programmi\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Startup: Promemoria del Calendario di Microsoft Works.lnk = C:\Programmi\File comuni\Microsoft Shared\Works Shared\wkcalrem.exe
O8 - Extra context menu item: Scarica con Download &Express - C:\Programmi\Download Express\Add_Url.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRAMMI\JAVA\JRE1.6.0_04\BIN\SSV.DLL
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRAMMI\JAVA\JRE1.6.0_04\BIN\SSV.DLL
O9 - Extra button: Crea preferiti portatile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAMMI\MICROSOFT ACTIVESYNC\INETREPL.DLL (file missing)
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAMMI\MICROSOFT ACTIVESYNC\INETREPL.DLL (file missing)
O9 - Extra 'Tools' menuitem: Crea preferiti portatile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAMMI\MICROSOFT ACTIVESYNC\INETREPL.DLL (file missing)
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = www.alice.it
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.0.1,208.67.222.222

--
End of file - 5527 bytes

r16

Inviato: Tuesday, January 20, 2009 10:54:22 PM

Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016

Hai solo un pò di "muffa".

Avvia hijackthis, metti la spunta alle voci che andrò ad elencarti e con tutte le applicazioni chiuse e disconnesso da Internet,premi su fix checked

O9 - Extra button: Crea preferiti portatile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAMMI\MICROSOFT ACTIVESYNC\INETREPL.DLL (file missing
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAMMI\MICROSOFT ACTIVESYNC\INETREPL.DLL (file missing)
O9 - Extra 'Tools' menuitem: Crea preferiti portatile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRAMMI\MICROSOFT ACTIVESYNC\INETREPL.DLL (file missing)
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab
Dai una pulita (registro compreso)con CCleaner
Ciao!

bbrun

Inviato: Tuesday, January 20, 2009 11:08:48 PM

Rank: AiutAmico

Iscritto dal : 3/14/2005
Posts: 978

Ebbene si, sono un bugiardo Liar

Liar

Avevo detto che era l'ultima, e invece no.

Ho fatto quello che hai detto, ho anche passato Ccleaner.

In "Pulizia" non c'era nulla, in "Registro"... ti devo fare un sacco di domande!

Ma è meglio parlarne domani, buonanotte r16.

Utenti presenti in questo topic

2 pages: [1] 2

Aiutamici Forum » FORUM - Istruzioni e Guide » Sicurezza VIRUS » Cavalli di Troia, Dialer... manca nulla?

Salta al Forum

Aggiunta nuovi Topic disabilitata in questo forum.
Risposte disabilitate in questo forum.
Eliminazione tuoi Post disabilitata in questo forum.
Modifica dei tuoi post disabilitata in questo forum.
Creazione Sondaggi disabilitata in questo forum.
Voto ai sondaggi disabilitato in questo forum.

Main Forum RSS :

Aiutamici Theme
Powered by Yet Another Forum.net versione 1.9.1.8 (NET v2.0) - 3/29/2008
Copyright © 2003-2008 Yet Another Forum.net. All rights reserved.

Invia topic via Email

RSS Feed

Watch this topic

Stampa topic

Normale

Threaded