Aiutamici Forum
Benvenuto Ospite Cerca | Topic Attivi | Utenti | | Log In | Registra

Aiutamici Forum » FORUM - Istruzioni e Guide » Sicurezza VIRUS » Controllo log Hijack

2 pages: [1] 2
Controllo log Hijack Opzioni
Topic Precedente · Topic Sucessivo
borisba
Inviato: Friday, May 28, 2010 3:23:17 PM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Grazie!
Commenta:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 03:16:19 PM, on 2010/05/28
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18904)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Symantec\Symantec Endpoint Protection\SmcGui.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\DellTPad\Apoint.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Windows\System32\WLTRAY.EXE
C:\Program Files\DigitalPersona\Bin\DpAgent.exe
C:\Windows\system32\igfxsrvc.exe
C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe
C:\Program Files\Dell Webcam\Dell Webcam Central\WebcamDell2.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Vodafone\Vodafone Mobile Connect\Bin\MobileConnect.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Program Files\DellTPad\Apntex.exe
C:\Program Files\DellTPad\HidFind.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Windows\System32\notepad.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
c:\program files\aim toolbar\aimtbServer.exe
C:\Program Files\Skype\Toolbars\Shared\SkypeNames.exe
C:\Program Files\Microsoft Office\Office12\POWERPNT.EXE
C:\Program Files\Adobe\Reader 9.0\Reader\AcroRd32.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Users\Federico\Downloads\HijackThis.exe

O23 - Service: Symantec Management Client (SmcService) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\Smc.exe
O23 - Service: Symantec Network Access Control (SNAC) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\SNAC.EXE
O23 - Service: SQLSERVERAGENT - Unknown owner - c:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlagent.EXE (file missing)
O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe
O23 - Service: Symantec Endpoint Protection (Symantec AntiVirus) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\Rtvscan.exe
O23 - Service: Validity VCS Fingerprint Service (vcsFPService) - Validity Sensors, Inc. - C:\Windows\system32\vcsFPService.exe
O23 - Service: Vodafone Mobile Connect Service (VMCService) - Vodafone - C:\Program Files\Vodafone\Vodafone Mobile Connect\Bin\VMCService.exe
O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\Windows\System32\WLTRYSVC.EXE

--
End of file - 2957 bytes
Torna in alto
 
Sponsor
Inviato: Friday, May 28, 2010 3:23:17 PM

 
Torna in alto
 
fdaccc
Inviato: Friday, May 28, 2010 3:33:40 PM

Rank: AiutAmico

Iscritto dal : 12/12/2009
Posts: 2,114
Riposta il log, è incompleto.
Torna in alto
 
tamagon
Inviato: Friday, May 28, 2010 3:34:35 PM

Rank: AiutAmico

Iscritto dal : 3/6/2009
Posts: 2,913
specifica che problemi ti da il pc e aspetta gli esperti,ciao
Torna in alto
 
borisba
Inviato: Friday, May 28, 2010 3:55:40 PM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Ho il problema che a volte non carica le pagine di Firefox (l'ho incluso nei programmi dei firewall). Prima mi ha fatto un log incompleto, ora son riuscito ad aver piu' voci, ma anche con log Hijack mi da' problemi. Se clicko su "run as administrator", come mi dice il programma, mi dice che il programma e' "already running". Poi con alcuni programmi succede che non vengon aperti, o si chiudono e mi appare una scritta che dice che un determinato programma "has stopped working", poi "Windows is checking for a solution to the problem"; infine che "A problem caused the program to stop working correctly. Windows will close the program and notify you if a solution is available".
Il problema e' che qui al; lavoro m'han dato un "Vista", SO che non avevo mai usato:
Di sotto il nuovo log:
Commenta:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 03:46:25 PM, on 2010/05/28
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18904)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Symantec\Symantec Endpoint Protection\SmcGui.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\DellTPad\Apoint.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Windows\System32\WLTRAY.EXE
C:\Program Files\DigitalPersona\Bin\DpAgent.exe
C:\Windows\system32\igfxsrvc.exe
C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe
C:\Program Files\Dell Webcam\Dell Webcam Central\WebcamDell2.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Vodafone\Vodafone Mobile Connect\Bin\MobileConnect.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Program Files\DellTPad\Apntex.exe
C:\Program Files\DellTPad\HidFind.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Windows\System32\notepad.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
c:\program files\aim toolbar\aimtbServer.exe
C:\Program Files\Skype\Toolbars\Shared\SkypeNames.exe
C:\Program Files\Microsoft Office\Office12\POWERPNT.EXE
C:\Program Files\Adobe\Reader 9.0\Reader\AcroRd32.exe
C:\Users\Federico\Downloads\HijackThis.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Windows\system32\NOTEPAD.EXE
C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.dell.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\pdfforge Toolbar\SearchSettings.dll
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AIM Toolbar Loader - {b0cda128-b425-4eef-a174-61a11ac5dbf8} - C:\Program Files\AIM Toolbar\aimtb.dll
O2 - BHO: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\pdfforge Toolbar\SearchSettings.dll
O3 - Toolbar: AIM Toolbar - {61539ecd-cc67-4437-a03c-9aaccbd14326} - C:\Program Files\AIM Toolbar\aimtb.dll
O3 - Toolbar: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [Apoint] C:\Program Files\DellTPad\Apoint.exe
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Broadcom Wireless Manager UI] C:\Windows\system32\WLTRAY.exe
O4 - HKLM\..\Run: [DpAgent] C:\Program Files\DigitalPersona\Bin\dpagent.exe
O4 - HKLM\..\Run: [PDVDDXSrv] "C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe"
O4 - HKLM\..\Run: [Dell Webcam Central] "C:\Program Files\Dell Webcam\Dell Webcam Central\WebcamDell2.exe" /mode2
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [hp 1000 firmware] C:\Program Files\hp LaserJet 1000\fwdl.exe
O4 - HKLM\..\Run: [MobileConnect] %programfiles%\Vodafone\Vodafone Mobile Connect\Bin\MobileConnect.exe /silent
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [SearchSettings] C:\Program Files\pdfforge Toolbar\SearchSettings.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {5067A26B-1337-4436-8AFE-EE169C2DA79F} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra 'Tools' menuitem: Skype add-on for Internet Explorer - {5067A26B-1337-4436-8AFE-EE169C2DA79F} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://secure.logmein.com/activex/ractrl.cab?lmi=100
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\Windows\system32\browseui.dll
O23 - Service: Application Updater - Spigot, Inc. - C:\Program Files\Application Updater\ApplicationUpdater.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: @C:\Program Files\DigitalPersona\Bin\DpHostW.exe,-128 (DpHost) - DigitalPersona, Inc. - C:\Program Files\DigitalPersona\Bin\DpHostW.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: SAGEM MorphoSmart Service Provider Usb Server (MSO_SpUsb_Service) - Unknown owner - C:\Windows\system32\Serv_SpUsb.exe
O23 - Service: MSSQLSERVER - Unknown owner - c:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe (file missing)
O23 - Service: Symantec Management Client (SmcService) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\Smc.exe
O23 - Service: Symantec Network Access Control (SNAC) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\SNAC.EXE
O23 - Service: SQLSERVERAGENT - Unknown owner - c:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlagent.EXE (file missing)
O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe
O23 - Service: Symantec Endpoint Protection (Symantec AntiVirus) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\Rtvscan.exe
O23 - Service: Validity VCS Fingerprint Service (vcsFPService) - Validity Sensors, Inc. - C:\Windows\system32\vcsFPService.exe
O23 - Service: Vodafone Mobile Connect Service (VMCService) - Vodafone - C:\Program Files\Vodafone\Vodafone Mobile Connect\Bin\VMCService.exe
O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\Windows\System32\WLTRYSVC.EXE

--
End of file - 9047 bytes
Torna in alto
 
paolopa
Inviato: Friday, May 28, 2010 4:58:20 PM

Rank: AiutAmico

Iscritto dal : 10/14/2008
Posts: 2,777
apri hijack e clicca su "do a system scan only",seleziona le seguenti righe
R3 - URLSearchHook: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\pdfforge Toolbar\SearchSettings.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll
O2 - BHO: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\pdfforge Toolbar\SearchSettings.dll
O3 - Toolbar: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll
O4 - HKLM\..\Run: [SearchSettings] C:\Program Files\pdfforge Toolbar\SearchSettings.exe
e,con tutte le applicazioni chiuse e disconnesso da internet, premi su "fix checked"
poi
Scarica ed installa MalwareBytes:
clicca qui per il download : http://www.aiutamici.com/software?id=80346
Prima di fare la scansione AGGIORNALO. (è molto importante)
Esegui una scansione completa del sistema.
se trova infezioni posta il log che ti rilascera'.
Torna in alto
 
borisba
Inviato: Monday, May 31, 2010 11:07:56 AM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Ho eseguito. Il problema e' che ha suscitato le "proteste" dell'antivirus Symantec. Poi, dopo 32:13 di scansione e 0 file infetti su 103843, il pc si e' bloccato. A tal punto che anche azionare il Task Manager era impossibile e ho dovuto spegnerlo "brutalmente", schiacciando il pulsante. Ora riprovo...
Torna in alto
 
paolopa
Inviato: Monday, May 31, 2010 11:39:05 AM

Rank: AiutAmico

Iscritto dal : 10/14/2008
Posts: 2,777
scarica e avvia rkill e riprova malwarebytes

http://www.investireoggi.it/forum/rkill-per-killare-i-processi-infettivi-vt54031.html
Torna in alto
 
borisba
Inviato: Monday, May 31, 2010 12:02:16 PM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Grazie! Non c'e' stato bisogno: il secondo tentativo ha funzionato senza problemi. Solo che non ha trovato nulla di strano:
Commenta:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Database version: 4157

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18904

2010/05/31 11:52:46 AM
mbam-log-2010-05-31 (11-52-46).txt

Scan type: Full scan (C:\|E:\|F:\|)
Objects scanned: 228203
Time elapsed: 42 minute(s), 15 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 0
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)

La cosa che mi verrebbe da pensare e' che il mio pc non abbia nulla che non va, solo che siccome e' la prima volta in vita mia che uso Windows Vista, probabilmente ci son impostazioni di protezione troppo rigide che non so come allentare.
Quel che ho trovato su web, pero', e' che quel tipo di messaggio (oggi me l'ha dato anche con Symantec) si ha quando un qualche programma crea un qualche tipo di problema (ho letto, tipicamente, Nero e Dvix, che pero' non mi risultan nei programmi installati dal Pannello di Controllo).
Mi rendo conto pero' che c'e' una sezione apposita su Windows Vista quindi se ritenete apro una discussione li'.
Borisba
Torna in alto
 
paolopa
Inviato: Monday, May 31, 2010 12:07:48 PM

Rank: AiutAmico

Iscritto dal : 10/14/2008
Posts: 2,777
ascolta,dal log di hijack di cose che non andavano ne risultavano parecchie,non ti ho fatto fixare quelle voci tanto per fare qualcosa...io andrei a fondo,ti do le istruzioni per usare combofix,poi decidi tu se seguirle o meno
Scarica Combofix

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Salvalo sul desktop.

Importante: dopo aver scaricato COMBOFIX chiudi la connessione disabilita il tuo antivirus e
chiudi TUTTI i programmi aperti,(Firewall compreso) e

Doppio click su combofix.exe (comparirà una videata.)

E' probabile che ti siano inviati messaggi dall'antivirus,(o dallo stesso Combofix)
tu ignorali.

Se ti verrà chiesto se vuoi Installare LA CONSOLE DI RIPRISTINO DI EMERGENZA, clicca NO.

Durante l'operazione di scansione è importante non usare il PC (neanche il mouse)
e attendere pazientemente la fine delle operazioni.
Al termine, verrà creato un file log sul Desktop, chiamato C:\ComboFix.txt. Postalo qui.
Torna in alto
 
borisba
Inviato: Monday, May 31, 2010 2:14:36 PM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Grazie!
Commenta:

ComboFix 10-05-30.08 - User 2010/05/31 13:52:24.1.2 - x86
Microsoft® Windows Vista™ Business 6.0.6002.2.1252.27.1033.18.2012.831 [GMT 2:00]
Running from: c:\users\Federico\Desktop\ComboFix.exe
AV: Symantec Endpoint Protection *On-access scanning disabled* (Updated) {FB06448E-52B8-493A-90F3-E43226D3305C}
FW: Symantec Endpoint Protection *disabled* {BE898FE3-CD0B-4014-85A9-03DB9923DDB6}
SP: Symantec Endpoint Protection *disabled* (Updated) {6C85A515-B91D-4D2B-AF18-40984A4A8493}
SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\data
c:\program files\Internet Explorer\Plugins\npqtplugin2.dll
c:\program files\Internet Explorer\Plugins\npqtplugin3.dll
c:\program files\Internet Explorer\Plugins\npqtplugin4.dll
c:\program files\Internet Explorer\Plugins\npqtplugin5.dll
c:\program files\Internet Explorer\Plugins\npqtplugin6.dll
c:\program files\Internet Explorer\Plugins\npqtplugin7.dll
c:\program files\pdfforge Toolbar\SeARchsettings.dll
c:\program files\QuickTime\Plugins\npqtplugin2.dll
c:\program files\QuickTime\Plugins\npqtplugin3.dll
c:\program files\QuickTime\Plugins\npqtplugin4.dll
c:\program files\QuickTime\Plugins\npqtplugin5.dll
c:\program files\QuickTime\Plugins\npqtplugin6.dll
c:\program files\QuickTime\Plugins\npqtplugin7.dll

.
((((((((((((((((((((((((( Files Created from 2010-04-28 to 2010-05-31 )))))))))))))))))))))))))))))))
.

2010-05-31 11:59 . 2010-05-31 11:59 -------- d-----w- c:\users\Default\AppData\Local\temp
2010-05-31 09:09 . 2010-05-31 09:09 -------- d-----w- c:\users\Federico\AppData\Roaming\Malwarebytes
2010-05-31 08:16 . 2010-05-31 08:16 -------- d-----w- c:\users\User\AppData\Roaming\Malwarebytes
2010-05-31 08:16 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-05-31 08:16 . 2010-05-31 08:16 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-05-31 08:16 . 2010-05-31 08:16 -------- d-----w- c:\programdata\Malwarebytes
2010-05-31 08:16 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-05-28 13:45 . 2010-05-28 13:45 388096 ----a-r- c:\users\Federico\AppData\Roaming\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe
2010-05-28 13:45 . 2010-05-28 13:45 -------- d-----w- c:\program files\Trend Micro
2010-05-26 11:47 . 2010-05-26 11:47 -------- d-----w- c:\users\Federico\AppData\Local\Adobe
2010-05-26 11:04 . 2010-05-31 11:07 -------- d-----w- c:\users\Federico\AppData\Roaming\skypePM
2010-05-26 11:02 . 2010-05-31 11:35 -------- d-----w- c:\users\Federico\AppData\Roaming\Skype
2010-05-26 10:43 . 2010-05-26 10:43 -------- d-----w- c:\users\Federico\AppData\Local\Mozilla
2010-05-26 10:41 . 2010-05-26 10:41 -------- d-----w- c:\users\Federico\AppData\Local\AIM Toolbar
2010-05-26 10:38 . 2010-05-26 10:38 -------- d-----w- c:\users\Federico\AppData\Roaming\Macrovision
2010-05-26 10:38 . 2010-05-26 10:38 -------- d-----w- c:\users\Federico\AppData\Local\PowerDVD DX
2010-05-26 10:38 . 2010-05-26 10:38 102424 ----a-w- c:\users\Federico\AppData\Local\GDIPFONTCACHEV1.DAT
2010-05-26 10:38 . 2010-05-26 10:38 -------- d-----w- c:\users\Federico\AppData\Roaming\Vodafone
2010-05-26 10:37 . 2010-05-26 10:37 -------- d-----w- c:\users\Federico\AppData\Roaming\DigitalPersona
2010-05-26 10:37 . 2010-05-26 10:37 -------- d-----w- c:\users\Federico\AppData\Local\DigitalPersona
2010-05-26 10:37 . 2010-05-28 13:45 -------- d-----w- c:\users\Federico\AppData\Local\VirtualStore
2010-05-26 09:59 . 2010-05-26 09:59 -------- d-----w- c:\program files\MSXML 4.0
2010-05-26 07:33 . 2010-04-23 14:13 2048 ----a-w- c:\windows\system32\tzres.dll
2010-05-25 11:51 . 2008-08-02 09:58 82432 ----a-w- c:\windows\system32\msxml4r.dll
2010-05-25 11:51 . 2008-08-02 09:58 44544 ----a-w- c:\windows\system32\msxml4a.dll
2010-05-25 11:51 . 2010-05-25 11:51 -------- d-----w- c:\program files\TeXnicCenter
2010-05-25 11:49 . 2010-05-25 11:49 -------- d-----w- c:\users\User\AppData\Local\Mozilla
2010-05-25 11:47 . 2010-05-25 11:47 -------- d-----w- c:\users\User\AppData\Local\MiKTeX
2010-05-25 11:47 . 2010-05-25 11:47 -------- d-----w- c:\programdata\MiKTeX
2010-05-25 11:44 . 2010-05-25 11:46 -------- d-----w- c:\program files\MiKTeX 2.6
2010-05-25 11:40 . 2010-05-25 11:40 -------- d-----w- c:\program files\Ghostgum
2010-05-25 11:40 . 2010-05-25 11:40 -------- d-----w- c:\program files\gs
2010-05-25 11:39 . 2010-05-31 11:58 -------- d-----w- c:\program files\pdfforge Toolbar
2010-05-25 11:39 . 2010-05-25 11:39 -------- d-----w- c:\program files\Application Updater
2010-05-25 11:38 . 2001-10-28 14:42 116224 ----a-w- c:\windows\system32\pdfcmnnt.dll
2010-05-25 11:38 . 2010-05-25 11:40 -------- d-----w- c:\program files\PDFCreator
2010-05-25 11:38 . 1998-08-05 05:45 122128 ----a-w- c:\windows\system32\VB6IT.DLL
2010-05-25 11:38 . 1998-08-05 05:45 150528 ----a-w- c:\windows\system32\MSCMCIT.DLL
2010-05-25 11:38 . 1998-08-05 05:45 63488 ----a-w- c:\windows\system32\MSCC2IT.DLL
2010-05-25 11:38 . 1998-07-05 22:00 23552 ----a-w- c:\windows\system32\MSMPIDE.DLL
2010-05-25 09:26 . 2010-05-25 09:26 -------- d-----w- c:\users\User\AppData\Roaming\Stata10
2010-05-25 09:24 . 2010-05-25 09:47 -------- d-----w- c:\program files\Stata10
2010-05-25 09:22 . 2010-05-25 09:22 -------- d-----w- c:\program files\Common Files\Wise Installation Wizard
2010-05-25 09:21 . 2010-05-25 09:21 -------- d-----w- c:\program files\Common Files\Adobe
2010-05-20 22:52 . 2010-05-20 22:52 -------- d-----w- C:\New Folder
2010-05-20 07:19 . 2010-01-29 15:40 738816 ----a-w- c:\windows\system32\inetcomm.dll

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-05-31 11:48 . 2009-10-24 15:07 -------- d-----w- c:\users\User\AppData\Roaming\skypePM
2010-05-28 14:22 . 2009-10-24 15:06 -------- d-----w- c:\users\User\AppData\Roaming\Skype
2010-05-21 01:18 . 2006-11-02 11:18 -------- d-----w- c:\program files\Windows Mail
2010-05-21 01:01 . 2009-10-20 10:27 -------- d-----w- c:\programdata\Microsoft Help
2010-05-12 09:21 . 2009-10-20 10:37 221568 ------w- c:\windows\system32\MpSigStub.exe
2010-04-11 16:51 . 2010-04-11 16:51 -------- d-----w- c:\programdata\WindowsSearch
2010-04-11 04:06 . 2010-04-11 04:06 -------- d-----w- c:\users\User\AppData\Roaming\acccore
2010-04-11 04:05 . 2010-04-11 04:05 -------- d-----w- c:\program files\AIM Toolbar
2010-04-11 04:05 . 2010-04-11 04:05 -------- d-----w- c:\programdata\AIM Toolbar
2010-04-11 04:05 . 2010-04-11 04:05 -------- d-----w- c:\program files\Common Files\Software Update Utility
2010-04-11 04:05 . 2010-04-11 04:05 -------- d-----w- c:\programdata\AIM
2010-04-11 04:05 . 2010-04-11 04:05 -------- d-----w- c:\program files\AIM
2010-04-11 04:05 . 2010-04-11 04:05 -------- d-----w- c:\program files\Common Files\AOL
2010-03-12 16:52 . 2010-03-12 16:52 94208 ----a-w- c:\programdata\AIM Toolbar\ieToolbar\resources\en-US\aimtbres.dll
2010-03-05 14:01 . 2010-04-14 14:15 420352 ----a-w- c:\windows\system32\vbscript.dll
2010-03-03 01:48 . 2009-10-20 10:07 102424 ----a-w- c:\users\User\AppData\Local\GDIPFONTCACHEV1.DAT
2009-07-21 22:35 . 2009-07-21 22:35 75 --sh--r- c:\windows\CT4CET.bin
2009-07-22 00:58 . 2009-04-11 16:25 8192 --sha-w- c:\windows\Users\Default\NTUSER.DAT
.

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}]
2010-01-08 01:17 700416 ----a-w- c:\program files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{B922D405-6D13-4A2B-AE89-08A030DA4402}"= "c:\program files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll" [2010-01-08 700416]

[HKEY_CLASSES_ROOT\clsid\{b922d405-6d13-4a2b-ae89-08a030da4402}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-04-11 1233920]
"msnmsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883856]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2009-10-09 25623336]
"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-21 202240]
"Aim"="c:\program files\AIM\aim.exe" [2010-03-08 3972440]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Defender"="c:\program files\Windows Defender\MSASCui.exe" [2008-01-21 1008184]
"Apoint"="c:\program files\DellTPad\Apoint.exe" [2009-04-25 233472]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2009-04-25 141848]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2009-04-25 173592]
"Persistence"="c:\windows\system32\igfxpers.exe" [2009-04-25 150552]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2009-07-21 148888]
"Broadcom Wireless Manager UI"="c:\windows\system32\WLTRAY.exe" [2008-12-11 3563520]
"DpAgent"="c:\program files\DigitalPersona\Bin\dpagent.exe" [2009-02-06 818240]
"PDVDDXSrv"="c:\program files\CyberLink\PowerDVD DX\PDVDDXSrv.exe" [2009-02-05 128232]
"Dell Webcam Central"="c:\program files\Dell Webcam\Dell Webcam Central\WebcamDell2.exe" [2009-01-09 405639]
"ccApp"="c:\program files\Common Files\Symantec Shared\ccApp.exe" [2008-01-31 115560]
"hp 1000 firmware"="c:\program files\hp LaserJet 1000\fwdl.exe" [2001-12-15 36864]
"MobileConnect"="c:\program files\Vodafone\Vodafone Mobile Connect\Bin\MobileConnect.exe" [2008-07-04 2072576]
"QuickTime Task"="c:\program files\QuickTime\qttask.exe" [2010-03-06 77824]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-04-04 36272]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-03-24 952768]
"SearchSettings"="c:\program files\pdfforge Toolbar\SearchSettings.exe" [2010-01-07 974848]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Service Manager.lnk - c:\program files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe [2002-12-17 74308]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Notification Packages REG_MULTI_SZ scecli DPPWDFLT

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccEvtMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\ccSetMgr]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Symantec Antivirus]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]
"VistaSp2"=hex(b):73,7c,e7,00,dc,55,ca,01

R3 COH_Mon;COH_Mon;c:\windows\system32\Drivers\COH_Mon.sys [2008-07-30 23888]
R3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [2010-04-29 38224]
S2 Application Updater;Application Updater;c:\program files\Application Updater\ApplicationUpdater.exe [2010-01-07 380928]
S2 HsfXAudioService;HsfXAudioService;c:\windows\system32\svchost.exe [2008-01-21 21504]
S2 MSO_SpUsb_Service;SAGEM MorphoSmart Service Provider Usb Server;c:\windows\system32\Serv_SpUsb.exe [2005-09-30 86016]
S2 vcsFPService;Validity VCS Fingerprint Service;c:\windows\system32\vcsFPService.exe [2009-04-02 1049904]
S2 VMCService;Vodafone Mobile Connect Service;c:\program files\Vodafone\Vodafone Mobile Connect\Bin\VMCService.exe [2008-07-04 14336]
S3 CtClsFlt;Creative Camera Class Upper Filter Driver;c:\windows\system32\DRIVERS\CtClsFlt.sys [2008-12-31 144128]
S3 EraserUtilRebootDrv;EraserUtilRebootDrv;c:\program files\Common Files\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [2010-05-27 102448]
S3 OA014Ufd;Creative Camera OA014 Upper Filter Driver;c:\windows\system32\DRIVERS\OA014Ufd.sys [2009-04-25 133632]
S3 OA014Vid;Creative Camera OA014 Function Driver;c:\windows\system32\DRIVERS\OA014Vid.sys [2009-04-25 271904]


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceNoNetwork REG_MULTI_SZ PLA DPS BFE mpssvc
HsfXAudioService REG_MULTI_SZ HsfXAudioService
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
LocalServiceAndNoImpersonation REG_MULTI_SZ FontCache
.
Contents of the 'Scheduled Tasks' folder

2010-05-31 c:\windows\Tasks\User_Feed_Synchronization-{C6BC9E92-275E-4A21-8F13-D5AD57B02DB6}.job
- c:\windows\system32\msfeedssync.exe [2010-04-06 04:54]
.
.
------- Supplementary Scan -------
.
uStart Page = hxxp://www.aol.com/?src=aim&ncid=snsusaimc00000001
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\users\User\AppData\Roaming\Mozilla\Firefox\Profiles\focc7nd2.default\
FF - plugin: c:\program files\Common Files\Research In Motion\BBWebSLLauncher\NPWebSLLauncher.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX POLICIES ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\program files\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
.
- - - - ORPHANS REMOVED - - - -

SafeBoot-Symantec Antvirus



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-05-31 13:59
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
--------------------- LOCKED REGISTRY KEYS ---------------------

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0003\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'lsass.exe'(736)
c:\windows\system32\DPPWDFLT.dll
.
Completion time: 2010-05-31 14:02:01
ComboFix-quarantined-files.txt 2010-05-31 12:01

Pre-Run: 140 687 785 984 bytes free
Post-Run: 140 237 602 816 bytes free

- - End Of File - - 8533AC8C3B8A960F91ACA955B892BB48

A quanto noto dal log, non avevo chiuso Windows Defender: devo rifare l'analisi?
Devo dire che m'e' successa una cosa stranissima: dopo avermi chiesto la password da admin per eseguire Combo, m'ha "catapultato" nell'identita' "admin" e ora, anche se cerco di entrare con l'altra id (da utente normale) mi fa entrare come admin.
Borisba
Torna in alto
 
paolopa
Inviato: Monday, May 31, 2010 2:35:12 PM

Rank: AiutAmico

Iscritto dal : 10/14/2008
Posts: 2,777
no,aspetta che r16 ti faccia eseguire uno script,io non sono in grado di farlo e temo che vada fatto.combofix ha eliminato parecchie infezioni,ma credo che ci sia ancora da fare....conosco i miei limiti e volerli superare non servirebbe ne a me ne a te.aspetta r16.
Torna in alto
 
borisba
Inviato: Monday, May 31, 2010 2:44:56 PM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Ok, grazie! L'unica mia preoccupazione e' che questo e' un pc che il capo mi ha dato perche' piu' potente (quindi per farmi lavorar meglio), quindi forse non posso far tutto quello che farei se il pc fosse mio. Avevo appunto creato una mia identita', che ora formalmente c'e' ancora ma a cui appunto in questo momento non mi lascia accedere.
Torna in alto
 
r16
Inviato: Monday, May 31, 2010 2:46:25 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Apri un file di testo con il Block Note sul Desktop
Ci incolli il codice che vedi qui sotto, e salvi il file di testo obbligatoriamente con il nome CFScript.txt

Code:
KillAll::
Folder::
c:\program files\pdfforge Toolbar
Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{B922D405-6D13-4A2B-AE89-08A030DA4402}"=-
[-HKEY_CLASSES_ROOT\clsid\{b922d405-6d13-4a2b-ae89-08a030da4402}]
RegLock::
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0003\AllUserSettings]

e trascinalo sull'icona di ComboFix.
Attendi la fine dei lavori, senza toccare tastiera, mouse o altro.
Se il pc non si riavvia, RIAVVIALO TU.
Posta il log aggiornato di combofix
Torna in alto
 
borisba
Inviato: Monday, May 31, 2010 6:48:40 PM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Allora: dopo un reboot, riuscivo di nuovo a entrare anche con l'altra identità.
Poi ho fatto quanto riportato qui:
Commenta:

Apri un file di testo con il Block Note sul Desktop
Ci incolli il codice che vedi qui sotto, e salvi il file di testo obbligatoriamente con il nome CFScript.txt

Code:
KillAll::
Folder::
c:\program files\pdfforge Toolbar
Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{B922D405-6D13-4A2B-AE89-08A030DA4402}"=-
[-HKEY_CLASSES_ROOT\clsid\{b922d405-6d13-4a2b-ae89-08a030da4402}]
RegLock::
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0003\AllUserSettings]

e trascinalo sull'icona di ComboFix.
Attendi la fine dei lavori, senza toccare tastiera, mouse o altro.
Se il pc non si riavvia, RIAVVIALO TU.

Devo dire che mi dava un "warning", relativo a 2 operazioni di Symantec che erano ancora in corso. Il problema è che dalla barra delle applicazioni non potevo chiudere Symantec, ma solo 3 delle sue applicazioni. Ho provato ad andare sulla cartella del programma, ma non ho capito quale file considerare.
Purtroppo, al riavvio (che è stato automatico) non son più riuscito ad usare nessun programma. In particolare, per IE e Firefox, se provo ad aprilrli mi compare un messaggio che parla, mi pare, di "illegal operation on the registry key". Se invece provo ad aprire un altro programma, mi dice che quel programma non risulta associato a nulla, e m'invita ad andare a creare l'associazione richiesta nel Pannello di Controllo.
Il punto è che domattina quando vado in ufficio son senza connessione (come racconto qui:
http://forum.aiutamici.com/yaf_postst69968_Connessione-a-Internet.aspx
il mio pc personale non riesce a connettersi alla rete, se non per il solo Skype).
Quindi vi prego di rispondermi stasera. Altrimenti, domattina provo a fare un "Ripristino configurazione di sistema".
Borisba
Torna in alto
 
r16
Inviato: Monday, May 31, 2010 9:51:34 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Commenta:
Devo dire che mi dava un "warning", relativo a 2 operazioni di Symantec che erano ancora in corso

Le istruzioni per eseguire Combofix sono chiare:
Antivirus disattivato, e anche i software "in tempo reale", oltre alla connessione staccata.
Se non hai eseguito alla lettera......Shhh

Spegni il pc. (non il riavvio)
Avvia il pc.
Posta il log della seconda scansione .
Torna in alto
 
borisba
Inviato: Tuesday, June 01, 2010 12:18:44 AM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Si' certo, il filo della LAN era staccato, ma mi segnalava 2 programmi facenti capo a Symantec che non son riuscito a bloccare in nessun modo.
Domani vedo se il pc funziona e se mi consente di eseguire l'operazione che dici, altrimenti cercherò di fare il Ripristino.
Borisba
Torna in alto
 
borisba
Inviato: Tuesday, June 01, 2010 8:48:25 AM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Allora, ora una delle 2 identita' mi funziona normalmente (purtroppo quella dove non sono admin), mentre l'altra mi da' invariabilmente il messaggio: "Illegal operation attempted on a registry key marked for deletion". Me lo da' persino se cerco di andare su "Ripristino configurazione di sistema").
Non trovo il file di log di Combo: ho provato sia cercando "Combo" sia "log", sia nei "dati recenti".
Potrei fare un "Ripristino" cmq (basta scriver la password da admin restando nell'altra identita') e poi riprovare.
Spiego il mio problema con Symantec. Se ci clicko sopra, posso disabilitarlo (ma solo nell'identita' da admin) e chiudere "antivirus e antispyware protection", "proactive threat protection" e "network threat protection". Pero' non c'e'; l'opzione "exit" quindi l'icona resta nella barra delle applicazioni.
Dopo di che, Combo mi informa di 2 processi legati a Symantec attivi.
Borisba
Torna in alto
 
borisba
Inviato: Tuesday, June 01, 2010 9:50:20 AM
Rank: AiutAmico

Iscritto dal : 12/10/2006
Posts: 51
Allora, ho fatto un casino della Madonna, pero' magari raccontandola riesco a darvi qualche informazione utile.
Ho visto che non riuscivo ad aggiornare e salvare il programma su cui stavo lavorando. Quindi ho fatto il Ripristino al momento dell'installazione di Hijackthis. Questo ha fatto si' che il pc si riavviasse in continuazione. Son andato ancora indietro (nuovo Ripristino) e stesso problema.
Ho disinstallato in "Safe mode" tutti i programmi da me installati, tranne uno, che non riuscivo a disinstallare. Come immaginerete, era la PdfForgeToolbar.
Poi ho ripristinato a stamattina prima di arrivar in ufficio (quindi ora riesco a usar Internet). Per fortuna ora riesco a connettermi al web anche da admin. Il punto e' che il pc si riavviava quando si azionava Windows Installer, e anche nel messaggio di errore che leggevo quando cercavo di disinstallare la PdfForgeToolbar in "Safemode" mi compariva un messaggio relativo a Windows Installer.
Cosa faccio: nuova scansione con Combo?
Borisba
Torna in alto
 
r16
Inviato: Tuesday, June 01, 2010 1:07:33 PM
Rank: AiutAmico

Iscritto dal : 8/7/2007
Posts: 11,016
Commenta:
Cosa faccio: nuova scansione con Combo?

Falla.
Vediamo cosa ne esce.
Torna in alto
 
Utenti presenti in questo topic
Guest

2 pages: [1] 2

Aiutamici Forum » FORUM - Istruzioni e Guide » Sicurezza VIRUS » Controllo log Hijack


Salta al Forum
Aggiunta nuovi Topic disabilitata in questo forum.
Risposte disabilitate in questo forum.
Eliminazione tuoi Post disabilitata in questo forum.
Modifica dei tuoi post disabilitata in questo forum.
Creazione Sondaggi disabilitata in questo forum.
Voto ai sondaggi disabilitato in questo forum.

Main Forum RSS : RSS

Aiutamici Theme
Powered by Yet Another Forum.net versione 1.9.1.8 (NET v2.0) - 3/29/2008
Copyright © 2003-2008 Yet Another Forum.net. All rights reserved.