Win32:Trojan-gen(UPX!) [Archivio] - Hardware Upgrade Forum

View Full Version : Win32:Trojan-gen(UPX!)

holsen1982

07-09-2007, 10:31

Ciao ragazzi..scusate,ma da quasi 1 mese ho sto problema..credevo di esserci riuscito dopo aver scartabellato tuti i forum riguardante questo problema,ma niente da fare..veniamo al dunque...solo quando facciogirare l'ad-aware,avast mi trova sto maledetto virus Win32:Trojan-gen(UPX!)..le parentesi sono graffe cmq..lo sposto nel cestino e sembra tuto ok..ma ogni volta che rifaccio girare l'ad-aware mi fa lo stesso scherzo..se vi può servire,vi inserisco il log di hijackthis..aspetto vostre risposte..

Logfile of HijackThis v1.99.1
Scan saved at 11.07.56, on 07/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Winamp\winampa.exe
C:\Programmi\Java\jre1.5.0_03\bin\jusched.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\MSN Messenger\MsnMsgr.Exe
C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\Programmi\NVIDIA Corporation\nTune\nTuneService.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\File comuni\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\Rar$EX00.062\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programmi\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [NVIDIA nTune] "C:\Programmi\NVIDIA Corporation\nTune\nTuneCmd.exe" clear
O4 - HKLM\..\Run: [WinampAgent] C:\Programmi\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Programmi\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F4C5BDAE-85D3-4792-AFAB-F0DBEC0E4FB2}: NameServer = 85.37.17.44 85.38.28.90
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Programmi\NVIDIA Corporation\nTune\nTuneService.exe

piccola curiosità e probabile causa di questa infezione..nella cartella documents and settings-carlitos&tullio(profilo windows),mi trovo un un icona di un eseguibile nominata:fybqek..cosa assai strana..

juninho85

07-09-2007, 10:38

piccola curiosità e probabile causa di questa infezione..nella cartella documents and settings-carlitos&tullio(profilo windows),mi trovo un un icona di un eseguibile nominata:fybqek..cosa assai strana..
il log è pulito...devi dirci esattamente il nome del file infetto e la sua collocazione nell HD

Riverside

07-09-2007, 15:41

Non so come, da un pò di giorni il trojan: win32:trojan-gen[upx!]'
Mi sta tormentando! ... Avast me lo rileva sempre e io lo cestino ma c'è sempre!!!!!! ..... P.S:
Ho gia provato bitdefender e avast! (scansione) ma me lo rileva solo "la scansione all'avvio".

C’è un altro post sul forum, inerente al tuo stesso problema (utilizzare la funzione CERCA, mai, prima di postare??): qui puoi leggere, l’intera discussione (http://www.hwupgrade.it/forum/showthread.php?t=1123115)

In ogni caso, rispondi alla richiesta di Juninho:
il log è pulito...devi dirci esattamente il nome del file infetto e la sua collocazione nell HD

e scarica ed installa:
● CCLEANER: clicca qui per il download (http://download.piriform.com/ccsetup141.exe)
una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate, togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le quelle comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia, clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Problemi, clicca sul tasto Trova problemi ed avvia una scansione; al termine della scansione clicca sulla voce Ripara selezionati e prosegui

● ASQUARED FREE: clicca qui per il download (http://download5.emsisoft.com/a2FreeSetup.exe)
una volta installato, scarica gli aggiornamenti e poi, esegui una scansione del sistema in modalità Deep Scan e rimuovi tutto ciò che viene rilevato (con esclusione dei riferimenti a MIrc, fotocamere digitali e/o scanner eventualmente installati).

● poi, esegui una scansione on-line da: Kaspersky online scanner (http://www.kaspersky.com/virusscanner)

Per finire, pubblica, qui, un log HIJACKTHIS: clicca qui per il download (http://www.trendsecure.com/portal/en-US/threat_analytics/HiJackThis.zip)
● crea una nuova Cartella sul Desktop (chiamala HThis)
● scompatta, all'interno della cartella creata, il file Zip (verrà creata una icona di Startup)
● lancialo poi clicca su Scan ed una volta che è stata creata la list, clicca su Save Log

Infine un suggerimento: cambia antivirus (Avast è, decisamente mediocre):

● ANTIVIR PERSONAL EDITION FREE: clicca qui per il download (http://www.free-av.com/down/windows/antivir_workstation_win7u_en_h.exe)
una volta installato, scarica gli aggiornamenti e poi, esegui una scansione completa del sistema.
qui trovi la Guida di configurazione per Antivir (http://www.hwupgrade.it/forum/showthread.php?t=1514684) pubblicata da Juninho, ed altre cose interessanti in relazione ad Antivir.

holsen1982

07-09-2007, 21:32

questo file è collocato in C:\Documents and Settings\Carlitos&Tullio(nome della cartella del mio profilio windows)..c'è anche l'icona a forma di stella dei preferiti..cmq credo di averlo preso da msn..è un eseguibile e se faccio doppio click mi compare:"C:\Documents and Settings\Carlitos&Tullio\fybqek.exe non è un applicazione di Win32 valida"...è da quando che il pc ha problemi ke è presente..ho provato anke a cancellarlo direttamente,ma poi ritorna..aspetto vostre risposte...

lancetta

08-09-2007, 22:29

dovresti anche aggiornare la java machine hai una vecchia versione vulenrabile ai malware.....
disattiva il ripristino config di sistema se non sai come fare vedi QUI link (http://support.microsoft.com/kb/310405/it)

Scarica Avenger da qua AVENGER (http://swandog46.geekstogo.com/avenger.zip)
Scompattalo, avvialo, seleziona "Input script manually" e clicca sulla lente d'ingrandimento. Nella nuova finestra, incolla questo script:
Files to delete:
C:\Documents and Settings\Carlitos&Tullio\fybqek.exe
clicca sul pulsante "Done",clicca sull'icona di semaforo verde rispondi "yes" ,il pc dovrebbe riavviarsi da solo se così non fosse, riavvialo manualmente.
Al riavvio del sistema verrà visualizzato il log in c:\avenger.txt e lo posti qui.

Pulizia temporanei e index con CCleaner( QUI (http://www.filehippo.com/download/9838386a743262a2d7aaedfb3b432ae2/download/))disattivando dalle opzioni avanzate "cancella solo file più vecchi di 48 ore"

Riverside

08-09-2007, 22:38

..... .cmq credo di averlo preso da msn..è un eseguibile e se faccio doppio click mi compare:"C:\Documents and Settings\Carlitos&Tullio\fybqek.exe non è un applicazione di Win32 valida"...è da quando che il pc ha problemi ke è presente..ho provato anke a cancellarlo direttamente,ma poi ritorna..aspetto vostre risposte...
Se sei certo di averlo preso tramite MSN Messenger, segui l'intera procedura che trovi qui:
http://www.hwupgrade.it/forum/showpost.php?p=18603006&postcount=1
P.S.: i log di MSNFIX e di Hthis, pubblicali (allegali), per favore, in quella discussione.

holsen1982

09-09-2007, 12:59

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\gnhqmimw

*******************

Script file located at: \??\C:\Documents and Settings\hwpswoxb.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\Documents and Settings\Carlitos&Tullio\fybqek.exe deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

lancetta

09-09-2007, 19:26

bene lo abbiamo sradicato per il momento....;) adesso segui la procedura del socio....hem di Riverside per pulire eventuali residui http://www.hwupgrade.it/forum/showpo...06&postcount=1
e posti i log qui,visto che già hai aperto la discussione.

holsen1982

10-09-2007, 15:46

niente da fare lancetta..ho seguito le tue procedure e ho provato a far girare l' ad-aware..ma continua a trovarmi virus di questo tipo:C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C31757..non mi resta che seguire i procedimenti di riverside..sperando che spariscano..ed è pure da poco che l'ho formattato..se hai qualche altro consiglio da darmi,altrimenti opto per l'ultima spiaggia...

Riverside

10-09-2007, 15:50

.. non mi resta che seguire i procedimenti di riverside..
Eesegui la procedura indicata qui:
http://www.hwupgrade.it/forum/showpost.php?p=18603006&postcount=1
il log ti MSNFX lo alleghi in, quella discussione, con la funzione GESTISCI ALLEGATI;
stessa cosa, per il log di HThis.

lupin87

10-09-2007, 15:55

C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE

controlla questi processi anche
Ti consiglio di svuotare la cartella dei file temporanei...C:\Documents and settings...e poi di svuotare la cartella C:\windows\temp e la cartella C:\Windows\Prefetch

juninho85

10-09-2007, 21:41

C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE

sono relativi alle stampanti lexmark

holsen1982

21-09-2007, 11:17

lancetta..il log di hijack non me lo allega..lo riporto qui di seguito e aspetto tue risposte..

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12.11.55, on 21/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Winamp\winampa.exe
C:\Programmi\Java\jre1.6.0_02\bin\jusched.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\MSN Messenger\MsnMsgr.Exe
C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\Programmi\NVIDIA Corporation\nTune\nTuneService.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\File comuni\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Documents and Settings\Carlitos&Tullio\Desktop\hthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NVMixerTray] "C:\Programmi\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [NVIDIA nTune] "C:\Programmi\NVIDIA Corporation\nTune\nTuneCmd.exe" clear
O4 - HKLM\..\Run: [WinampAgent] C:\Programmi\Winamp\winampa.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Windows Live Search - res://C:\Programmi\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Programmi\NVIDIA Corporation\nTune\nTuneService.exe

--
End of file - 6698 bytes

lancetta

21-09-2007, 17:08

log pulito e anche il resto fai una passata con ccleaner....come và il pc?

holsen1982

21-09-2007, 17:21

l'adlog pulito e anche il resto fai una passata con ccleaner....come và il pc?

adesso riprovo con ccleaner..e riprovo pure e far girare ad-aware e a vedere se avast mi trova i soliti virus...il pc,per adesso,va bene..ciò che mi preoccupa è continuare sapendo che fa sti scherzi..perciò se son sicuro che abbia virus e che il discorso è irrimediabile,è meglio che formatti subito cosi ho pochi dati da salvare..mi capisci?cmq ti faccio sapere se fa i soliti scherzi..c sentiamo..grazie xla tua disponibilità

holsen1982

25-09-2007, 17:23

log pulito e anche il resto fai una passata con ccleaner....come và il pc?

ho aspettato a far girare l'ad-aware ma siamo al punto di prima..questo è cio che mi trova avast dopo un minuto di scansione con l'ad-aware:
Nome del file:C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C13518

Nome malware:Win32:Small-HTC [Trj]

Tipo di malware:Cavallo di Troia

Versione VPS:000776-1, 24/09/2007

Azione raccomandata:Sposta nel Cestino

cliccando su OK della finestrella che appare,mi salta fuori il solito (UPX!)...
ho fatto girare spybot e mi ha trovato 7 voci su dei semplici cookie..tutti corretti..a questo punto..cosa mi consigli di fare?questi virus che avast,ogni volta che faccio girare l'ad-aware,mi trova,sono innocui oppure,più avanti,potrebbero darmi dei seri problemi?:confused:

lupin87

25-09-2007, 17:28

ho aspettato a far girare l'ad-aware ma siamo al punto di prima..questo è cio che mi trova avast dopo un minuto di scansione con l'ad-aware:
Nome del file:C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C13518

Nome malware:Win32:Small-HTC [Trj]

Tipo di malware:Cavallo di Troia

Versione VPS:000776-1, 24/09/2007

Azione raccomandata:Sposta nel Cestino

cliccando su OK della finestrella che appare,mi salta fuori il solito (UPX!)...
ho fatto girare spybot e mi ha trovato 7 voci su dei semplici cookie..tutti corretti..a questo punto..cosa mi consigli di fare?questi virus che avast,ogni volta che faccio girare l'ad-aware,mi trova,sono innocui oppure,più avanti,potrebbero darmi dei seri problemi?:confused:

vai nelal cartella temp ed elimina tutto ciò che stà..se non elimina qualcosa vedi il processo che utilizza e fammi sapere

lancetta

25-09-2007, 20:57

usa avenger come abbiamo fatto con l'altro
clicca sulla lente d'ingrandimento. Nella nuova finestra, incolla questo script:
Files to delete:
C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C13518
clicca sul pulsante "Done",clicca sull'icona di semaforo verde rispondi "yes" ,il pc dovrebbe riavviarsi da solo se così non fosse, riavvialo manualmente.
Al riavvio del sistema verrà visualizzato il log in c:\avenger.txt e lo posti qui

holsen1982

26-09-2007, 18:32

usa avenger come abbiamo fatto con l'altro
clicca sulla lente d'ingrandimento. Nella nuova finestra, incolla questo script:

clicca sul pulsante "Done",clicca sull'icona di semaforo verde rispondi "yes" ,il pc dovrebbe riavviarsi da solo se così non fosse, riavvialo manualmente.
Al riavvio del sistema verrà visualizzato il log in c:\avenger.txt e lo posti qui

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\ftigxuqq

*******************

Script file located at: \??\C:\WINDOWS\heylhkqe.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Could not open file C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C13518 for deletion
Deletion of file C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C13518 failed!

Could not process line:
C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C13518
Status: 0xc000003a

Completed script processing.

*******************

Finished! Terminate.

Aspetto tue risposte..buona serata

holsen1982

28-09-2007, 14:18

lancetta..hai visto il log?

lancetta

28-09-2007, 16:03

lancetta..hai visto il log?

si! avevi già fatto pulizia dei temp immagino quindi no zozzim..no..party!:D fai un altra scansione e vedi che trova
se trova altro imposta la scansione all'avvio di avast nel menù di impostazione (cercalo che non ricordo bene sò anni che non uso avast) che c'è di sicuro.Dovrebbe chiederti un riavvio del pc e fare una scansione prima dell avvio del S.O (na specie di schermata azzurra con i file che vengono scansionati).

holsen1982

28-09-2007, 20:45

si! avevi già fatto pulizia dei temp immagino quindi no zozzim..no..party!:D fai un altra scansione e vedi che trova
se trova altro imposta la scansione all'avvio di avast nel menù di impostazione (cercalo che non ricordo bene sò anni che non uso avast) che c'è di sicuro.Dovrebbe chiederti un riavvio del pc e fare una scansione prima dell avvio del S.O (na specie di schermata azzurra con i file che vengono scansionati).

lancetta..scusami la parola ma son stato un coglione finora..non so se questa piccola diffrenza possa diventare una GRANDE differenza..i file che trova avast durante lo scan dell'ad-aware sono questi:

C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C10901187\38D273\avenger\svchost.dll

C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C10901187\38D273\avenger\svchost.exe

ho copiato e incollato fino ad ora la metà dei file che avast mi trovava..che rincoglionito...:muro: ..non so se tutta questa autostima possa darne la conferma che cambia qualcosa oppure smentirne..aspetto sempre tue risposte...

lupin87

29-09-2007, 06:26

lancetta..scusami la parola ma son stato un coglione finora..non so se questa piccola diffrenza possa diventare una GRANDE differenza..i file che trova avast durante lo scan dell'ad-aware sono questi:

C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C10901187\38D273\avenger\svchost.dll

C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\AAWTMP\C10901187\38D273\avenger\svchost.exe

ho copiato e incollato fino ad ora la metà dei file che avast mi trovava..che rincoglionito...:muro: ..non so se tutta questa autostima possa darne la conferma che cambia qualcosa oppure smentirne..aspetto sempre tue risposte...

elimina tutta la cartella temp:read:

holsen1982

29-09-2007, 08:34

elimina tutta la cartella temp:read:

ma se la elimino non comporta rischi per il sistema dato che è dentro la cartella di WINDOWS?

ste_95

29-09-2007, 08:42

no no, si ricreerà da sola...

lupin87

29-09-2007, 09:10

ma se la elimino non comporta rischi per il sistema dato che è dentro la cartella di WINDOWS?

no no ...è la cartella dei file temporanei...non è la cartella di windows..la cartella di windows è C:\Windows:read:

holsen1982

29-09-2007, 09:21

no no ...è la cartella dei file temporanei...non è la cartella di windows..la cartella di windows è C:\Windows:read:

quello l'ho capito..ma la cartella Temp è situata dentro la cartella WINDOWS..è quella che devo eliminare oppure è un altra?perchè ho provato ad eliminarla solo che mi compare questa finestrella di errore:
Impossibile eliminare Perfib_Perdata_684 dat.
File già in uso da un altro utente o programma.
Chiudere il programma che sta utilizzando il file,quindi riprovare.

Il programma,penso,sia avast dato che dentro la cartella Temp c'è una cartella di avast e in più tutti sti file Perfib ecc..cmq aspetto tue risposte..

lupin87

29-09-2007, 09:26

quello l'ho capito..ma la cartella Temp è situata dentro la cartella WINDOWS..è quella che devo eliminare oppure è un altra?perchè ho provato ad eliminarla solo che mi compare questa finestrella di errore:
Impossibile eliminare Perfib_Perdata_684 dat.
File già in uso da un altro utente o programma.
Chiudere il programma che sta utilizzando il file,quindi riprovare.

Il programma,penso,sia avast dato che dentro la cartella Temp c'è una cartella di avast e in più tutti sti file Perfib ecc..cmq aspetto tue risposte..

dunque elimina i file contenuti in queste 2 cartelle:
C:\Windows\Temp
C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\

non eliminarli selezionandoli tutti e poi facendo elimina perchè se ce qualche file in uso da un processo si ferma..eliminali a gruppi di 4 o 5..se poi si blocca anche con questi gruppenti elimina i file singolarmente...capito che voglio dire?

holsen1982

29-09-2007, 09:50

dunque elimina i file contenuti in queste 2 cartelle:
C:\Windows\Temp
C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\

non eliminarli selezionandoli tutti e poi facendo elimina perchè se ce qualche file in uso da un processo si ferma..eliminali a gruppi di 4 o 5..se poi si blocca anche con questi gruppenti elimina i file singolarmente...capito che voglio dire?

in C:\Windows\Temp:
1.la cartella di avast posso eliminarla?
2.ho un file denominato WGANotify.settings e un file di blocco note a riguardo..posso eliminarli?
3.non riesce ad eliminarmi questo:Perflib_Perfdata_648

in C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\:
non riesco a trovare questa cartella..o meglio..ho appena fatto una prova con copia-incolla e l'ho incollata su trova..mi compare una sfilza di file e alfanumerici provenienti da:C:\Documents and Settings\Carlitos&Tullio\Impostazioni locali\Temp\MessengerCache:mbe:..del tipo:A0uLd4DHbmapFyK+Lb4ER2F2NEbA=...ma che porcherie ha il mio pc?..poi sono presenti cartelle di google toolbar,file di java,ecc..non ci sto capendo più niente:confused: ..cmq procediamo passo x passo...se 6 disponibile..ti ringrazio cmq x avermi seguito finora...

lupin87

29-09-2007, 10:31

in C:\Windows\Temp:
1.la cartella di avast posso eliminarla?
2.ho un file denominato WGANotify.settings e un file di blocco note a riguardo..posso eliminarli?
3.non riesce ad eliminarmi questo:Perflib_Perfdata_648

in C:\DOCUME~1\CARLIT~1\IMPOST~1\Temp\:
non riesco a trovare questa cartella..o meglio..ho appena fatto una prova con copia-incolla e l'ho incollata su trova..mi compare una sfilza di file e alfanumerici provenienti da:C:\Documents and Settings\Carlitos&Tullio\Impostazioni locali\Temp\MessengerCache:mbe:..del tipo:A0uLd4DHbmapFyK+Lb4ER2F2NEbA=...ma che porcherie ha il mio pc?..poi sono presenti cartelle di google toolbar,file di java,ecc..non ci sto capendo più niente:confused: ..cmq procediamo passo x passo...se 6 disponibile..ti ringrazio cmq x avermi seguito finora...

dunque..ci sono certi file .tmp che sono in uso da applicazioni...avast ce l ho pure io e in C:\windows\temp quei file ce li ho anche io e non li elimina..io WGANotify.settings non ce l ho...:(

in C:\Documents and Settings\Carlitos&Tullio\Impostazioni locali\Temp per vedere i file devi andare a risorse del computer->Strumenti->opzioni cartella e devi mettere il pallino su visualizza cartelle e file nascosti..poi vai nella cartella di prima ed elimina tutto...dimmi poi i file che non riesci ad eliminare

lancetta

29-09-2007, 11:18

lupin87

29-09-2007, 13:00

calma...proviamo in modo automatizzato con un programmino semplice semplice (comunque quelli sono file di diciamo backup di avenger tranquillo)

scarica ATF Cleaner http://www.atribune.org/ccount/click.php?id=1 Avvia ATF Cleaner
(se usi Firefox o Opera, selezionali dal menu in alto)
metti la spunta su "Select All" per ogni browser
e clicca su "Empty Selected"

Guarda non lo devi neanche installare lo lanci semplicemente,e fa tutto lui.
Un altra cosa in C: c'è la cartella back up di avenger...cancellala.

io la consiglio sempre la pulizia di quella cartella..non a caso il virus sta proprio la

holsen1982

30-09-2007, 18:20

calma...proviamo in modo automatizzato con un programmino semplice semplice (comunque quelli sono file di diciamo backup di avenger tranquillo)

scarica ATF Cleaner http://www.atribune.org/ccount/click.php?id=1 Avvia ATF Cleaner
(se usi Firefox o Opera, selezionali dal menu in alto)
metti la spunta su "Select All" per ogni browser
e clicca su "Empty Selected"

Guarda non lo devi neanche installare lo lanci semplicemente,e fa tutto lui.
Un altra cosa in C: c'è la cartella back up di avenger...cancellala.

niente da fare lancetta..ho lanciato il programma e cancellato la cartella di avenger..ho fatto girare l'ad-aware e avast per vedere se cambiava qualcosa ma mi ha fatto lo solito scherzetto dei due soliti file..altri metodi alternativi?aspetto vostri aiuti..:(

lancetta

30-09-2007, 20:17

niente da fare lancetta..ho lanciato il programma e cancellato la cartella di avenger..ho fatto girare l'ad-aware e avast per vedere se cambiava qualcosa ma mi ha fatto lo solito scherzetto dei due soliti file..altri metodi alternativi?aspetto vostri aiuti..:(

cercando in rete è pieno di gente col tuo problema sembra sia un falso positivo di adware dovuto o alla quarantena del soft stesso o a quella di altri soft di sicurezza sul tuo pc,per il momento svuota tutte le quarantene e file di back up di eventuali soft di sicurezza in particolar modo avast come "vede qualcosa compresso in UPX lo associa subito a malware (ma questa è na vecchia storia di avast infatti da lì mi è venuto il dubbio).Fammi sapere nel frattempo cerco altre notizie.

holsen1982

01-10-2007, 09:43

cercando in rete è pieno di gente col tuo problema sembra sia un falso positivo di adware dovuto o alla quarantena del soft stesso o a quella di altri soft di sicurezza sul tuo pc,per il momento svuota tutte le quarantene e file di back up di eventuali soft di sicurezza in particolar modo avast come "vede qualcosa compresso in UPX lo associa subito a malware (ma questa è na vecchia storia di avast infatti da lì mi è venuto il dubbio).Fammi sapere nel frattempo cerco altre notizie.

infatti...dopo un pò ho pensato anch'io che fosse come una cosa ormai "automatica" il solito procedimento con ad-aware ed avast che ho fatto finora..a queso punto,mi consigli di cambiare antivirus?procedo con lo svuotamento...

holsen1982

01-10-2007, 09:56

lancetta

01-10-2007, 10:12

lancetta..è normale che in avast,se vado nel cestino,esattamente in "tutti i file del cestino",mi trovo più volte kernel32.dll,che è un file importantissimo del sistema,e altri come winsock.dll e wsock.dll?:confused:

Si.....in pratica avast crea una zona isolata e di back up per i file importanti del sistema operativo...comunque ad ogni modo devi svuotare solo il cestino virus.

holsen1982

01-10-2007, 14:52

..ho svuotato tutto..aspetoo tue risposte per procedere..

holsen1982

03-10-2007, 12:47

ciao lancetta..trovato qualche altra novità?come procedo con l'antivirus?consigli di cambiarlo?

lancetta

06-10-2007, 11:47

Be se cambi l'antivirus non sbagli..purtroppo per avast ultimamente non pulisce un granchè:confused: ...meglio avira http://www.free-av.com/ qui c'è la guida del buon Juni.....http://www.hwupgrade.it/forum/showthread.php?t=1514684..........
per quanto riguarda il "famoso problema"..adware quando scansiona crea sto temp che dovrebbe poi andare via automaticamente...solo che dopo diverso tempo di utilizzo,sembra che non lo cancelli.Dovresti disinstallare e reinstallare adware....anche se ti direi di buttarti su Superantispyware (http://www.superantispyware.com/downloadfile.html?productid=SUPERANTISPYWARE)

Ottimo soft..in sezione c'è anche una guida.....http://www.hwupgrade.it/forum/showthread.php?t=1567399 del Socio Beyond:D