aiuto log HiJackThis!!!

[ermasto]

ragazzi ho bisogno di un aiuto per il pc di un mio amico non aveva nessun tipo di protezione perchè aveva l'antivirus scaduto e nessun antispyware ed in piu aveva installato messanger plus 3 con tutto lo spyware :eek: . cmq gli ho dato i programmi spybot, ewido, microsoft antispyware, adaware, kaspersky dopo una marea di scansioni e eliminazioni varie voglio vedere se ha riuscito a togliere tutto e cosi ecco a voi il log:

Logfile of HijackThis v1.99.1
Scan saved at 20.44.03, on 31/08/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\ewido\security suite\ewidoctrl.exe
C:\WINDOWS\system32\sm56hlpr.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\Trust\270KDS~1\Keyboard\Ikeymain.exe
C:\PROGRA~1\Trust\270KDS~1\Mouse\Amoumain.exe
C:\WINDOWS\system32\nosign.exe
C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\Programmi\ewido\security suite\ewidoguard.exe
C:\Programmi\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\PROGRA~1\FILECO~1\PCSuite\Services\SERVIC~1.EXE
C:\WINDOWS\system32\devldr32.exe
C:\Programmi\Microsoft AntiSpyware\gcasDtServ.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\ewido\security suite\securitysuite.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\DOCUME~1\AMMINI~1\IMPOST~1\Temp\Rar$EX04.158\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.gjehrhslxxgjtjspe.uk/k4Hp4ZG8ELpr7Wff5RRiXs2g3nswCJ02kioSFgVC9MHa_u0dTKVaY5G6r10NkteU.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aliceadsl.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programmi\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SM56ACL] sm56hlpr.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [iKeyWorks] C:\PROGRA~1\Trust\270KDS~1\Keyboard\Ikeymain.exe
O4 - HKLM\..\Run: [WheelMouse] C:\PROGRA~1\Trust\270KDS~1\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [Nosign_JL2005] nosign TRUST
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programmi\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kav.exe" /minimize
O4 - HKLM\..\Run: [gcasServ] "C:\Programmi\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O8 - Extra context menu item: Aggiungi all'elenco di stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Anteprima Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Stampa ad alta velocità Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Organizzatore ricerche - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programmi\File comuni\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: Yahoo! Fleet - http://download.games.yahoo.com/games/clients/y/fltt3_x.cab
O16 - DPF: Yahoo! Literati - http://download.games.yahoo.com/games/clients/y/tt2_x.cab
O16 - DPF: Yahoo! Poker - http://download.games.yahoo.com/games/clients/y/pt1_x.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/clients/y/pote_x.cab
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/MTSInstallers/MetaStream3.cab?url=http://www.viewpoint.com/cgi-bin/installer.v3/vet_install_popup.pl?1&4&04.00.04.03&unknown&unknown&http://www.opel.it/content_data/GME/019/IT/it/GBPIT/viewpointmerivanew/meriva.html
O16 - DPF: {99D8AF4F-307A-461C-A404-BFA33D502B31} (APStartX Control) - http://217.169.119.216/resources/APStart.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{E24A8EEE-8539-4743-972D-B2F98267102F}: NameServer = 85.37.17.11 151.99.125.1
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido\security suite\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido\security suite\ewidoguard.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

cosa altro è rimasto??

[matteo1]

questo:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.gjehrhslxxgjtjspe.uk/k4H...5G6r10NkteU.htm
brutto affare;avvio in modalità provvisoria e senza ripristino configurazione di sistema,fixa con hijackthis.
Magari usare Firefox.Oppure Opera che oggi è fornito gratuitamente.Da non farsi sfuggire un'occasione per abbandonare sempre + IE6

[ermasto]

come vedo allora i vari programmi hanno funzionato bene ewido gli ha trovato una 90 di file infetti e kaspersky una 10 di troian.
Si io gia uso firefox da molto tempo e devo dire che di schifezze non ne prendo piu ora glielo propongo eanche lui dira addio a IE6 :D

[andorra24]

Mi insospettiscono queste 2 voci:
C:\WINDOWS\system32\nosign.exe
O4 - HKLM\..\Run: [Nosign_JL2005] nosign TRUST

su google praticamente non c'e' nessuna info.
scansiona il file nosign.exe: http://virusscan.jotti.org/

[ermasto]

bene provero anche a fare analizzare quel file, poi il resto è pulito??
Grazie mille x l'aiuto :)

[andorra24]

bene provero anche a fare analizzare quel file, poi il resto è pulito??
Grazie mille x l'aiuto :)
Si, per il resto e' pulito.

[juninho85]

C:\WINDOWS\system32\sm56hlpr.exe
C:\WINDOWS\system32\nosign.exe
O4 - HKLM\..\Run: [SM56ACL] sm56hlpr.exe
questi 3 sopra per me sono dubbi

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.gjehrhslxxgjtjspe.uk/k4Hp4ZG8ELpr7Wff5RRiXs2g3nswCJ02kioSFgVC9MHa_u0dTKVaY5G6r10NkteU.htm


questo qui cancellalo tranquillamente;)

utilizzate la ricerca,ci sono diverse guide e link a utility su come interpretare il log di hijackthis ;)

[andorra24]

C:\WINDOWS\system32\sm56hlpr.exe


E un processo sicuro e fa capo a Motorola.

[BravoGT83]

gli Exe cancellali manualmente che è meglio :)