Dialer "WinMovieMaker"

[Lyd]

Ho un problema con questo dialer...che installa in c:windows/system32 un file eseguibile chiamato sysedit.exe!

Naturalmente ogni volta si blocca la connessione e arriva messaggistica immediata, nonostante sia disabilitata!
Posto il log di hijackthis, ditemi come rimuoverlo, grazie!

Lyd


Logfile of HijackThis v1.99.1
Scan saved at 20.34.41, on 12/11/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Trust\CnxDslTb.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\Programmi\Damasco\Pegaso\GioToolBar.exe
C:\Programmi\File comuni\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\Programmi\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
C:\Programmi\Daily Weather Forecast\weather.exe
C:\Programmi\File comuni\ACD Systems\IT\DevDetect.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
C:\Programmi\Photo HardDisk Utility\PhotoHDDUtil.exe
C:\Programmi\Mozilla Firefox\firefox.exe
F:\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn1\ycomp5_5_7_0.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn1\ycomp5_5_7_0.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Programmi\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [trustras] trustras.exe
O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Programmi\Trust\CnxDslTb.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] C:\Programmi\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [LoeToolbar] C:\Programmi\Damasco\Pegaso\GioToolBar.exe
O4 - HKLM\..\Run: [PSDrvCheck] "C:\Programmi\Pinnacle\Instant PhotoAlbum\programs\PSDrvCheck.exe" -CheckReg
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programmi\File comuni\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\\NeroCheck.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [Phase One Media Reader] C:\PROGRA~1\PHASEO~1\CAPTUR~1\DCIMImp.exe /noscan /CheckAutoStart
O4 - HKLM\..\Run: [AdobeVersionCue] C:\Programmi\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Programmi\Daily Weather Forecast\weather.exe
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
O4 - Global Startup: NkvMon.exe.lnk = C:\Programmi\Nikon\NkView6\NkvMon.exe
O4 - Global Startup: Quit Photo HDD Utility.lnk = C:\Programmi\Photo HardDisk Utility\PhotoHDDUtil.exe
O8 - Extra context menu item: &Cerca con Google - res://c:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Traduci parola in italiano - res://c:\programmi\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Link a ritroso - res://c:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pagine simili - res://c:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://c:\programmi\google\GoogleToolbar2.dll/cmcache.html
O16 - DPF: {2057E707-FA09-451B-972F-9CFBA9F2423C} (Tiscali702) - http://www.tiscali.it/cabs/Tiscali702.cab
O16 - DPF: {FFFF0003-0001-101A-A3C9-08002B2F49FB} - http://www.skymasters.biz/dialers/4289/AUTO_4289_N.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{5DE4768B-1812-454F-BF31-5EB9B3B393C8}: NameServer = 193.70.152.15 193.70.152.25
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O23 - Service: AdobeVersionCue - Adobe Sytems - C:\Programmi\Adobe\Adobe Version Cue\service\VersionCue.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Servizio host di pcAnywhere (awhost32) - Symantec Corporation - C:\Programmi\Symantec\pcAnywhere\awhost32.exe
O23 - Service: Servizio iPod (iPodService) - Apple Computer, Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[andorra24]

Fixa:
C:\Programmi\Damasco\Pegaso\GioToolBar.exe
C:\Programmi\Daily Weather Forecast\weather.exe
O4 - HKLM\..\Run: [LoeToolbar] C:\Programmi\Damasco\Pegaso\GioToolBar.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Programmi\Daily Weather Forecast\weather.exe
O16 - DPF: {FFFF0003-0001-101A-A3C9-08002B2F49FB} - http://www.skymasters.biz/dialers/4289/AUTO_4289_N.exe

Fai una scansione con ewido: http://download.ewido.net/ewido-setup.exe

[Lyd]

Mi spiegheresti come si fixano che son niubbo di ste cose?

:mc:

[andorra24]

Mi spiegheresti come si fixano che son niubbo di ste cose?

:mc:
Metti la spunta nella casellina accanto alle voci che ti ho indicato da fixare e dopo aver chiuso tutte le finestre aperte tra cui il browser premi ''fix checked''. Comunque le prime 2 voci ti consiglio di disinstallarle prima dal pannello di controllo/installazione applicazioni.

[Lyd]

Metti la spunta nella casellina accanto alle voci che ti ho indicato da fixare e dopo aver chiuso tutte le finestre aperte tra cui il browser premi ''fix checked''. Comunque le prime 2 voci ti consiglio di disinstallarle prima dal pannello di controllo/installazione applicazioni.


Comunque la prima voce non posso rimuoverla, è una cosa di lavoro..secondo te crea problemi?

[andorra24]

Comunque la prima voce non posso rimuoverla, è una cosa di lavoro..secondo te crea problemi?
Non conosco questa voce:
C:\Programmi\Damasco\Pegaso\GioToolBar.exe
Il problema e' che su google non c'e' nessuna traccia di questo ''GioToolBar.exe'' e di solito quando non si trova nulla sui motori di ricerca non e' un buon segno e potrebbe essere un malware. Se tu sei sicuro che riguarda qualcosa che usi per motivi di lavoro allora lasciala stare.

[Lyd]

Grazie per la cortesia e la disponibilità per le spiegazioni!

A presto,
Lyd

[andorra24]

Grazie per la cortesia e la disponibilità per le spiegazioni!

A presto,
Lyd
Non dimenticarti la scansione con ewido. ;)

[Lyd]

E' al 94%, ha trovato 16 files...rimossi tutti!


Unico problema è che nella cartella system32 ho ancora quel sysedit.exe; lo elimino, ma dopo una decina di secondi ritorna.
Qual'è la soluzione?


Lyd

[andorra24]

E' al 94%, ha trovato 16 files...rimossi tutti!


Unico problema è che nella cartella system32 ho ancora quel sysedit.exe; lo elimino, ma dopo una decina di secondi ritorna.
Qual'è la soluzione?


Lyd
Cerca di eliminarlo in modalita' provvisoria e con il ripristino di sistema disattivato. Se ancora non riesci a rimuoverlo prova con questo piccolo tool:http://www.bleepingcomputer.com/files/killbox.php

[Lyd]

Ando...non capisco come mai, ma questo pc non vuole entrare in mod provvisoria.

Premo F8 all'avvio e si blocca :doh:


Hai un'idea di come mai faccia così?
Lyd

[andorra24]

Ando...non capisco come mai, ma questo pc non vuole entrare in mod provvisoria.

Premo F8 all'avvio e si blocca :doh:


Hai un'idea di come mai faccia così?
Lyd
Prova con l'altro metodo per andare in modalita' provvisoria:
http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/idocid/20020906143424924?OpenDocument&ExpandSection=3#_Section3

[juninho85]

C:\Programmi\Daily Weather Forecast\weather.exe
O4 - HKLM\..\Run: [trustras] trustras.exe
O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Programmi\Daily Weather Forecast\weather.exe
O16 - DPF: {FFFF0003-0001-101A-A3C9-08002B2F49FB} - http://www.skymasters.biz/dialers/4289/AUTO_4289_N.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

[andorra24]

O4 - HKLM\..\Run: [trustras] trustras.exe

Questo ho letto che e' relativo ai modem adsl Trust.

[juninho85]

Questo ho letto che e' relativo ai modem adsl Trust.
google dice che su tratta di undefined malware :boh:

[andorra24]

google dice che su tratta di undefined malware :boh:
Molti siti che ho consultato dicevano che riguarda i modem adsl trust. Bisogna vedere se l'utente usa quel tipo di modem oppure no.

[juninho85]

Molti siti che ho consultato dicevano che riguarda i modem adsl trust. Bisogna vedere se l'utente usa quel tipo di modem oppure no.
si,usa un modem trust,lo si vede dai processi,però il nome del file è abbastanza sospetto....sarebbe più logico chiamarlo trustrust piuttosto che che trustras non credi?:what:

[andorra24]

si,usa un modem trust,lo si vede dai processi,però il nome del file è abbastanza sospetto....sarebbe più logico chiamarlo trustrust piuttosto che che trustras non credi?:what:
Per il momento, visto che la situazione e' incerta, e' meglio non fargliela fixare per evitare che il suo modem possa risentirne.