msx.dll

[tutmosi3]

Prima una mia collega mi chiama tutta allarmata.
Norton rileva un trojan nel file msx.dll.
Al momento del rilevamento il PC era acceso da diverse ore. Lo aveva dimenticato acceso ieri sera con Emule ( :rolleyes: ) in funzione.
Non si poteva riavviare ed andare alla modalità provvisoria, quindi passo con Norton ( :rolleyes: ) dalla modalità normale la cartella C:\WINDOWS\system32.
Rileva il file, tenta di ripararlo ma non ci riesce.
Scarico Stinger, faccio la scansione dalla modalità normale della cartella C:\WINDOWS\system32 ma non rileva niente.
Fianalmente posso andare per un attimo nella modalità provvisoria (Ma solo un attimo ... Mi raccomando .. Il PC mi serve) passo con Stinger ma non trova nulla.
Attacco con Norton e trova il file. Non può ripararlo e così lo sbatto in quarantena. In attesa di risvolti.

Mi sembra che quei file li crei un Trojan nuovo nuovo (fine gennaio) che era in allegato alla famosa mail del giochino.

Ho controllato e in C:\WINDOWS\system32 c'è anche il file kaboom.dll.
L'ho spostato in Documenti, zippato e controllato con Stinger e Norton.
Non rilevano infezioni.

Sono prossimo all'eliminazione dalla quarantena di Norton di msx.dll ed alla cestinazione di kaboo.dll.

Procedo?

Per sicurezza posto un log di Hijack, purtroppo non ho potuto effettuare la scansione dalla modalità provvisoria.

Logfile of HijackThis v1.99.1
Scan saved at 12.08.48, on 16/02/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Logitech\iTouch\iTouch.exe
C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programmi\Analog Devices\SoundMAX\Smax4.exe
C:\Programmi\Cobian Backup 6\CobBU.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Microsoft Office\Office\OSA.EXE
C:\Programmi\Microsoft Office\Office\FINDFAST.EXE
C:\Programmi\Cobian Backup 6\cobui.exe
C:\WINDOWS\System32\atiisrgl.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton AntiVirus\IWP\NPFMntor.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Documents and Settings\CAD 0\Documenti\Internet\Z Hider 1.02\ZHider.exe
C:\Programmi\Opera\Opera.exe
C:\Programmi\EGP2004\EPLUS6\EPLS.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Documents and Settings\CAD 0\Documenti\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.freeinternet.it?PC=1
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: MSims - {4D64DAE1-DF1E-45E8-9372-84CA698335FA} - C:\WINDOWS\system32\kaboom.dll (file missing)
O2 - BHO: ready2wear Class - {521693AA-7453-47ED-9959-3BD47DAA1B1A} - C:\WINDOWS\system32\msx.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [frymxins] atiimxgl
O4 - HKLM\..\Run: [fryHighRes] rundll32 atipmogl.dll,DetectHighResMonitor
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programmi\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programmi\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [Cobian Backup 6] "C:\Programmi\Cobian Backup 6\CobBU.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [cryptoexpert] "C:\Programmi\CryptoExpert 2006 Lite\cexpert.exe" /T
O4 - Startup: Lavori.lnk = ?
O4 - Global Startup: Avvio Office.lnk = C:\Programmi\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Ricerca rapida.lnk = C:\Programmi\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Tasto di scelta rapida per l'avvio di AutoCAD LT.lnk = C:\Programmi\File comuni\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Get File Size - res://C:\Programmi\UnH Solutions\Get File Size\GetFileSize.exe/130
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra button: (no name) - {2340D032-73C1-40b1-98E8-923290905E29} - C:\Programmi\UnH Solutions\Get File Size\GetFileSize.exe (HKCU)
O9 - Extra 'Tools' menuitem: Get File Size - {2340D032-73C1-40b1-98E8-923290905E29} - C:\Programmi\UnH Solutions\Get File Size\GetFileSize.exe (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.freeinternet.it?PC=1
O17 - HKLM\System\CCS\Services\Tcpip\..\{57CECE25-F4FD-410D-A0E9-4290773DBE26}: NameServer = 212.216.172.62,212.216.112.112
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programmi\File comuni\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: FGLRYUTIL (FGLRYUtil) - ATI Technologies, Inc. - C:\WINDOWS\System32\atiisrgl.exe
O23 - Service: Servizio Auto-Protect di Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programmi\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmi\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe



Ciao e grazie

[Stev-O]

[tut, perchè lo hai messo in formato html che bisogna scorrere lateralmente la riga ogni volta... :muro: ]

kaboom e freeinternet.it (a meno tu non sappia che roba sia)
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll

[juninho85]

è un trojan;)
dovresti risolvere il problema cercando con google e seguendo le istruzioni che trovi al primo risultato

[tutmosi3]

[tut, perchè lo hai messo in formato html che bisogna scorrere lateralmente la riga ogni volta... :muro: ]
Adesso lo edito.

kaboom e freeinternet.it (a meno tu non sappia che roba sia)

:confused:

[Stev-O]

cmq scansiona con ewido e bitdefenderfree e immunizza gli host con spywareblaster che è meglio...

[andorra24]

Per togliere definitivamente msx.dll e kaboom.dll basta seguire le istruzioni di questo sito:http://www.greatis.com/security/ICQCHK.exe%20MSX.DLL%20remover.htm

Per quanto riguarda il log elimina queste:
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: MSims - {4D64DAE1-DF1E-45E8-9372-84CA698335FA} - C:\WINDOWS\system32\kaboom.dll (file missing)
O2 - BHO: ready2wear Class - {521693AA-7453-47ED-9959-3BD47DAA1B1A} - C:\WINDOWS\system32\msx.dll (file missing)

[eraser]

visto che ci sei chiedi anche quanto ha fatto al gioco delle freccette :D

[tutmosi3]

Per togliere definitivamente msx.dll e kaboom.dll basta seguire le istruzioni di questo sito:http://www.greatis.com/security/ICQCHK.exe%20MSX.DLL%20remover.htm

Per quanto riguarda il log elimina queste:
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
O2 - BHO: MSims - {4D64DAE1-DF1E-45E8-9372-84CA698335FA} - C:\WINDOWS\system32\kaboom.dll (file missing)
O2 - BHO: ready2wear Class - {521693AA-7453-47ED-9959-3BD47DAA1B1A} - C:\WINDOWS\system32\msx.dll (file missing)

Ho fatto tutto in maniera amanuense.
Pare vada tutto bene, per sicurezza ho scaricato Reanimator.
Grazie

[tutmosi3]

visto che ci sei chiedi anche quanto ha fatto al gioco delle freccette :D

Dice che non ha funzionato.
Ha lanciato l'eseguibile ma gli ha dato errore perchè mancava un file.
Ciao

[andorra24]

Dice che non ha funzionato.
Ha lanciato l'eseguibile ma gli ha dato errore perchè mancava un file.
Ciao
Dici che questo link non ha funzionato? http://www.greatis.com/security/ICQCHK.exe%20MSX.DLL%20remover.htm
Strano,di solito e' infallibile con kaboom.dll e msk.dll

[eraser]

Dici che questo link non ha funzionato? http://www.greatis.com/security/ICQCHK.exe%20MSX.DLL%20remover.htm
Strano,di solito e' infallibile con kaboom.dll e msk.dll

no penso intendesse che non ha funzionato il gioco, non il programma :)

[andorra24]

no penso intendesse che non ha funzionato il gioco, non il programma :)
Ah bene, meglio cosi. ;)

[tutmosi3]

Infatti il giovhino non ha funzionato.
Mentre Reanimator (grazie Andorra sei davvero una buona amica) l'ho scaricato ma non ho avuto modo/tempo di usarlo.
Ho fatto una pulitina mauale del registro, fixato le voci di Hijack e pare che tutto sia OK.
Qualora ci fossero rogne userò le maniere forti (Reanimator).

Grazie

[Stev-O]

reanimator? chi è costui? fatemi imparare... :mbe:

[tutmosi3]

reanimator? chi è costui? fatemi imparare... :mbe:

Segui il link di Andorra.
Ciao

[Stev-O]

sta diavolaccia, lei e i suoi link cilindrici.... :nera:

[tutmosi3]

sta diavolaccia, lei e i suoi link cilindrici.... :nera:
Altro che diavolaccia, la nostra insegnante, ne sa una più del diavolo.
Ciao

[Stev-O]

appunto: una diavolaccia.... :grrr:
l'ho provato chiede una registrazione facoltativa iniziale e poi e mi dice: you are probably infected by a virus: siccome non è vero... :mbe:

[andorra24]

sta diavolaccia, lei e i suoi link cilindrici.... :nera:
Ma se sono un angioletto..... :angel: :nonio:

[Stev-O]

è sempre li cmq non puoi parlarle dietro un attimo che sbuca fuori....
un diavolo in gonnella....(forse) :p

mi sembra un mezzo doppione di autoruns
cmq mi dà in rosso ftp.kaspersky.com :mbe:

[tutmosi3]

appunto: una diavolaccia.... :grrr:
l'ho provato chiede una registrazione facoltativa iniziale e poi e mi dice: you are probably infected by a virus: siccome non è vero... :mbe:


Secondo me stai confondendo qualcosa.
Al punto 1 del paragrafo initolato "Removal Instructions" c'è scritto Download our special software: RegRun Reanimator (http://www.greatis.com/reanimator.zip)

Ho fatto un post fantastico. Ci ho messo anche il link diretto al programma.
Ciao

[Stev-O]

infatti l'ho visto e già scaricato: era quello

[andorra24]

infatti l'ho visto e già scaricato: era quello
Se non hai beccato il kaboom.dll o msx.dll che te ne fai di reanimator? Pensi di metterlo su un cd? :)

[Stev-O]

[eliminato]
volevo capire come funzionava, ero curioso.... :cool:
poi ho premuto su scan e ho visto che diceva you are infected... il che mi ha fatto sorridere alquanto ;)

e poi io non becco quelle robe li'.... :Prrr:

[Stev-O]

Se non hai beccato il kaboom.dll o msx.dll che te ne fai di reanimator? Pensi di metterlo su un cd? :)

spiritosa stamani..... :D

no su dual layer della verbatim con tanto di copertina con su scritto: powered by Andorra

[tutmosi3]

A proposito di CD.
Da oggi la mia virus compilation conta una new entry, appunto msx.
Il fatto è che non mi sta più niente sul 3° floppy, sto pensando di passare ad un CD RW.
Ciao

[Stev-O]

e compera una pen drive dedicata no? :D

[wgator]

e compera una pen drive dedicata no? :D

Ciao,

veramente io la mia collezione di virus la tengo in D:\Documenti\Virus Mi tiene compagnia nelle giornate di pioggia :D
Naturalmente aggiunti accuratamente all'elenco esclusioni del KAV (che comunque non tengo in realtime)

[tutmosi3]

Sarebbe la quarta .
1 - Uso quotidiano trasferimento file.
2 - Pen Drive Bootable per NB senza floppy.
3 - Pen Drive contenente software utili.

Ciao

[Stev-O]

la quarta? io ne ho 6
una dedicata solo alle img multiboot del db (hamlet :mbe: )
una professionalmente garantita (la kingston da 256mb)
so quante di quelle che vendono al mw per usi e caxxeggi vari ;)

[Stev-O]

Ciao,

veramente io la mia collezione di virus la tengo in D:\Documenti\Virus Mi tiene compagnia nelle giornate di pioggia :D
Naturalmente aggiunti accuratamente all'elenco esclusioni del KAV (che comunque non tengo in realtime)

certo che siete proprio "maniaci" :cool: per non usare altri termini....
custodire i virus come cavie da laboratorio... :mbe:

[sgrufola]

certo che siete proprio "maniaci" :cool: per non usare altri termini....
custodire i virus come cavie da laboratorio... :mbe:

ah, dovresti vedere il mio ragazzo allora (Eraser) :D :D proprio 4 floppy :D:D

[tutmosi3]

In questa discussione stiamo spammando a manetta però ci sono fior fior di utenti:

wgator (moderatore)
eraser (moderatore)
sgrufola (gentile metà del moderatore)
andorra (che potrebbe essere moderatrice)

Ciao

[wgator]

In questa discussione stiamo spammando a manetta però ci sono fior fior di utenti:

wgator (moderatore)
eraser (moderatore)
sgrufola (gentile metà del moderatore)
andorra (che potrebbe essere moderatrice)

Ciao

:D Hai ragione! Negli ultimi giorni, alcuni thread hanno vagamente preso la connotazione di chat. Qualcuno di noi (non diciamo chi) :Prrr: ha dato il "LA" ed è partito il coro :D
In effetti sarebbe meglio se ci moderassimo :asd: un po'.
D'altronde questa è una sezione tecnica (molto avvincente) però, senza qualche "sana boiata" come diciamo noi in Romagna, a lungo andare diventerebbe leggermente noiosa. Aggiungo anche che, essendosi creato un "nocciolo duro" di una decina di persone sempre presenti, nasce anche il desiderio di conoscersi un po' :p

[andorra24]

:D Hai ragione! Negli ultimi giorni, alcuni thread hanno vagamente preso la connotazione di chat. Qualcuno di noi (non diciamo chi) :Prrr: ha dato il "LA" ed è partito il coro :D
In effetti sarebbe meglio se ci moderassimo :asd: un po'.
D'altronde questa è una sezione tecnica (molto avvincente) però, senza qualche "sana boiata" come diciamo noi in Romagna, a lungo andare diventerebbe leggermente noiosa. Aggiungo anche che, essendosi creato un "nocciolo duro" di una decina di persone sempre presenti, nasce anche il desiderio di conoscersi un po' :p
Intercalare ogni tanto una battuta o una frase scherzosa aiuta ad evitare che subentri la monotonia. :)

[Stev-O]

mi sento francamente un attimino chiamato in causa, non so il perchè.... :cool:

[tutmosi3]

Intercalare ogni tanto una battuta o una frase scherzosa aiuta ad evitare che subentri la monotonia. :)

Io credo di esserne il principe. Sapeste quante volte mi trattengo dal fare battute.
E' più forte di me.
Non ci riesco.
Non posso stare serio troppo a lungo.
Sono sempre allegro.

Aggiungo anche che, essendosi creato un "nocciolo duro" di una decina di persone sempre presenti, nasce anche il desiderio di conoscersi un po'

E proprio di questo andrò a parlare in questa discussione http://www.hwupgrade.it/forum/showthread.php?t=1137647
Accorrete numerosi.

Ciao