PDA

View Full Version : [urgente] rimuovere uno spyware

Marilson
17-02-2006, 20:43
Ho qualcosa di grosso che nè kaspersky nè adaware professional mi ha trovato, ho fatto lo scan su symantec.com ed ecco il log:

C:\Programmi\Adverts\uninst.exe è infettato con Download.Adware.Lop
C:\Documents and Settings\Home Computer\Impostazioni locali\Temp\bis8.exe è infettato con Adware.Lop
C:\Documents and Settings\Home Computer\Dati applicazioni\meal itch pure\Intra Four.exe è infettato con Adware.Lop
C:\Documents and Settings\Home Computer\Dati applicazioni\meal itch pure\kbjnoxpa.exe è infettato con Adware.Lop
C:\Documents and Settings\All Users\Dati applicazioni\CoolFindProxySect\OOZEDUPE.exe è infettato con Adware.Lop

Ho girato ma non riesco a trovare un removal, l'unico modo è una procedura da fare dopo lo scan con un prodotto symantec, che io non ho :stordita:

Qualche aiuto su come trovare il removal giusto? :help:
Stev-O
17-02-2006, 20:46
se hai già scansionato con kaspersky fai una scansione con ewido e se non risolvi posta un log di hijackthis
wgator
17-02-2006, 20:48
Ciao,

prova a disattivare il ripristino della configurazione del sistema, attiva la visualizzazione di file e cartelle nascoste, riavvia in modalità provvisoria e svuota le cartelle dei file temporanei e dei temporanei di internet poi tenta di rimuovere quei file manualmente, seguendone il percorso
Marilson
17-02-2006, 21:03
vi ringrazio per le info intanto. A chi mi chiedeva il log di hijackthis:
Logfile of HijackThis v1.99.1
Scan saved at 20.59.52, on 17/02/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\Garzanti Linguistica\Hazon clic\HAZON.EXE
C:\Programmi\File comuni\Real\Update_OB\evntsvc.exe
C:\Programmi\File comuni\PCSuite\DataLayer\DataLayer.exe
C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Programmi\MessengerPlus! 3\MsgPlus.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\PROGRA~1\FILECO~1\PCSuite\Services\SERVIC~1.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE
D:\eMule\emule.exe
C:\Documents and Settings\Home Computer\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ansa.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3BE0C45D-BF51-6515-E0EF-C26972386593} - C:\DOCUME~1\HOMECO~1\DATIAP~1\MESSAX~1\MEDIA WIN.exe (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [KAVPersonal50] C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKLM\..\Run: [Hazon clic] "C:\Programmi\Garzanti Linguistica\Hazon clic\HAZON.EXE" -I
O4 - HKLM\..\Run: [TkBellExe] C:\Programmi\File comuni\Real\Update_OB\evntsvc.exe -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DataLayer] C:\Programmi\File comuni\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [proxy sect wait camp] C:\Documents and Settings\All Users\Dati applicazioni\CoolFindProxySect\OOZEDUPE.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ANTIMAIL] C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\Intra Four.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Cerca con Google - res://c:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Traduci parola in italiano - res://c:\programmi\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Link a ritroso - res://c:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pagine simili - res://c:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://c:\programmi\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/ctrl/LSSupCtl.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/asa/ctrl/SymAData.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe


io nn sono pratico e ci andrei con i piedi di piombo a cancellare cartelle e files, magari sono files importanti per il sistema.. come lo interpretate questo log? cmq lo spyware è quello in neretto sopra
Stev-O
17-02-2006, 21:13
fixa O2 - BHO: (no name) - {3BE0C45D-BF51-6515-E0EF-C26972386593} - C:\DOCUME~1\HOMECO~1\DATIAP~1\MESSAX~1\MEDIA WIN.exe (file missing)

ah naturalmente metti in qurantena/elimina quelli sopra!

cioè
O4 - HKLM\..\Run: [proxy sect wait camp] C:\Documents and Settings\All Users\Dati applicazioni\CoolFindProxySect\OOZEDUPE.exe
O4 - HKCU\..\Run: [ANTIMAIL] C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\Intra Four.exe

intanto fai cosi' :rolleyes: poi casomai arriverannoi latinisti a sistemare ;)
Marilson
17-02-2006, 21:21
cioè? devo eliminare quello che mi hai detto? :mc:
Stev-O
17-02-2006, 21:26
per adesso...
altrim : hai fretta? aspetta che ANDORRA torni e avrai conferme + precise
cmq i file almeno in quarantena li puoi mettere



[comincia il tennis su ESP2 a dopo ;) ]
andorra24
17-02-2006, 21:28
cioè? devo eliminare quello che mi hai detto? :mc:
Fixa le voci che ti ha indicato Stev-O nel post precedente.
Probabilmente l'Adware.Lop te lo sei preso installando il MessengerPlus che contiene per l'appunto il Lop come sponsor.
Marilson
17-02-2006, 21:29
no non ho fretta, cioè è il pc dei miei.. devo fixarlo entro lunedi perchè poi vado via
Marilson
17-02-2006, 21:37
Fixa le voci che ti ha indicato Stev-O nel post precedente.
Probabilmente l'Adware.Lop te lo sei preso installando il MessengerPlus che contiene per l'appunto il Lop come sponsor.

fixare vuol dire eliminare giusto? :mc:
andorra24
17-02-2006, 21:41
fixare vuol dire eliminare giusto? :mc:
Si, metti la spunta nella casellina accanto alle voci indicate precedentemente e premi ''fix checked'' (a browser chiuso mi raccomando).
Marilson
17-02-2006, 22:50
bene, ho fatto. Ma gli eseguibili trovati da symantec? cosa ne faccio di quelli? :fagiano:
andorra24
17-02-2006, 22:56
bene, ho fatto. Ma gli eseguibili trovati da symantec? cosa ne faccio di quelli? :fagiano:
Visualizza le cartelle e i file nascosti e segui il percorso indicato dal log del norton e verifica se ci sono ancora quei files.
Stev-O
18-02-2006, 14:20
Fixa le voci che ti ha indicato Stev-O nel post precedente.


per una volta ci ho beccato? :cool: :cincin: :winner: :gluglu:

l'ho letto in fretta perchè iniziava la partita.. allora d'ora in avanti faro' cosi' ;)
andorra24
18-02-2006, 14:23
per una volta ci ho beccato? :cool: :cincin: :winner: :gluglu:

l'ho letto in fretta perchè iniziava la partita.. allora d'ora in avanti faro' cosi' ;)
Bene. ;)
MrOZ
18-02-2006, 14:35
ciao mi mandi al mio indirizzo [email protected] tutti i file exe infetti da Lop???

grazie.
Stev-O
18-02-2006, 14:35
per inciso, io quando faccio le analisi & le "scansioni" le faccio "mentalmente", molto spesso fidandomi dell'intuito o dell'"archivio"
chiaro se mi mettessi a scandagliare ogni singola voce dubbia cercando ovunque info su di essa sarei probabilmente più preciso: la differenza che fai tu è, oltre che alla maggior precisione, la velocità perchè sai subito dove & come muoverti nel reperire notizie :mano:
andorra24
18-02-2006, 14:41
per inciso, io quando faccio le analisi & le "scansioni" le faccio "mentalmente", molto spesso fidandomi dell'intuito o dell'"archivio"
chiaro se mi mettessi a scandagliare ogni singola voce dubbia cercando ovunque info su di essa sarei probabilmente più preciso: la differenza che fai tu è, oltre che alla maggior precisione, la velocità perchè sai subito dove & come muoverti nel reperire notizie :mano:
Io cerco solo le voci che non conosco e che mi insospettiscono. Prima di postare il risultato mi assicuro di essere nel giusto confrontando vari siti. :)
Stev-O
18-02-2006, 14:43
Io cerco solo le voci che non conosco e che mi insospettiscono. Prima di postare il risultato mi assicuro di essere nel giusto confrontando vari siti. :)

ho detto qualcosa di sbagliato? :mbe:
cmq per sapere le voci "sospette" occorre possedere quel senso critico che ti può dare solo l'esperienza :)
wgator
18-02-2006, 14:48
per inciso, io quando faccio le analisi & le "scansioni" le faccio "mentalmente", molto spesso fidandomi dell'intuito o dell'"archivio"
chiaro se mi mettessi a scandagliare ogni singola voce dubbia cercando ovunque info su di essa sarei probabilmente più preciso: la differenza che fai tu è, oltre che alla maggior precisione, la velocità perchè sai subito dove & come muoverti nel reperire notizie :mano:

Ciao,

bè... Andorra è una persona "speciale" in questo settore. Ormai ha memorizzato perfettamente tutti i processi "legittimi" di Windows e dei principali programmi. Leggendo le sue risposte e vedendo la sua velocità di analisi, sono convinto che, ogni volta che legge un log, "googli" non più di un paio di voci al massimo.

All'inizio tentavo di analizzarli anch'io i log degli utenti ma lei mi batteva sempre di parecchi minuti, :p poi ho desistito.
Per un log "mediamente appestato" io devo "googlare" cinque o sei volte...

Nulla da dire: campionessa italiana di Hijachthis :winner:
andorra24
18-02-2006, 14:49
cmq per sapere le voci "sospette" occorre possedere quel senso critico che ti può dare solo l'esperienza :)
Concordo. :mano:
Telikalikput
18-02-2006, 14:50
Avesse un soldino per ogni log pulito, a quest'ora sarebbe la professoressa più ricca d'italia. Anche se in un certo senso lo è già.... :)
andorra24
18-02-2006, 14:54
Ciao,

bè... Andorra è una persona "speciale" in questo settore. Ormai ha memorizzato perfettamente tutti i processi "legittimi" di Windows e dei principali programmi. Leggendo le sue risposte e vedendo la sua velocità di analisi, sono convinto che, ogni volta che legge un log, "googli" non più di un paio di voci al massimo.

All'inizio tentavo di analizzarli anch'io i log degli utenti ma lei mi batteva sempre di parecchi minuti, :p poi ho desistito.
Per un log "mediamente appestato" io devo "googlare" cinque o sei volte...

Nulla da dire: campionessa italiana di Hijachthis :winner:
Molto gentile. :cool:
Stev-O
18-02-2006, 14:54
Avesse un soldino per ogni log pulito, a quest'ora sarebbe la professoressa più ricca d'italia. Anche se in un certo senso lo è già.... :)

questa non è farina del tuo sacco :p
http://www.hwupgrade.it/forum/showpost.php?p=11051893&postcount=1041
andorra24
18-02-2006, 14:54
Avesse un soldino per ogni log pulito, a quest'ora sarebbe la professoressa più ricca d'italia. Anche se in un certo senso lo è già.... :)
Beh lo faccio per puro hobby e passatempo. :)
Stev-O
18-02-2006, 14:56
Molto gentile. :cool:

cmq io una "partita" andata ritorno e bella in campo neutro la farei :Prrr:
Telikalikput
18-02-2006, 14:59
questa non è farina del tuo sacco :p
http://www.hwupgrade.it/forum/showpost.php?p=11051893&postcount=1041


Giuro che non lo sapevo... comunque, come direbbero i latini: "Repetita iuvant" :D
Stev-O
18-02-2006, 15:00
è interessante il fatto che "ci mettiamo tutti d'accordo" ;)
Marilson
19-02-2006, 19:33
allora, ringrazio nuovamente tutti anche a chi, ora nn ricordo, ha fatto la diesamina corretta in quanto mia sorella ha installato il messenger plus. Ora ho rimosso tutto ma purtroppo i pop up di casino & c continuano ad apparire. Chiaramente adaware.lop c'è ancora, non ho il cd di windows con me altrimenti avrei provveduto senza pensarci 2 volte a un bel formattino, ora occorrerà attendere fino a pasqua per poterlo fare. Il fatto è che le scansioni di kaspesky e di lavasoft danno esito negativo... ora ne faccio un'altra su symantec e posto il logfile sia di questa che di hijackthis. Per chi mi chiedeva degli .exe, li ho eliminati
andorra24
19-02-2006, 19:41
allora, ringrazio nuovamente tutti anche a chi, ora nn ricordo, ha fatto la diesamina corretta in quanto mia sorella ha installato il messenger plus. Ora ho rimosso tutto ma purtroppo i pop up di casino & c continuano ad apparire. Chiaramente adaware.lop c'è ancora, non ho il cd di windows con me altrimenti avrei provveduto senza pensarci 2 volte a un bel formattino, ora occorrerà attendere fino a pasqua per poterlo fare. Il fatto è che le scansioni di kaspesky e di lavasoft danno esito negativo... ora ne faccio un'altra su symantec e posto il logfile sia di questa che di hijackthis. Per chi mi chiedeva degli .exe, li ho eliminati
Hai fatto la scansione con ewido? http://download.ewido.net/ewido-setup.exe

Vai nel pannello di controllo/installazione applicazioni e disinstalla il MessengerPlus e controlla se c'e' anche il Lop installato e togli pure quello.
Marilson
19-02-2006, 20:52
cominciamo:
C:\Programmi\Adverts\uninst.exe è infettato con Download.Adware.Lop
C:\Documents and Settings\Home Computer\Dati applicazioni\meal itch pure\4745.del è infettato con Adware.Lop


ora posto altra roba
Marilson
19-02-2006, 21:35
ecco il rapporto di ewido

---------------------------------------------------------
ewido anti-malware - Rapporto Scansione
---------------------------------------------------------

+ Creato il: 21.33.14, 19/02/2006
+ Report-Checksum: 51C55D53

+ Risultati scansione:

C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.66.220.17.154 : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.Yieldmanager : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@atdmt[1].txt -> TrackingCookie.Atdmt : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.Newyorkcasino : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@casalemedia[2].txt -> TrackingCookie.Casalemedia : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@doubleclick[1].txt -> TrackingCookie.Doubleclick : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@lop[1].txt -> TrackingCookie.Lop : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@mediaplex[1].txt -> TrackingCookie.Mediaplex : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.2o7 : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.2o7 : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@paypopup[2].txt -> TrackingCookie.Paypopup : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.Reliablestats : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.Dbbsrv : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@web-stat[2].txt -> TrackingCookie.Web-stat : Pulito con Backup
C:\Documents and Settings\Home Computer\Menu Avvio\appunti[1].exe -> Dialer.Generic : Pulito con Backup
C:\Programmi\Adverts\uninst.exe -> Adware.Lop : Pulito con Backup
D:\Documenti\Installazioni\(APP).Real.One.Player.Plus.9.0.full+.login.crack\RealOne.Player.and.iQfx3.and.vTuner.Plus.v4.0\RealOnePlayer.exe -> Dropper.Pakes : Pulito con Backup
D:\Documenti\Installazioni\(APP).Real.One.Player.Plus.9.0.full+.login.crack\RealOne.Player.and.iQfx3.and.vTuner.Plus.v4.0 ( OK! ).zip/RealOne.Player.and.iQfx3.and.vTuner.Plus.v4.0/RealOnePlayer.exe -> Dropper.Pakes : Errore durante la pulizia


::Fine Rapporto


e questo è il rapporto di hijackthis successivo alla scansione con ewido

Logfile of HijackThis v1.99.1
Scan saved at 21.35.06, on 19/02/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\Garzanti Linguistica\Hazon clic\HAZON.EXE
C:\Programmi\File comuni\Real\Update_OB\evntsvc.exe
C:\Programmi\File comuni\PCSuite\DataLayer\DataLayer.exe
C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\FILECO~1\PCSuite\Services\SERVIC~1.EXE
D:\eMule\emule.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Documents and Settings\Home Computer\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ansa.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [KAVPersonal50] C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKLM\..\Run: [Hazon clic] "C:\Programmi\Garzanti Linguistica\Hazon clic\HAZON.EXE" -I
O4 - HKLM\..\Run: [TkBellExe] C:\Programmi\File comuni\Real\Update_OB\evntsvc.exe -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DataLayer] C:\Programmi\File comuni\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\RunOnce: [MessengerPlusUninstall] C:\WINDOWS\system32\cmd.exe /C "C:\DOCUME~1\HOMECO~1\IMPOST~1\Temp\MsgPlusUninst.bat"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\RunOnce: [remititit14551] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del
O4 - HKCU\..\RunOnce: [remititit9949] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Cerca con Google - res://c:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Traduci parola in italiano - res://c:\programmi\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Link a ritroso - res://c:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pagine simili - res://c:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://c:\programmi\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/techsupp/asa/ctrl/LSSupCtl.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/asa/ctrl/SymAData.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe


cmq trovo assurdo che un plugin di microsoft, e dico di microsoft, sia infettato.. assurdo per non dire scandaloso
andorra24
19-02-2006, 21:42
Hai disinstallato MessengerPlus dal pannello di controllo? Fixa queste:

O4 - HKLM\..\RunOnce: [MessengerPlusUninstall] C:\WINDOWS\system32\cmd.exe /C "C:\DOCUME~1\HOMECO~1\IMPOST~1\Temp\MsgPlusUninst.bat"
O4 - HKCU\..\RunOnce: [remititit14551] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del
O4 - HKCU\..\RunOnce: [remititit9949] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del
Stev-O
19-02-2006, 21:47
sarebbe più "salutare" e "igienico" editare la parte FINALE del log di EWIDO:ormai non serve+... :rolleyes:
Stev-O
19-02-2006, 21:48
Hai disinstallato MessengerPlus dal pannello di controllo? Fixa queste:

O4 - HKLM\..\RunOnce: [MessengerPlusUninstall] C:\WINDOWS\system32\cmd.exe /C "C:\DOCUME~1\HOMECO~1\IMPOST~1\Temp\MsgPlusUninst.bat"
O4 - HKCU\..\RunOnce: [remititit14551] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del
O4 - HKCU\..\RunOnce: [remititit9949] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del

è già un po' che ne sento parlare (male): cos'ha questo messenger plus? :mbe:
andorra24
19-02-2006, 21:53
è già un po' che ne sento parlare (male): cos'ha questo messenger plus? :mbe:
Ha uno sponsorino rappresentato da un adware chiamato Lop che ovviamente crea fastidi. Pero' durante l'installazione di MessengerPlus e' possibile evitare di installare anche lo sponsor e il plugin rimane pulito. Chi distrattamente installa tutto invece si becca l'adware. :)
Stev-O
19-02-2006, 21:58
ah un po' come il gain-trickler del divxpro5 che fu: solo che quello lo dovevi tenere, perchè se lo rimuovevi non andava più il codec....
andrebbe messa in evidenza questa cosa in modo che gli utenti del "tiro dritto" nelle installazioni siano avvertiti ;)
Marilson
19-02-2006, 22:09
fatto, tnx
71104
19-02-2006, 22:16
cmq trovo assurdo che un plugin di microsoft, e dico di microsoft, sia infettato.. assurdo per non dire scandaloso se Messenger Plus fosse di Microsoft non occorrerebbe installarlo a parte... di software Microsoft contenenti codice spy ne esistono a bizzeffe, ma quasi nessun programma di sicurezza è in grado di rilevarli. che vi credete, a Microsoft sanno il fatto loro :O
Stev-O
19-02-2006, 22:17
qui si aprirebbe un discorso a parte che si potrebbe denominare: "gli interessi di cassetta" ;)
andorra24
19-02-2006, 22:23
Questo comunque insegna che bisogna sempre aprirsi gli occhi quando si installa qualcosa. Il MessengerPlus ad esempio durante la fase di installazione consente di deselezionare lo sponsor. Se si prestasse un po' di attenzione in piu' alle cose che si installano e si prendesse l'abitudine di leggere l'EULA dei software si eviterebbero molte sorprese sgradite.
Stev-O
19-02-2006, 22:25
vallo a raccontare ai tuoi alunni....(e ci metto anche mio fratello che più o meno :D il quale è stato DIFFIDATO più volte dall'installare a caso i programmi senza fermarsi un secondo a capire.... :muro: )
andorra24
19-02-2006, 22:32
vallo a raccontare ai tuoi alunni....(e ci metto anche mio fratello che più o meno :D il quale è stato DIFFIDATO più volte dall'installare a caso i programmi senza fermarsi un secondo a capire.... :muro: )
Basta solo un pizzico di buona volonta'.
Stev-O
19-02-2006, 22:33
Basta solo un pizzico di buona volonta'.

può essere già un problema serio :mbe: