problemi dialer e winfixer

[Sbaffini]

Sono circa due settimane che combatto contro un dialer, almeno credo lo sia, che non riesco a togliere.
ecco quello che mi succede: antivir avg e avast, li ho provati tutti e tre, mi rilevano un dialer , i messaggi di infezione dicono (questo è quello di avast che ho attualmente installato sul pc, avg e antivir lo chiamavano in un altro modo, ma purtroppo non ricordo come):

win32:dialer-516 [trj]
c:\windows\inf\mdmxB.pnf\[fsg*
dialer
versione vps 0611-2

win32:dialer-516 [trj]
c:\windows\inf\mdmxC.pnf\[fsg*
dialer
versione vps 0611-2

contemporaneamente si imposta come pagina inizialela seguente:

http://it.winfixer.com/pages/scanner_it/?aid=swp&lid=655&affid=pp_2583819290&ed=2&ex=1&ax=1

inoltre il pc mi si disconnette spesso e compare nelle connessioni di rete un nuova connessione con scritto "accesso" come nome di connessione e tutti gli altri campi vuoti.

inoltre rilevano un problema sul "service.exe" e seguendo i consigli trovati nei forum ho fatto tutto quello richiesto, ma niente di fatto.

ho creduto ad un certo punto che il problema fosse winfixer, come indicato nella pagina iniziale che mi si imposta, ma non sono riuscito a fare nulla anche perchè nei forum in cui è indicata la rimozione manuale del problema viene evidenziato il fatto che winfixer sia installato ed in realtà nel mio pc non risulta installato da nessuna parte e quindi non ho potuto procedere con la rimozione manuale. (anche perchè non essendo un esperto ho paura di fare danni più gravi)

ho provato ad eliminare il problema cercando nei forum ed ho fatto le scansioni con avg, antivir, avast come indicato sopra. ad-aware, spybot trendmicro on line, panda on line, ewido, bitdefender e anche altro che sicuramente adesso non ricordo.
questi programmi mi trovano il problema sembrano risolverlo, ma poi il tutto ricompare come se nulla avessi fatto. (le scansioni le ho fatte anche in modalità provvisoria)

ho un amd 3000+ 2giga di ram e il mio sistema operativo è windows xp pro sp2
installata (ditemi se è necessario di aggiungere altro che possa esservi di aiuto).

grazie per il vostro aiuto, non so proprio più che fare prima di formattare.
spero di essere stato esauriente

[Stev-O]

fatto una scansione con ewido?
prova, se non risolvi posta un logdi hijackthis che vediamo

[Sbaffini]

si ewido l'ho usato, ma non ho risolto.
come richiesto:

Logfile of HijackThis v1.99.1
Scan saved at 15.56.40, on 22/03/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\SERVICES.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SERVICES.EXE
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\Programmi\Thomson\SpeedTouch USB\Dragdiag.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi set up\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.winfixer.com/MTQyMg==/2/655/ed=2/ex=1/ax=1/473/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.winfixer.com/MTQyMg==/2/655/ed=2/ex=1/ax=1/473/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.winfixer.com/MTQyMg==/2/655/ed=2/ex=1/ax=1/473/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.winfixer.com/MTQyMg==/2/655/ed=2/ex=1/ax=1/473/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\SERVICES.EXE
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: bho2gr Class - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - C:\Programmi\GetRight\xx2gr.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programmi\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [DevconDefaultDB] C:\WINDOWS\READREG /PSCONV={NO} /NO_DEFPS
O4 - HKLM\..\Run: [Ptipbmf] rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [lich] lich.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SetDefaultMIDI] MIDIDef.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Download with GetRight - C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programmi\GetRight\GRbrowse.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1142957039734
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4C8C2AC6-E7AD-4D3E-B91F-F6F6D373B4CC}: NameServer = 193.12.150.2 212.247.152.2
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe

[Stev-O]

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.winfixer.com/MTQyMg==/2/655/ed=2/ex=1/ax=1/473/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.winfixer.com/MTQyMg==/2/655/ed=2/ex=1/ax=1/473/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.winfixer.com/MTQyMg==/2/655/ed=2/ex=1/ax=1/473/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.winfixer.com/MTQyMg==/2/655/ed=2/ex=1/ax=1/473/
O4 - HKLM\..\Run: [lich] lich.exe

elimina questi

i dns sono di tele2, sono ok

[andorra24]

Oltre alle voci indicate da Stev-o fixa anche queste:

C:\WINDOWS\SERVICES.EXE
C:\WINDOWS\SERVICES.EXE
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\SERVICES.EXE

[Stev-O]

era cosi' evidente che mi era scappato....

meno male che si è svegliata in tempo andorra :eek:

[andorra24]

era cosi' evidente che mi era scappato....

meno male che si è svegliata in tempo andorra :eek:
Gia'. :)

[Stev-O]

forse ha un subconscio che la avverte... :p

[Sbaffini]

Oltre alle voci indicate da Stev-o fixa anche queste:

1) C:\WINDOWS\SERVICES.EXE
2) C:\WINDOWS\SERVICES.EXE
3) F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\SERVICES.EXE

come tolgo i primi due? il terzo l'ho tolto ,ma rifacendo lo scan ritorna.

c'ho messo un po' a rispondere perchè ho riavviato il pc

[Stev-O]

disattiva ila ripristino config di sistema e
riavvia in modalità provvisoria
poi riprova

[andorra24]

Oltre alle voci indicate da Stev-o fixa anche queste:

1) C:\WINDOWS\SERVICES.EXE
2) C:\WINDOWS\SERVICES.EXE
3) F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\SERVICES.EXE

come tolgo i primi due? il terzo l'ho tolto ,ma rifacendo lo scan ritorna.

c'ho messo un po' a rispondere perchè ho riavviato il pc
Riprova in mod.provvisoria, se ancora non riesci allora eliminalo con killbox:
http://www.bleepingcomputer.com/files/killbox.php

[Sbaffini]

in modaità provvisoria non ho risolto.
ma il mio problema è che da hijthis non posso selezionare i service.exe, ma soltanto F2..... , e quindi fixarli. c'è un modo per farlo che magari non conosco se non sono in lista?

aspetto una tua risposta e nel mentre mi scarico killbox

[andorra24]

in modaità provvisoria non ho risolto.
ma il mio problema è che da hijthis non posso selezionare i service.exe, ma soltanto F2..... , e quindi fixarli. c'è un modo per farlo che magari non conosco se non sono in lista?

aspetto una tua risposta e nel mentre mi scarico killbox
Elimina services.exe con killbox. Ma attenzione! Deve essere il services.exe che si trova in questa directory:
C:\WINDOWS\SERVICES.EXE

[Stev-O]

prova a scansionarlo su www.virustotal.com quel file

[Sbaffini]

il services.exe con killbox non riesco a terminarlo. mi spigo meglio: indico (scrivendolo) il percorso giusto del processo ma mi termina l'altro e quindi mi si arresta il pc. forse sbaglio nell'usare killbox.
sfogliando e cercando il processo tra i file sempre usando killbox, invece il processo suddetto non me lo trova.

[Sbaffini]

noto invece con piacere, rifacendo la scansione con hijthis che il SERVICES.EXE non c'è più e adesso mi eliminato definitivamente anche l'altro F2......
riavvio e vi aggiorno. non voglio cantare vittoria troppo presto

grazie per l'aiuto

[Stev-O]

:sperem:

[andorra24]

noto invece con piacere, rifacendo la scansione con hijthis che il SERVICES.EXE non c'è più e adesso mi eliminato definitivamente anche l'altro F2......
riavvio e vi aggiorno. non voglio cantare vittoria troppo presto

grazie per l'aiuto
Ok, facci sapere.

[Sbaffini]

credo proprio che avete risolto.
vi invio il log di hjthis (sperando di non approfittarmi troppo della vostra disponibilità)lascio a voi la risposta finale:

Logfile of HijackThis v1.99.1
Scan saved at 17.31.01, on 22/03/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Thomson\SpeedTouch USB\Dragdiag.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi set up\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: bho2gr Class - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - C:\Programmi\GetRight\xx2gr.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programmi\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [DevconDefaultDB] C:\WINDOWS\READREG /PSCONV={NO} /NO_DEFPS
O4 - HKLM\..\Run: [Ptipbmf] rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SetDefaultMIDI] MIDIDef.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Download with GetRight - C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programmi\GetRight\GRbrowse.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1142957039734
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4C8C2AC6-E7AD-4D3E-B91F-F6F6D373B4CC}: NameServer = 193.12.150.2 212.247.152.2
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe

[andorra24]

Il log adesso e' pulito. Abbiamo fatto un buon lavoro. :)

[Sbaffini]

evvaiiiii!
grazie.... voi la fate così facile che mi sento un deficente heheheh

siete grandi, grazie mille!

[andorra24]

evvaiiiii!
grazie.... voi la fate così facile che mi sento un deficente heheheh

siete grandi, grazie mille!
Bene, mi fa piacere. ;)

[Stev-O]

Il log adesso e' pulito. Abbiamo fatto un buon lavoro. :)
:mano: