Ghost Keylogger che ricompare! Aiuto!!!

[StarTac]

Chiudendo la sessione del mio PC ho letto la scritta "chiusura applicazione di Ghost Keylogger". Panico!!!
Ho fatto una scansione con SpySweeper che ne ha confermato la presenza ed ho rimosso ma...... al nuovo riavvio del PC e nuova scansione eccolo ricomparso.
Eppure nè Kaspersky AntiVirus Personal, tantomeno Ewido Antimalware lo avevano mai riconosciuto.
Cosa fare? Come poterlo eliminare definitivamente e quali possono essere gli eventuali problemi causati dalla sgradita presenza?
Grazie sin d'ora a chi mi saprà dare una valida dritta risolutiva che non sia la drammatica formattazione.

[Stev-O]

log di hijackthis

[StarTac]

log di hijackthis

Ho provato hijackthis ma non non so poi muovermi tra i suoi risultati. Mi dai una mano Stev?

[andorra24]

Posta il log che lo controlliamo.

[StarTac]

Eccolo!

Logfile of HijackThis v1.99.1
Scan saved at 0.50.34, on 06/04/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\TuneUp Utilities 2006\WinStylerThemeSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\Programmi\CDBurnerXP\NMSAccess.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\GlobespanVirata\Adsl\dslstat.exe
C:\Program Files\GlobespanVirata\Adsl\dslagent.exe
C:\WINDOWS\AGRSMMSG.exe
C:\windows\system32\agent\syncagent.exe
C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\PeerGuardian2\pg2.exe
C:\Programmi\TuneUp Utilities 2006\MemOptimizer.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe
C:\Documents and Settings\Administrator\Desktop\HijackThis.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cpqset] C:\Programmi\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\GlobespanVirata\Adsl\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\GlobespanVirata\Adsl\dslagent.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\Run: [SpySweeper] "C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PeerGuardian] C:\Programmi\PeerGuardian2\pg2.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Programmi\TuneUp Utilities 2006\MemOptimizer.exe" autostart
O4 - Global Startup: Kaspersky Anti-Hacker.lnk = C:\Programmi\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: NMSAccess - Unknown owner - C:\Programmi\CDBurnerXP\NMSAccess.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programmi\TuneUp Utilities 2006\WinStylerThemeSvc.exe

[andorra24]

Fixa:

C:\windows\system32\agent\syncagent.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"

[Stev-O]

Fixa:

C:\windows\system32\agent\syncagent.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"
This is a valid program, but it is up to you whether or not you want it to run on startup.

Whether or not you need to run this program on startup must be decided by you. If you feel that you want this program starting automatically so that you have it available as needed, then do not disable it. The following information is a brief description of what is known about this file. If you require further assistance for this file, feel free to ask about in the forums.

cosi' grave???

Andorra pensi sia da preferire bleeping a google per le ricerche di files sospetti nei logs?

[StarTac]

Fixa:

C:\windows\system32\agent\syncagent.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"


Ok Andorra, fatto! Ma cosa era?

[andorra24]

This is a valid program, but it is up to you whether or not you want it to run on startup.

Whether or not you need to run this program on startup must be decided by you. If you feel that you want this program starting automatically so that you have it available as needed, then do not disable it. The following information is a brief description of what is known about this file. If you require further assistance for this file, feel free to ask about in the forums.

cosi' grave???

Andorra pensi sia da preferire bleeping a google per le ricerche di files sospetti nei logs?
syncagent.exe e' un keylogger, se l'ha installato volutamente e ne e' consapevole puo' tenerlo, se invece non vuole averlo nel pc deve rimuoverlo. Bleeping e' utilissimo nelle ricerche dei files, io solitamente consulto parecchi siti prima di essere sicura.

[Stev-O]

beh pero' bleeping sbaglia poco

[StarTac]

Ma spiegatemi come mai dopo averlo rimosso con spysweeper ricompariva?

[andorra24]

beh pero' bleeping sbaglia poco
Bleeping e altri siti si limitano a dire che e' un programma di sorveglianza, un keylogger. Se uno l'ha installato volutamente sul proprio pc allora puo' tenerlo, altrimenti si deve togliere. Molto piu' categorici sul fatto di rimuoverlo questi siti:
http://www.2-spyware.com/file-syncagent-exe.html
http://research.sunbelt-software.com/threat_display.cfm?name=Ghost%20Keylogger&threatid=5712

[Stev-O]

forse andava disinstallatoo rimosso in modalità provvisoria

[andorra24]

Ma spiegatemi come mai dopo averlo rimosso con spysweeper ricompariva?
Ma tu avevi provato a rimuoverlo in modalita' provvisoria? Forse da li' ci riuscivi. Adesso con hijackthis l'hai tolto?

[StarTac]

L'ho tolto con hijackthis ma è ricomparso!!! :muro:

[Stev-O]

allora ci vuole killbox

[andorra24]

allora ci vuole killbox
Si concordo:
http://www.wintricks.it/news2/article.php?ID=12000

[Stev-O]

cmq i due siti di prima me li segno

[andorra24]

cmq i due siti di prima me li segno
Bene, io ne consulto sempre tanti prima di formarmi un'idea precisa. :)

[StarTac]

Allora rieccomi.....

In modalità provvisoria non compare quella voce ne con hijackthis, tantomeno con spy sweeper ma al riavvio rieccolo presente all'appello! :eek:

Cos'è Killbox? Provo con quello? Altrimenti spiegatemi quel tipo di keylogger cosa può comprtarmi se lo lascio perdere?

[andorra24]

Cerca di eliminarlo con killbox. Questo syncagent.exe e' un keylogger cioe' un programmino che ha lo scopo di controllare e monitorare cio' che viene fatto nel pc.

[StarTac]

Cerca di eliminarlo con killbox. Questo syncagent.exe e' un keylogger cioe' un programmino che ha lo scopo di controllare e monitorare cio' che viene fatto nel pc.


Sono curioso di sapere come c'è finito nel mio PC :rolleyes:

Con KillBox ho risolto, mentre ho trovato una guida per l'altro programma davvero utile per i non esperti http://www.zeusnews.it/index.php3?ar=stampa&cod=4701

Grazie a tutti per l'aiuto ;)

[andorra24]

Con KillBox ho risolto
Grazie a tutti per l'aiuto ;)
Prego. :)