winlogon.dll e regserv.dll

[lucadue]

:cry: il mio antivirus AVG giusto ieri mi ha rilevato questi due file infetti nella cartella
C:\windows\system il problema è che se anche li elimino al successivo riavvio ricompaiono
qualcuno mi sa spiegare che problema creano e come fare ad eliminarli? sn molto preoccupato :cry: :cry: :cry:
help!!! :eek: :eek:

[andorra24]

Fai una scansione con bitdefender free
http://www.bitdefender.com/site/Download/downloadFile/340/EN/

[Stev-O]

eliminali da modalità provvisoria
altrimenti posta anche un log di hijackthis
ed eventualmente prova con killbox

[Stev-O]

pero' io darei un colpo anche con ewido tanto per stare sul sicuro ;)

[andorra24]

Scansiona quei 2 files su www.virustotal.com e se risultano infetti eliminali con killbox:
http://www.bleepingcomputer.com/files/killbox.php

[lucadue]

eliminali da modalità provvisoria
altrimenti posta anche un log di hijackthis
ed eventualmente prova con killbox
cos'e un log di hijackthis

[andorra24]

lucadue ma ancora non hai risolto? :mbe:

[Stev-O]

si era temporaneamente trasformato nel Lupo Mannaro.... :asd:

[lucadue]

con nod32 mi in modalità provvisoria mi ha trovato un dialer l'ho eliminato e al riavvio i due file c'erano di nuovo :confused:

[andorra24]

Posta un log di hijackthis:

Scarica hijackthis da qui:
http://majorgeeks.com/downloadget.p...a8baee6434cfc13
aprilo, premi ''do a system scan and save a logfile'' e fai un semplice copia/incolla del log e lo posti sul forum cosi lo guardiamo.

[lucadue]

:confused: e cosa sarebbe?

[andorra24]

:confused: e cosa sarebbe?
Te l'ho scritto sopra.

[lucadue]

Logfile of HijackThis v1.99.0
Scan saved at 20.40.02, on 06/04/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\Programmi\SlySoft\AnyDVD\AnyDVD.exe
C:\Programmi\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe
C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\ZyXEL\ADSL USB Modem\CnxDslTb.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programmi\MSI\Core Center\CoreCenter.exe
C:\Documents and Settings\SuperWhite\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O1 - Hosts: 205.238.40.2 www.winmx.com
O1 - Hosts: 205.238.40.2 err.winmx.com
O1 - Hosts: 205.238.40.2 c3310.z1301.winmx.com
O1 - Hosts: 67.18.233.36 c3311.z1301.winmx.com
O1 - Hosts: 82.43.224.20 c3312.z1301.winmx.com
O1 - Hosts: 209.67.209.50 c3313.z1301.winmx.com
O1 - Hosts: 212.227.64.159 c3314.z1301.winmx.com
O1 - Hosts: 205.238.40.2 c3315.z1301.winmx.com
O1 - Hosts: 67.18.233.36 c3316.z1301.winmx.com
O1 - Hosts: 82.43.224.20 c3317.z1301.winmx.com
O1 - Hosts: 209.67.209.50 c3318.z1301.winmx.com
O1 - Hosts: 212.227.64.159 c3319.z1301.winmx.com
O1 - Hosts: 205.238.40.2 c3310.z1302.winmx.com
O1 - Hosts: 67.18.233.36 c3311.z1302.winmx.com
O1 - Hosts: 82.43.224.20 c3312.z1302.winmx.com
O1 - Hosts: 209.67.209.50 c3313.z1302.winmx.com
O1 - Hosts: 212.227.64.159 c3314.z1302.winmx.com
O1 - Hosts: 205.238.40.2 c3315.z1302.winmx.com
O1 - Hosts: 67.18.233.36 c3316.z1302.winmx.com
O1 - Hosts: 82.43.224.20 c3317.z1302.winmx.com
O1 - Hosts: 209.67.209.50 c3318.z1302.winmx.com
O1 - Hosts: 212.227.64.159 c3319.z1302.winmx.com
O1 - Hosts: 82.43.224.20 c3310.z1303.winmx.com
O1 - Hosts: 67.18.233.36 c3311.z1303.winmx.com
O1 - Hosts: 205.238.40.2 c3312.z1303.winmx.com
O1 - Hosts: 209.67.209.50 c3313.z1303.winmx.com
O1 - Hosts: 212.227.64.159 c3314.z1303.winmx.com
O1 - Hosts: 82.43.224.20 c3315.z1303.winmx.com
O1 - Hosts: 67.18.233.36 c3316.z1303.winmx.com
O1 - Hosts: 205.238.40.2 c3317.z1303.winmx.com
O1 - Hosts: 209.67.209.50 c3318.z1303.winmx.com
O1 - Hosts: 212.227.64.159 c3319.z1303.winmx.com
O1 - Hosts: 205.238.40.2 c3310.z1304.winmx.com
O1 - Hosts: 67.18.233.36 c3311.z1304.winmx.com
O1 - Hosts: 82.43.224.20 c3312.z1304.winmx.com
O1 - Hosts: 209.67.209.50 c3313.z1304.winmx.com
O1 - Hosts: 212.227.64.159 c3314.z1304.winmx.com
O1 - Hosts: 205.238.40.2 c3315.z1304.winmx.com
O1 - Hosts: 67.18.233.36 c3316.z1304.winmx.com
O1 - Hosts: 82.43.224.20 c3317.z1304.winmx.com
O1 - Hosts: 209.67.209.50 c3318.z1304.winmx.com
O1 - Hosts: 212.227.64.159 c3319.z1304.winmx.com
O1 - Hosts: 205.238.40.2 c3310.z1305.winmx.com
O1 - Hosts: 67.18.233.36 c3311.z1305.winmx.com
O1 - Hosts: 82.43.224.20 c3312.z1305.winmx.com
O1 - Hosts: 209.67.209.50 c3313.z1305.winmx.com
O1 - Hosts: 212.227.64.159 c3314.z1305.winmx.com
O1 - Hosts: 205.238.40.2 c3315.z1305.winmx.com
O1 - Hosts: 67.18.233.36 c3316.z1305.winmx.com
O1 - Hosts: 82.43.224.20 c3317.z1305.winmx.com
O1 - Hosts: 209.67.209.50 c3318.z1305.winmx.com
O1 - Hosts: 212.227.64.159 c3319.z1305.winmx.com
O1 - Hosts: 205.238.40.2 c3310.z1306.winmx.com
O1 - Hosts: 67.18.233.36 c3311.z1306.winmx.com
O1 - Hosts: 82.43.224.20 c3312.z1306.winmx.com
O1 - Hosts: 209.67.209.50 c3313.z1306.winmx.com
O1 - Hosts: 212.227.64.159 c3314.z1306.winmx.com
O1 - Hosts: 205.238.40.2 c3315.z1306.winmx.com
O1 - Hosts: 67.18.233.36 c3316.z1306.winmx.com
O1 - Hosts: 82.43.224.20 c3317.z1306.winmx.com
O1 - Hosts: 209.67.209.50 c3318.z1306.winmx.com
O1 - Hosts: 212.227.64.159 c3319.z1306.winmx.com
O1 - Hosts: 205.238.40.2 c3520.z1301.winmx.com
O1 - Hosts: 67.18.233.36 c3521.z1301.winmx.com
O1 - Hosts: 82.43.224.20 c3522.z1301.winmx.com
O1 - Hosts: 209.67.209.50 c3523.z1301.winmx.com
O1 - Hosts: 212.227.64.159 c3524.z1301.winmx.com
O1 - Hosts: 205.238.40.2 c3525.z1301.winmx.com
O1 - Hosts: 67.18.233.36 c3526.z1301.winmx.com
O1 - Hosts: 82.43.224.20 c3527.z1301.winmx.com
O1 - Hosts: 209.67.209.50 c3528.z1301.winmx.com
O1 - Hosts: 212.227.64.159 c3529.z1301.winmx.com
O1 - Hosts: 205.238.40.2 c3520.z1302.winmx.com
O1 - Hosts: 67.18.233.36 c3521.z1302.winmx.com
O1 - Hosts: 82.43.224.20 c3522.z1302.winmx.com
O1 - Hosts: 209.67.209.50 c3523.z1302.winmx.com
O1 - Hosts: 212.227.64.159 c3524.z1302.winmx.com
O1 - Hosts: 205.238.40.2 c3525.z1302.winmx.com
O1 - Hosts: 67.18.233.36 c3526.z1302.winmx.com
O1 - Hosts: 82.43.224.20 c3527.z1302.winmx.com
O1 - Hosts: 209.67.209.50 c3528.z1302.winmx.com
O1 - Hosts: 212.227.64.159 c3529.z1302.winmx.com
O1 - Hosts: 205.238.40.2 c3520.z1303.winmx.com
O1 - Hosts: 67.18.233.36 c3521.z1303.winmx.com
O1 - Hosts: 82.43.224.20 c3522.z1303.winmx.com
O1 - Hosts: 209.67.209.50 c3523.z1303.winmx.com
O1 - Hosts: 212.227.64.159 c3524.z1303.winmx.com
O1 - Hosts: 205.238.40.2 c3525.z1303.winmx.com
O1 - Hosts: 67.18.233.36 c3526.z1303.winmx.com
O1 - Hosts: 82.43.224.20 c3527.z1303.winmx.com
O1 - Hosts: 209.67.209.50 c3528.z1303.winmx.com
O1 - Hosts: 212.227.64.159 c3529.z1303.winmx.com
O1 - Hosts: 205.238.40.2 c3520.z1304.winmx.com
O1 - Hosts: 67.18.233.36 c3521.z1304.winmx.com
O1 - Hosts: 82.43.224.20 c3522.z1304.winmx.com
O1 - Hosts: 209.67.209.50 c3523.z1304.winmx.com
O1 - Hosts: 212.227.64.159 c3524.z1304.winmx.com
O1 - Hosts: 205.238.40.2 c3525.z1304.winmx.com
O1 - Hosts: 67.18.233.36 c3526.z1304.winmx.com
O1 - Hosts: 82.43.224.20 c3527.z1304.winmx.com
O1 - Hosts: 209.67.209.50 c3528.z1304.winmx.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [Collegamento alla pagina delle proprietà di High Definition Audio] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB001" /M "Stylus DX3800"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AnyDVD] C:\Programmi\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKLM\..\Run: [VirtualCloneDrive] "C:\Programmi\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WindowsUpdateS] C:\WINDOWS\System\winlogon.exe /s
O4 - HKLM\..\Run: [WindowsUpdateR] C:\WINDOWS\System\regserv.exe /s
O4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Programmi\ZyXEL\ADSL USB Modem\CnxDslTb.exe"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: CoreCenter.lnk = C:\Programmi\MSI\Core Center\CoreCenter.exe
O4 - Global Startup: MSCOMM32.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AVG7 Alert Manager Server - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

[lucadue]

AVG mi trova questo
http://img486.imageshack.us/img486/9317/immagine7xa.jpg (http://imageshack.us)

[andorra24]

Fixa queste:

O4 - HKLM\..\Run: [WindowsUpdateS] C:\WINDOWS\System\winlogon.exe /s
O4 - HKLM\..\Run: [WindowsUpdateR] C:\WINDOWS\System\regserv.exe /s
O4 - Global Startup: MSCOMM32.EXE

[Stev-O]

quelli sono da togliere con killbox

[lucadue]

e dove sono questi file?
in che cartella li prendo?

[andorra24]

e dove sono questi file?
in che cartella li prendo?
Ti ho detto di eliminare con hijackthis queste 3 voci.

O4 - HKLM\..\Run: [WindowsUpdateS] C:\WINDOWS\System\winlogon.exe /s
O4 - HKLM\..\Run: [WindowsUpdateR] C:\WINDOWS\System\regserv.exe /s
O4 - Global Startup: MSCOMM32.EXE

Metti la spunta nella casellina accanto a queste 3 voci e premi ''fix checked'' (dopo aver chiuso il browser).

[Stev-O]

io dicevo i 2 virus... con killbox

[andorra24]

io dicevo i 2 virus... con killbox
Si ma intanto procediamo con ordine. Visto che ha postato il log di hijackthis ormai deve fare il fix con hijackthis. In seconda battuta si prova con killbox. :)

[Stev-O]

ma i files erano altri 2 cmq....
beh intanto fixa poi vedi

[lucadue]

ora AVG nn trova piu nulla... :confused:
forse nn c'e piu ma se mi chiedete come ho fatto nn so dirvelo
1 ho fatto ripristino configurazione al 1aprile
2-O4 - Global Startup: MSCOMM32.EXE bloccato con HijackThis e subito nod32(che ho installato x provare a rimuovere il virus) l'ha messo in quarantena

al riavvio il virus c'era ancora... allora ho visto che MSCOMM32.EXE era in backup di HijackThis e allora ho eliminato il tutto

ora AVG nn trova +nulla ma nn so il xke

[lucadue]

spero nn compaiano piu :) :)
grazie andorra24 e grazie anche a te Stev-O mi avete salvato il pc dalla formattazione :cry: :cry: :cry:

[andorra24]

spero nn compaiano piu :) :)
grazie andorra24 e grazie anche a te Stev-O mi avete salvato il pc dalla formattazione :cry: :cry: :cry:
Bene. ;)

[Stev-O]

bene :)

[lucadue]

scusate ancora 1domanda
ora con AVG facendo la scansione nn trova piu virus
ma xke con hijackthis
O4 - HKLM\..\Run: [WindowsUpdateS] C:\WINDOWS\System\winlogon.exe /s
O4 - HKLM\..\Run: [WindowsUpdateR] C:\WINDOWS\System\regserv.exe /s
nn sono piu presenti mentre
O4 - Global Startup: MSCOMM32.EXE
c'e ancora? devo preoccuparmi? eppure AVG nn trova virus :confused:

[Stev-O]

riavvia in mod provvisoria e rifixalo

[lucadue]

ma siete sicuri che quel file è un problema x il sistema?

[andorra24]

ma siete sicuri che quel file è un problema x il sistema?
Dai una lettura a questo link:
http://www.trendmicro.com.au/enterprise/vinfo/encyclopedia.php?LYstr=VMAINDATA&VName=TROJ_SMALL.BBQ

Tratto dal link:

Upon execution,TROJ_SMALL.BBQ drops a copy of itself using the file name MSCOMM32.EXE in the Windows Startup folder.

Se vuoi essere sicuro cerca di individuare questo MSCOMM32.EXE e scansionalo su www.virustotal.com

[lucadue]

Con la funzione cerca nn trova MSCOMM32.EXE come faccio a trovarlo?

[andorra24]

Fixalo con hijackthis.

[lucadue]

ma da modalità provvisoria?
e poi quando compare la domanda si o no metto si e riavvio in modalità normale?

[andorra24]

ma da modalità provvisoria?
e poi quando compare la domanda si o no metto si e riavvio in modalità normale?
Devi mettere la spunta nella casellina accanto alla voce da eliminare e premi ''fix checked''.

[lucadue]

da modalità provvisoria se faccio x eliminarlo mi dice che sta girando nel sistema e di eliminarlo con il task manager
ma da processi del task manager nn c'e MSCOMM32
che faccio?

[andorra24]

Controlla su start/esegui e digita msconfig. Guarda nella tab Avvio se lo vedi.

[Stev-O]

prova a fare un cerca su tutto il pc e vedi dove è collocato
poi scansionalo su www.virustotal.com cosi' ci togliamo il dubbio

[andorra24]

Questo MSCOMM32.EXE e' anche un driver e in quanto tale e' innocuo. Esiste purtroppo un trojan che usa lo stesso nome e si piazza nello startup di windows. L'unica cosa da fare e' scovarlo e scansionarlo su virustotal.com

[lucadue]

Ora ho fatto una scansione online con trend micro e mi ha trovato TROJ_SE102501 e altro ho fatto disinfetta tutto e ora vedo

[Stev-O]

allora è da togliere

[lucadue]

eliminato
sn sl rimasti 4adware ma nn dovrebbero dare problemi
ora do una passata con avg e spero che i problemi siano finiti
cmq MSCOMM32 nn è stato rilevato
ho provato a disattivarlo ma all'avvio mi ha detto che quel file era necessario x cui la causa magari era l'altro trojan :muro:
speriamo finalmente che sia finito il problema :)

[andorra24]

Fai anche una scansione approfondita con ewido.

[lucadue]

mi potete sl dare il link x scaricare adware quello che elimina i cookies? xke nn lo trovo grazie :D

[Stev-O]

www.ewido.net

[andorra24]

mi potete sl dare il link x scaricare adware quello che elimina i cookies? xke nn lo trovo grazie :D
ewido e' molto meglio. Stev-O te l'ha linkato. ;)

[Stev-O]

ewido e' molto meglio. Stev-O te l'ha linkato. ;)
andorra di solito linka anche il download diretto :rolleyes:

[lucadue]

ora spero di essere a posto mi prendo ewido e faccio una bella scansione