CHE CASINO, mydoom e altri [Archivio] - Hardware Upgrade Forum

View Full Version : CHE CASINO, mydoom e altri

top_andrew

30-04-2006, 05:32

Ciao a tutti, qui non si capisce più niente. QUalche giorno fa ho riscontrato un problema.. mi appariva una finestra mentre navigavo che gentilmente mi diceva che ero infetto da non mi ricordo cosa e mi mandava ad un link per scaricare winfixer, un prog da 40 euro in realtà un malware.. il problema è che questo messaggio veniva fuori solo quando entravo in un determinato sito (non ricordo quale) e ho letto in un sito internet di un forum che visto che non avevo accettato di installare niente.. almeno che io mi ricordi e se non sono diventato idiota, il malware risiedeva nel sito nel quale mi compariva il messaggio..
Quindi ho tirato un sospiro di sollievo subito interrotto da un nuovo messaggio proveniente da internet explorer che mi informava gentilmente che erastata rilevata una minaccia "mydoom" nel mio pc e che consigliava di scaricare uno dei seguenti software per rimuoverlo.. al che mi indirizzava al seguentee link:
Non vorrei mai che vi prendeste qualcosa andandoci, ne dubito sinceramente però sono ignorante, quindi siete pregati di non ritenermi responsabile se dovesse succedere...

htt*://amaena.com/securityworm5/it/?aid=mg6-qld_it_it&lid=antivirus.com&h=&b (link pericoloso, occhio)

Ovviamente me ne sono visto bene dallo scaricare alcunchè, però sono corso in casa symatec e ho scaricato un fixer per il mydoom che non è stato rilevato nel mio sistema... allora sono andato nell'assistenza microsoft dalla quale ho scaricato un programmino per rimuovere il mydoom e indovinate??? non l'ha trovato..
Allora cosa diavolo succede?? non ho niente a parte un malware maledetto che mi spamma le scatole con i suoi continui avvisi??

Vi prego di darmi una mano per questo problema, e vi prego di non nominare nemmeno la "formattazione"... l'ho appena fatta.. :(

Grazie in anticipo.
Andrea

Dovesse servirvi ecco cosa mi dice il log del hijackthis:

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\VIA\RAID\raid_tool.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\Programmi\Logitech\G-series Software\LGDCore.exe
C:\Programmi\Logitech\G-series Software\LCDMon.exe
C:\WINDOWS\Dit.exe
C:\Programmi\Logitech\G-series Software\Applets\LCDClock.exe
C:\Programmi\Logitech\G-series Software\Applets\LCDMedia.exe
C:\Programmi\Logitech\G-series Software\Applets\LCDPop3\LCDPOP3.exe
C:\Programmi\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe
C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\UAService7.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\WINDOWS\explorer.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\DOCUME~1\Andrea\IMPOST~1\Temp\Rar$EX00.438\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: bho2gr Class - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - C:\Programmi\GetRight\xx2gr.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O2 - BHO: DPCUpdater Object - {DE8BDE42-16D9-4CCC-9F4F-1C3167B82F60} - C:\WINDOWS\system32\pmnnm.dll
O2 - BHO: (no name) - {E8DEC8EA-8D80-4ec6-AF6B-190A765F1D2F} - C:\WINDOWS\system32\vtsqo.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RaidTool] C:\Programmi\VIA\RAID\raid_tool.exe
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ATICCC] "C:\Programmi\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [Launch LGDCore] "C:\Programmi\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE
O4 - HKLM\..\Run: [Launch LCDMon] "C:\Programmi\Logitech\G-series Software\LCDMon.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Dit] Dit.exe
O8 - Extra context menu item: &Cerca con Google - res://C:\Programmi\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: &Traduci parola in italiano - res://C:\Programmi\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O8 - Extra context menu item: Download with GetRight - C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Link a ritroso - res://C:\Programmi\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Open with GetRight Browser - C:\Programmi\GetRight\GRbrowse.htm
O8 - Extra context menu item: Pagine simili - res://C:\Programmi\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://C:\Programmi\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {BD393C14-72AD-4790-A095-76522973D6B8} (CBreakshotControl Class) - http://messenger.zone.msn.com/binary/Bankshot.cab31267.cab
O16 - DPF: {E6187999-9FEC-46A1-A20F-F4CA977D5643} (ZoneChess Object) - http://messenger.zone.msn.com/binary/Chess.cab31267.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1E768FE7-2D0D-466B-983B-ECE1165FBF24}: NameServer = 80.20.6.36,212.216.112.112
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: pmnnm - C:\WINDOWS\system32\pmnnm.dll
O20 - Winlogon Notify: vtsqo - C:\WINDOWS\SYSTEM32\vtsqo.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Servizio Auto-Protect di Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Programmi\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programmi\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
O23 - Service: SAVScan - Symantec Corporation - C:\Programmi\Norton SystemWorks\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Sony DADC Austria AG. - C:\WINDOWS\system32\UAService7.exe

nV 25

30-04-2006, 10:12

Fixa queste:
O2 - BHO: DPCUpdater Object - {DE8BDE42-16D9-4CCC-9F4F-1C3167B82F60} - C:\WINDOWS\system32\pmnnm.dll

O2 - BHO: (no name) - {E8DEC8EA-8D80-4ec6-AF6B-190A765F1D2F} - C:\WINDOWS\system32\vtsqo.dll

O20 - Winlogon Notify: pmnnm - C:\WINDOWS\system32\pmnnm.dll
O20 - Winlogon Notify: vtsqo - C:\WINDOWS\SYSTEM32\vtsqo.dll

Stev-O

30-04-2006, 12:35

tool per mydoom
http://www.symantec.com/region/it/techsupp/avcenter/venc/data/[email protected]

top_andrew

30-04-2006, 12:49

Ho provato a fixare le voci e mi ricompaiono allo scan successivo, in pratica non si cancellano :muro: :muro:
Per di più ho fatto uno scan con il fixer per il mydoom e niente...

Stev-O

30-04-2006, 13:08

diattiva il ripristino configurazione di sistema e riavvia in modalità provvisoria e ripeti le operazioni
altrimenti elimina quei files con killbox

deja vu

30-04-2006, 13:34

Ma suvvia..quel messaggio lo da a tutti..non ti fidare di questi siti truffaldini..vogliono solo convincerti di essere infetto per venderti il loro prodotto..

in ogni caso se vuoi stare tranquillo fai una scansione con ewido ed un buon antivirus

top_andrew

30-04-2006, 15:47

siamo sicuri?? Cancello quei files??? non ci capisco più niente, ho tolto le restrizioni dalle opzioni internet per i siti di winfixer e mi è saltato fuori di nuovo anche in altri siti... quindi mi sono beccato anche quello..
Cosa faccio?
io provo ad eliminare spero solo che mi riparta win.

deja vu

30-04-2006, 15:55

Passa a firefox invece di usare explorer

top_andrew

30-04-2006, 15:59

Passa a firefox invece di usare explorer

Certamente lo farò... ma il problema resta... ho provato ad eliminare i files:

O20 - Winlogon Notify: pmnnm - C:\WINDOWS\system32\pmnnm.dll
O20 - Winlogon Notify: vtsqo - C:\WINDOWS\SYSTEM32\vtsqo.dll

con killbox ma non riesce a farlo nemmeno in modalità provvisoria...
Sto diventando idiota è alienante sto problema..
Suggerimenti??

top_andrew

30-04-2006, 16:43

ho provato anche con "deletedr" e nè da dos nè da win con un reboot si riesce ad eliminare quei due maledettissimi files .dll

Non so proprio più come fare per cancellarli... stranamente sono più di 10 min ceh anche se navigo non saltano fuori più... possibile che non siano esterni a windows quei pmnn... e vtsqo???
come processi ce li ho ancora.. e ho anche un altro processo che si chiama winlogon dal task manager... è interno al sistema???

Mi auguro solo che esista una giustizia superiore che faccia vivere al peggio i creatori di questo maledetto (e uso maledetto per non essere bannato :mad: :mad: :mad: ) spyware malware o come cavolo sia classificato.

Se avete notizie o consigli vi supplico di postarmeli.
grazie.

nV 25

30-04-2006, 16:44

l'unica cosa che potrei suggerirti è provare a scaricare il tool di rimozione per Trojan.Vundo ( sempre che il malware sia questo...):
http://securityresponse.symantec.com/avcenter/venc/data/trojan.vundo.removal.tool.html
( segui anche le istruzioni della pagina che ho linkato, ricordandoti ovviamente di disabilitare il ripristino di sistema (procedura (http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001111912274039?OpenDocument&src=sec_doc_nam) )...)

Poi una bella passata di bitdefender qui:
http://www.bitdefender.com/scan8/ie.html

top_andrew

30-04-2006, 16:46

nV 25

30-04-2006, 16:55

grazie mille.. sei disponibilissimo.. sto seguendo la procedura... ma secondo te può essere un virus o solo un banner o uno spy??
no, no...questo al 99% è un trojan...la perplessità è solo sul nome, non sulla sua tipologia..

top_andrew

30-04-2006, 16:57

dunque.. con il toolsymatec mi ha sospeso e terminato un processo ma non ha eliminato nessun file.. ora provo con bitdefender e poi ti dico... certo che se non ha eliminato nulla mi viene da pensare che il problema esiste ancora...
ora provo di nuovo a fare lo scan con il fixer dopo un reboot..
Grazie intanto...

Stev-O

30-04-2006, 18:27

hai già provato con killbox a tirarli via?

top_andrew

01-05-2006, 00:28

hey, scusa ma sono dovuto uscire... il problema non si è più presentato, non so come sia successo ma forse l'ho involontariamente bloccato.. il problema attuale però è a mio avviso molto peggiore.. mi ha dato per due volte di seguito 2 errori critici che mi hanno bloccato a schermata blu e resettato il pc.. ti posto i file del minidump, se riesci a darci un'occhiata mi fai un favore.. il problema è simile a quello che riscontravo quando avevo il vecchio bios, che poi però ho aggiornato.

top_andrew

01-05-2006, 00:29

comunque avevo provato con killbox e niente...

Stev-O

01-05-2006, 00:34

ma sono files binari questi :(

top_andrew

01-05-2006, 00:40

che significa?? sono ignorante.... devo preoccuparmi??? :confused: :confused: :cry: :cry: :eek: :eek:

Stev-O

01-05-2006, 11:10

no ma con quei dump ci si può fare poco

top_andrew

02-05-2006, 00:08

Dunque, ho appurato che sono 2 files dll il problema, o comunque sono estranei a win, insediati in system 32 di win... ho fatto una scansione online dei 2 files che sono stati riconosciuti come virali...
I due files sono vtsqo.dll e pmnnm.dll (o qualcosa di simile...)
Fattostà che non è possibile assolutamente eliminarli nè in provvisoria nè con programmi che eseguano l'eliminazione da reboot o da dos...
Come posso fare secondo voi???

Stev-O

02-05-2006, 00:15

usare la soluzione nasodrastica...
aprire staccare l'hard disk
montarlo su un altro pc come slave
scansionare (co l'altro SO) ed eliminare i files da li

marcocappe

02-05-2006, 01:35

top_andrew

02-05-2006, 01:55

Molto meno macchinoso:
scaricati un live cd di windows o linux (molto consigliato knoppix rispetto ai live cd di win) accedi alla partizione dove hai le dll infette e cancellale. riavvia fai una scansione con ewido e con un antivirus e riposta un log di hijackthis.

Scusa ma cosa intendi per live cd?? io ho windows ma tu dici di prendere knoppix che mi pare per linux... :confused: :confused: :confused:
sono abb ignorante in materia.. e la procedura è difficile da raggiungere?? c'è qualche rischio? è da dos o da win??
scusa se ti tapezzo di domande ma non vorrei fare cavolate...

marcocappe

02-05-2006, 09:50

E' un cd auto-bootante (si scrive così?;)) con linux nel caso di knoppix o con win, nel caso di bartpe e simili su cui è presente una copia del sistema operativo in questione. Fai partire il pc con l'avvio da cd, il sistema operativo parte dal cd senza scrivere nessun dato sull'hd e caricando tutto in memoria. Una volta caricato tutto puoi accedere ai dati sul tuo disco fisso e, sempre con molta attenzione, puoi cancellare i file infetti. E' più difficile spiegarlo che farlo credimi ;)

top_andrew

02-05-2006, 12:32

ok grazie, allora devo scaricarmi il bartpe se non ho capito male..
Lho tirato giù, installato, però se vado per creare l'immagine dice che non trova il file c:\pebuilder3110\i386\setupldr.bin... cosa ho sbagliato nelle impostazioni??

Che tu sappia c'è altra gente che si è beccata ste schifezze in internet??
Io ho appena parlato con chi me l'ha venduto che mi ha proposto la solita soluzione (format c:)...
Io non ne ho voglia, il pc è nuovo.. sono 2 mesi che ce l'ho...

Stev-O

02-05-2006, 12:45

con la speranza che non serva una scansione per individuare eventuali schifezze

è possibile caricare/installare/aggiornare programmi con bartpe?

top_andrew

02-05-2006, 12:48

dovrei essere in grado di trovare i files maligni.. e anche le voci registrate nel regedit.. spero di riuscire a cancellarli.. l'unico problema a parte il bartpe che non mi parte è che temo non sarà così semplice.. ho letto che è un virus osticissimo da levare... anche se lo eliminerò da sys32 e regedit mi sa che quel porco si è insinuato da qualche parte che me lo fa ripartire ed installare x es quando riapro explorer..

Stev-O

02-05-2006, 12:57

c'e' sempre il vecchio log di hijack :D

top_andrew

02-05-2006, 18:23

Credo di essere riuscito :ave: :ave: :ave: :ave: :ave: :ave: :ave: :ave: :ave: ad eliminare i virus... Come ho già detto avevo intuito grazie all'ausilio dell'hijackthis e di un sito dove è possibile effettuare uno scan incrociato da circa 20 antivirus di un file residente nel pc dopo averlo uplodato, che i files infetti erano:
c:\windows\system32\vtsqo.dll e pmnnm.dll
Posto a tutti, anche per chi dovesse nei prossimi giorni riscontrare la stessa sintomatologia da me precendentemente descritta i links che ho utilizzato per eliminare questi problemi...

http://pcpitstop.invisionzone.com/lofiversion/index.php/t101045.html

per quanto riguarda il vtsqo.dll, e:

http://help.lockergnome.com/lofiversion/index.php/t44804.html

per il pmnnm.dll o come cavolo si chiama...
Non ho seguito proprio alla lettera la procedura nel senso che quando sono andato per eliminare il file pmnnm.dll mi ha dato un errore il fixer poichè non trovava l'hijackthis, però impavidamente :D sono andato a cercarmi il file nel sys32 e l'ho eliminato manualmente.
Raccomando di disattivare il ripristino di configurazione di sistema prima di effettuare qualsiasi procedura.
Una volta effettuata la procedura illustrata controllare in start\esegui\regedit nelle cartelle: local machine\software\microsoft win\win nt\winlogon\notify\ e eliminare le cartelle pmnnm e vtsqo....
Prego qualche utente più esperto di me di ricontrollare ciò che ho detto poichè non vorrei mai aver detto cavolate.
Fatemi sapere.
Ringrazio coloro che mi hanno fornito il loro prezioso supporto.
Stay tuned!
Andrea