[HELP] malware, ie allo sfascio! provato di tutto...

[Drakan]

ciao a tutti... qualche giorno fa mi sono accorto di essere affetto d auno di quei malware che ti aprono mille finestre mentre navighi!!!
avevo già ad-aware, hijackthis e avast pro settati e funzionanti a dovere, non hanno impedito il danno però!
ho installato spybot, non mi consente di aggiornarlo, pensavo di risolvere semplicemente scaricando gli aggiornamenti da http da un'altro pc siccome dal mio non potevo aprire pagine come hwupgrade e la home di spybot!
nulla da fare!
aggiornamenti installati, si, dal file exe, ma di fatto tutto come prima!
cosa posso provare?
ho fatto anche degli scan online (trend micro, f-secure e bit defender) hanno rilevato e corretto alcune infezioni, ma continuano ad aprirsi finestre a go-go in internet (sia ie che firefox!)
attendo illuminazioni!
grazie.

[wizard1993]

ciao a tutti... qualche giorno fa mi sono accorto di essere affetto d auno di quei malware che ti aprono mille finestre mentre navighi!!!
avevo già ad-aware, hijackthis e avast pro settati e funzionanti a dovere, non hanno impedito il danno però!
ho installato spybot, non mi consente di aggiornarlo, pensavo di risolvere semplicemente scaricando gli aggiornamenti da http da un'altro pc siccome dal mio non potevo aprire pagine come hwupgrade e la home di spybot!
nulla da fare!
aggiornamenti installati, si, dal file exe, ma di fatto tutto come prima!
cosa posso provare?
ho fatto anche degli scan online (trend micro, f-secure e bit defender) hanno rilevato e corretto alcune infezioni, ma continuano ad aprirsi finestre a go-go in internet (sia ie che firefox!)
attendo illuminazioni!
grazie.


la migliore cosa sarebbe formattare; ma io sinceramente prima proverei a uasre bart pe builder

[Drakan]

la migliore cosa sarebbe formattare; ma io sinceramente prima proverei a uasre bart pe builder
ok grazie più tardi provo questo programma...
preferirei se riesco, evitare la formattazione, mi rompe reinstallare tutto per un problema in fondo così banale!!!

[wizard1993]

ok grazie più tardi provo questo programma...
preferirei se riesco, evitare la formattazione, mi rompe reinstallare tutto per un problema in fondo così banale!!!

bart pe builder crea un cd di avvio in cui possono essere inclusi antivirus e altre cavolate varie; e nbecessita di un cd di win

[Drakan]

bart pe builder crea un cd di avvio in cui possono essere inclusi antivirus e altre cavolate varie; e nbecessita di un cd di win
credo mi serva a ben poco allora, siccome ho già fatto scansioni antivirus e spybot allo start!!!
altri suggerimenti escludendo la formattazione?
grazie comunque.

[SkunkWorks 68]

Vediamo il log di Hijackthis(già provato?)
Postalo eventualmente qui:http://www.hwupgrade.it/forum/showthread.php?t=937676
Ciao

[wizard1993]

credo mi serva a ben poco allora, siccome ho già fatto scansioni antivirus e spybot allo start!!!
altri suggerimenti escludendo la formattazione?
grazie comunque.

si ma non con mcafee virusscan

[Gianky....! :D :)]

Scusate un attimo... :mbe:
ha detto che non può accedere ad hardware upgrade e spybot....
non può essere il rootkit GROMZON??? (se è così grazie al cavolo che gli scan on-line non rimuovono il problema) :D .....
io direi di provare il tool Prevx e vedere cosa succede....
http://www.prevx.com/gromozon.asp
Ciao

[Drakan]

Vediamo il log di Hijackthis(già provato?)
Postalo eventualmente qui:http://www.hwupgrade.it/forum/showthread.php?t=937676
Ciao
il problema ora è ke avast pro mi riconosceva hijackthis 1.99 come un virus... worm qlc... e per sbaglio ho messo l'opzione che nn ti lascia più accedere al file... ora come apro la cartella la chiude subito!!!

x wizard1993
ho provato tutti gli antivirus online che si possono avere digitando online scan nelle prime 3 pagine di google!!! compreso mcafee! grazie cmq...

x gianky

domani provo che ho il pendrive usb a lavoro e il desktop in sign, quello "infetto" non apre il link che hai postato...

edit

mi sa che alla mia lista di guai se ne aggiunge un altro...
ho installato sul mio desktop l'autopatcher di ottobre 2006 per avere tutti gli aggiornamenti di windows xp sp2... ho fatto la stessa cosa sul secondo desktop e sul portatile ho usufruito dell'opzione windows update...
ora in risorse di rete i pc ci sono tutti e 3... tutti pingano tutti...
però...
dal desktop in sign accedo al portatile mentre dal portatile non accedo al desktop! dal desktop n. 2 nn accedo al desktop in sign ma al portatile si e di conseguenza dal desktop in sign non accedo al desktop n. 2!!!!
ma che cavolo è successo????
dico io... possibile che uno ha la malaugurata idea di aggiornare un s.o. e si ritrova la rete a ca@@o!!!

help!!! :cry:

[Drakan]

Scusate un attimo... :mbe:
ha detto che non può accedere ad hardware upgrade e spybot....
non può essere il rootkit GROMZON??? (se è così grazie al cavolo che gli scan on-line non rimuovono il problema) :D .....
io direi di provare il tool Prevx e vedere cosa succede....
http://www.prevx.com/gromozon.asp
Ciao
grande, grande, grande!!!! :)
forse ho risolto!
il prog che hai postato mi ha tolto il rootkit, ora spybot ha la lista dei server per gli aggiornamenti e mi permette di scaricarli nonchè di aprire la sua homepage!!!
unica pecca: la home di questo magnifico forum mi si apre al volo, sia da ie che da firefox e poi scompare, nemmeno tempo 1s!!!
spybot e ad-aware mi danno il pc pulito!
che provo ora?

[Drakan]

per completezza e per sfizio posto ancora il log di hijackthis...
sia mai che viene fuori altro...

Logfile of HijackThis v1.99.1
Scan saved at 23.29.05, on 26/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\TerraTec\Remote\TTTVRC.exe
C:\Programmi\Nero\Nero 7\InCD\InCD.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0T1.EXE
C:\Programmi\IPM\Adsl\DataWay\dslstat.exe
C:\WINDOWS\system32\dslagent.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\taskswitch.exe
C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\Ahead\Lib\NMIndexStoreSvr.exe
C:\WINDOWS\system32\ctfmon.exe
c:\progra~1\intern~1\iexplore.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\Programmi\Nero\Nero 7\InCD\InCDsrv.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Prevx1\PXAgent.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\Alwil Software\Avast4\ashSimpl.exe
C:\Programmi\Alwil Software\Avast4\ashChest.exe
C:\Documents and Settings\All Users\Documenti\hijackthis 1.99\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,"c:\windows\maxtorstorage.exe",
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Class - {60C04D98-7198-E96F-3B98-BECDA62F7D83} - C:\WINDOWS\sbtpc1.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [TerraTec Remote Control] C:\Programmi\File comuni\TerraTec\Remote\TTTVRC.exe
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Nero\Nero 7\InCD\InCD.exe
O4 - HKLM\..\Run: [\\ADRIANA\EPSON Stylus C46 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0T1.EXE /P33 "\\ADRIANA\EPSON Stylus C46 Series" /O6 "USB001" /M "Stylus C46"
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Programmi\IPM\Adsl\DataWay\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [32 AXIS] C:\DOCUME~1\Stefano\DATIAP~1\WAVEPI~1\ownsstartabout.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\npjpi150_09.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\npjpi150_09.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {32305793-C19A-48E7-AD2F-D87FF7B264A4} (TenebrilSpywareScanner Control) - http://www.tenebril.com/assets/activeX/SpywareScanner.ocx
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1163262582567
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9D190AE6-C81E-4039-8061-978EBAD10073} (F-Secure Online Scanner 3.0) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/mcfscan/2,1,0,4899/mcfscan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DBA24B6D-B52B-4C04-8E3B-F77159B5D625}: NameServer = 193.70.152.15,193.70.152.25
O17 - HKLM\System\CCS\Services\Tcpip\..\{F736EBAC-BE85-4AEA-B008-159DC1069105}: NameServer = 193.70.152.25,193.70.152.15
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programmi\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Prevx Agent (PREVXAgent) - Unknown owner - C:\Programmi\Prevx1\PXAgent.exe" -f (file missing)

[c.m.g]

ciao a tutti... qualche giorno fa mi sono accorto di essere affetto d auno di quei malware che ti aprono mille finestre mentre navighi!!!
avevo già ad-aware, hijackthis e avast pro settati e funzionanti a dovere, non hanno impedito il danno però!
ho installato spybot, non mi consente di aggiornarlo, pensavo di risolvere semplicemente scaricando gli aggiornamenti da http da un'altro pc siccome dal mio non potevo aprire pagine come hwupgrade e la home di spybot!
nulla da fare!
aggiornamenti installati, si, dal file exe, ma di fatto tutto come prima!
cosa posso provare?
ho fatto anche degli scan online (trend micro, f-secure e bit defender) hanno rilevato e corretto alcune infezioni, ma continuano ad aprirsi finestre a go-go in internet (sia ie che firefox!)
attendo illuminazioni!
grazie.
complimenti mi sa che ti sei beccatoi una variante di gromozon

[c.m.g]

Scusate un attimo... :mbe:
ha detto che non può accedere ad hardware upgrade e spybot....
non può essere il rootkit GROMZON??? (se è così grazie al cavolo che gli scan on-line non rimuovono il problema) :D .....
io direi di provare il tool Prevx e vedere cosa succede....
http://www.prevx.com/gromozon.asp
Ciao
straquoto

[wgator]

Ciao,

@Drakan:

ti consiglio di modificare l'avatar, non è in linea con il seguente punto del regolamento del Forum che recita:

evitare di utilizzare il forum come mezzo per pubblicizzare un partito od un esponente politico. Valido anche per signature e avatar.

Fermo restando il fatto che personalmente non ce l'ho con nessun Partito dell'arco Costituzionale, vorrei dire che questo vale per qualsiasi Gruppo Politico, Destra, Centro e Sinistra...

Tra 24 ore ricontrollo, nel caso sarò costretto ad editare d'ufficio

[Drakan]

Ciao,

@Drakan:

ti consiglio di modificare l'avatar, non è in linea con il seguente punto del regolamento del Forum che recita:

evitare di utilizzare il forum come mezzo per pubblicizzare un partito od un esponente politico. Valido anche per signature e avatar.

Fermo restando il fatto che personalmente non ce l'ho con nessun Partito dell'arco Costituzionale, vorrei dire che questo vale per qualsiasi Gruppo Politico, Destra, Centro e Sinistra...

Tra 24 ore ricontrollo, nel caso sarò costretto ad editare d'ufficio
scusa per l'avatar e se nn l'ho modificato in tempo ma col lavoro nn ho mai un minuto libero...

per gli ultimi reply cmq consiglio di vedere tutta la discussione! ho già risolto il rootkit gromozon, l'ultimo up era per il log di hijackthis, per fugare ogni dubbio, e per risolvere il maledetto id basso di emule!

grazie a tutti!

[Drakan]

help!!!
con emule nn riesco a risolvere...

temo di avere ancora tracce del rootkit gromozon, spybot rileva un file di log nella scansione ma nn lo rimuove e nn corregge il problema....

[FOXYLADY]

Non so se da ieri hai già risolto, comunque nel tuo log di hijackthis si nota ancora qualcosa di anomalo.
Dovresti fixare questa voce
O2 - BHO: Class - {60C04D98-7198-E96F-3B98-BECDA62F7D83} - C:\WINDOWS\sbtpc1.dll (file missing)

Poi clicca su start>esegui e digita regedit

Ti si aprirà l'editor del registro
Usando le caselline col segno + portati su questa chiave:
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows NT>CurrentVersion

ora clicca sulla casellina Winlogon
a destra ti appariranno varie voci, seleziona col tasto destro del mouse la voce Userinit e scegli l'opzione modifica, elimina dalla casella il valore
"c:\windows\maxtorstorage.exe"

In pratica deve presentarsi così
c:\windows\system32\userinit.exe

poi clicca su OK e riavvia il PC.

Effettua poi una scansione con questi
http://www.sophos.it/products/free-tools/sophos-anti-rootkit.html
http://www.superantispyware.com/downloadfile.html?productid=SUPERANTISPYWARE

[wizard1993]

aggiungo kaspersky e bitdefender

[Drakan]

ok ho fatto tutto...

ora ho portato il router al negozio dove l'ho preso e ho chiesto di metterlo a posto! sicuramente molti problemi, emule tc., derivavano anke da li siccome ora sn su emule col mio modem adsl usb e scarico a 140!!!

adesso per non farmi mancare nulla è sorto un'altro problema!
nella sys tray mancano alcune cose tra cui l'icona dell'audio? come mai? vedendo anke da spybot sull'utility di esecuzione automatica, risulta essere caricata, perchè però non c'è?
come posso risolvere?
manca anche il dsl status del modem e altre cose che nn ricordo così a memoria....

grazie

[Drakan]

ok ho fatto tutto...

ora ho portato il router al negozio dove l'ho preso e ho chiesto di metterlo a posto! sicuramente molti problemi, emule tc., derivavano anke da li siccome ora sn su emule col mio modem adsl usb e scarico a 140!!!

adesso per non farmi mancare nulla è sorto un'altro problema!
nella sys tray mancano alcune cose tra cui l'icona dell'audio? come mai? vedendo anke da spybot sull'utility di esecuzione automatica, risulta essere caricata, perchè però non c'è?
come posso risolvere?
manca anche il dsl status del modem e altre cose che nn ricordo così a memoria....

grazie
upppppppp!!!!! :cry:

[FOXYLADY]

Hai provato a reinstallare i driver audio, il modem e i programmi che mancano nella systray?

[Drakan]

Hai provato a reinstallare i driver audio, il modem e i programmi che mancano nella systray?
no!
però nn mi sembra corretto procedere così, se fosse un problema di file mancanti nn dovrei nemmeno sentirlo l'audio o no?

[wizard1993]

effettivamente

[FOXYLADY]

no!
però nn mi sembra corretto procedere così, se fosse un problema di file mancanti nn dovrei nemmeno sentirlo l'audio o no?

Hai ragione, ma, a meno che tu non sappia cosa smanettare nel registro per ripristinare le icone, credo che la soluzione migliore sia rimuovere e reinstallare.
Questo almeno è quello che farei io.

Ciao

[Drakan]

Hai ragione, ma, a meno che tu non sappia cosa smanettare nel registro per ripristinare le icone, credo che la soluzione migliore sia rimuovere e reinstallare.
Questo almeno è quello che farei io.

Ciao
il problema è che non mi ricordo bene tutto quello che caricava, quindi resterei sempre con un problema risolto a metà!!! apprezzo il consiglio cmq!