Intrusione costante da Winlogon.exe

[Superbia]

Ciao ragazzi...
La situazione e' questa.
Quando avvio Windows, explorer non si avvia.
Devo avviarlo manualmente. Gia' questo e' strano.
Inoltre kerio mi dice costantemente che c'e' un'intrusione da parte "sconosciuta", con destinazione winlogon.exe.
Altro punto:
Se apro risorse ad esempio, o qualunque cartella, il processo explorer si chiude, e devo riavviarlo manualmente ogni volta.
Detto questo, Nod32 non rileva nulla, cosi' come ad-aware 2007...
Vi posto il log appena fatto con HiJackthis.
Vi ringrazio anticipatamente per un eventuale aiuto. :)

Logfile of HijackThis v1.99.1
Scan saved at 18.02.00, on 09/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16441)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\explorer.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Documents and Settings\Alessandro\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {8A61098D-612B-4EF2-943D-64E920684061} - C:\WINDOWS\system32\hggfgge.dll
O2 - BHO: (no name) - {E12BFF69-38A7-406e-A8EF-2738107A7831} - C:\WINDOWS\system32\pwmqoqrg.dll (file missing)
O2 - BHO: (no name) - {E9E63E39-E77E-42BE-A6DC-62AE289F1EE7} - C:\WINDOWS\system32\ddcya.dll
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [VX1000] C:\WINDOWS\vVX1000.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [ApachInc] rundll32.exe "C:\WINDOWS\system32\nmqrrpws.dll",realset
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programmi\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [Uniblue RegistryBooster2] C:\Programmi\Uniblue\RegistryBooster 2\RegistryBooster.exe /S
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O11 - Options group: [INTERNATIONAL] International*
O11 - Options group: [TABS] Tabbed Browsing
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{D773CD2E-B031-4D96-B7CE-670D41A9F31E}: NameServer = 208.67.222.222,208.67.220.220
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: ddcya - C:\WINDOWS\system32\ddcya.dll
O20 - Winlogon Notify: hggfgge - C:\WINDOWS\SYSTEM32\hggfgge.dll
O20 - Winlogon Notify: winjgf32 - winjgf32.dll (file missing)
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\wpdshserviceobj.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe

UPDATE: Scansione effettuata con spydoctor, mi ha trovato 4 o 5 virtumonde. :|

[ercolino]

Benvenuto

C'è il 3d apposito per il controllo del log :D

Comunque per prima cosa disattiva il ripristino di configurazione di Xp e fai tutta la procedura di rimozione in modalità provvisoria(Tasto F8 all'accensione)

Poi devi selezionare ed eliminare con il tasto Fix queste cose

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045}

O2 - BHO: (no name) - {8A61098D-612B-4EF2-943D-64E920684061} - C:\WINDOWS\system32\hggfgge.dll

O2 - BHO: (no name) - {E12BFF69-38A7-406e-A8EF-2738107A7831} - C:\WINDOWS\system32\pwmqoqrg.dll

O2 - BHO: (no name) - {E9E63E39-E77E-42BE-A6DC-62AE289F1EE7} - C:\WINDOWS\system32\ddcya.dll

O4 - HKLM\..\Run: [ApachInc] rundll32.exe "C:\WINDOWS\system32\nmqrrpws.dll",realset

O20 - Winlogon Notify: ddcya - C:\WINDOWS\system32\ddcya.dll

O20 - Winlogon Notify: hggfgge - C:\WINDOWS\SYSTEM32\hggfgge.dll

O20 - Winlogon Notify: winjgf32 - winjgf32.dll


Poi visto che ci sei cancella anche tutto il contenuto della cartella Temp
C:windows/temp



Riguardo a Ad-Aware 2007 sono stati segnalati diversi problemi sul processo aawservice.exe

Praticamente sembra esserci un consumalo anomalo di Ram

[Superbia]

Chiedo scusa se non ho visto il thread. :muro:
E chiedo ancora scusa se non so di preciso dove si disattiva il ripristino di configurazione.
Spyware doctor comunque rileva, eccome....4 o 5 virtumonde. :muro:
E qualcosa sta facendo, visto che adesso quando esploro le risorse almeno il processo explorer non si chiude da solo...

[ercolino]

Disattivazione ripristino Xp (http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/619dc956e2367ad48525695b005ca28a/8063431c38c7d89980256c1e004e2ca1?OpenDocument);)

[Superbia]

Intanto grazie mille.
Ho fatto esattamente tutto quello che mi hai detto, e al riavvio windows si e' presentato normalmente, come non accadeva da tempo.
Ecco qui il nuovo log di HiJack:

Logfile of HijackThis v1.99.1
Scan saved at 18.53.51, on 09/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16441)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\stsystra.exe
C:\WINDOWS\vVX1000.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Programmi\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Windows Media Player\WMPNetwk.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Spyware Doctor\svcntaux.exe
C:\Programmi\Spyware Doctor\swdsvc.exe
C:\Programmi\Spyware Doctor\SDTrayApp.exe
C:\Documents and Settings\Alessandro\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {8A61098D-612B-4EF2-943D-64E920684061} - C:\WINDOWS\system32\hggfgge.dll
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [VX1000] C:\WINDOWS\vVX1000.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SDTray] "C:\Programmi\Spyware Doctor\SDTrayApp.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programmi\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [Uniblue RegistryBooster2] C:\Programmi\Uniblue\RegistryBooster 2\RegistryBooster.exe /S
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O11 - Options group: [INTERNATIONAL] International*
O11 - Options group: [TABS] Tabbed Browsing
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{D773CD2E-B031-4D96-B7CE-670D41A9F31E}: NameServer = 208.67.222.222,208.67.220.220
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: hggfgge - C:\WINDOWS\SYSTEM32\hggfgge.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\wpdshserviceobj.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Spyware Doctor Auxiliary Service (sdAuxService) - PC Tools - C:\Programmi\Spyware Doctor\svcntaux.exe
O23 - Service: Spyware Doctor Service (sdCoreService) - PC Tools - C:\Programmi\Spyware Doctor\swdsvc.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe

Ora, visto che siamo qui, continuiamo qui. :D
Posso fare qualcos'altro per rendere il tutto perfettamente pulito?
Fermo restando che ho gia' fatto un controllo con spydoctor, che mi ha rilevato 3 infezioni, subito curate.
Come abbinamento antivirus-firewll, nod32 e kerio rendono?
Posso affiancarci spydoctor o non serve a nulla?
Se mi fai anche un po' di chiarezza, ti meriti una cena gratis :D

[ercolino]

Vanno eliminati ancora questi:

O2 - BHO: (no name) - {8A61098D-612B-4EF2-943D-64E920684061} - C:\WINDOWS\system32\hggfgge.dll

O20 - Winlogon Notify: hggfgge - C:\WINDOWS\SYSTEM32\hggfgge.dll

Poi ricorda che sul Pc onde evitare troppi casini va installato un solo firewall e Antivirus

Nod 32 e Kerio sono ok.

[xcdegasp]

antivir è una scelta migliore come antivirus.. è pure free :)

[Superbia]

Sono messo come prima adesso.
Con qualche complicazione.
Innanzitutto, avviando normalmente windows fa esattamente come prima, ovvero devo avviare manualmente explorer.
Anche la solita intrusione segnalata da kerio continua a saltare fuori, sempre riferita a winlogon.
Ora pero' c'e' na cosa in piu':

Avviando in modalita' provvisoria, facendo lo scan, non mi rileva le 2 voci ancora rimaste che dovrei "fixare".
Al contrario, avviandolo normalmente, quelle voci spuntanto come funghi.
Ecco il log:

Logfile of HijackThis v1.99.1
Scan saved at 19.28.51, on 09/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16441)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\explorer.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Alessandro\Desktop\HijackThis.exe
C:\Programmi\Sunbelt Software\Personal Firewall\assist.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O2 - BHO: (no name) - {8A61098D-612B-4EF2-943D-64E920684061} - C:\WINDOWS\system32\hggfgge.dll
O2 - BHO: (no name) - {D28B83C5-B287-4137-B2B4-C076519B737D} - C:\WINDOWS\system32\vturp.dll
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [VX1000] C:\WINDOWS\vVX1000.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programmi\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [Uniblue RegistryBooster2] C:\Programmi\Uniblue\RegistryBooster 2\RegistryBooster.exe /S
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O11 - Options group: [INTERNATIONAL] International*
O11 - Options group: [TABS] Tabbed Browsing
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{D773CD2E-B031-4D96-B7CE-670D41A9F31E}: NameServer = 208.67.222.222,208.67.220.220
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: hggfgge - C:\WINDOWS\SYSTEM32\hggfgge.dll
O20 - Winlogon Notify: vturp - C:\WINDOWS\system32\vturp.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\wpdshserviceobj.dll
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe

Come dicevo poco fa, le voci contrassegnate da 02, ed 020, non compaiono se faccio lo scan da modalita' provvisoria.
Concludo dicendo che dopo la "provvisoria sistemazione" di prima, non ho fatto altro che disinstallare tool dei quali non avevo piu' bisogno, come pulitori di registro ed altri piccoli programmi.
Che faccio?
La situazione e' uguale a prima....Naturalmente, anche adesso se voglio esplorare le risorse, il processo explorer si chiude.
Non so piu' dove sbatter la testa. :muro:

Aggiungo anche che ora il "tentativo di intrusione" segnalato non riguarda piu' soltanto winlogon, ma ce n'e' un altro sempre riferito a winlogon, ma da parte di svchost:

Dettagli tecnici tentativo di intrusione:

Applicazione injector: C:\WINDOWS\system32\svchost.exe
Descrizione: Generic Host Process for Win32 Services
Versione file: 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)
Nome prodotto: Microsoft® Windows® Operating System
Versione prodotto: 5.1.2600.2180
Creato: 2004/8/19, 13:39:46
Modificato: 2004/8/19, 13:39:46
Ultimo accesso: 2007/6/9, 17:38:39

Applicazione di destinazione: \??\C:\WINDOWS\system32\winlogon.exe
Descrizione: winlogon
Versione file:
Nome prodotto:
Versione prodotto:
Creato: N/A
Modificato: N/A
Ultimo accesso: N/A

Indirizzo injection: 0x7C801D77

Che cosa posso farci?

[ercolino]

Prova a farlo in modalità normale cosi le riesci a selezionare,se sei fortunato si dovrebbero eliminare lo stesso ;)

O2 - BHO: (no name) - {8A61098D-612B-4EF2-943D-64E920684061} - C:\WINDOWS\system32\hggfgge.dll
O2 - BHO: (no name) - {D28B83C5-B287-4137-B2B4-C076519B737D} - C:\WINDOWS\system32\vturp.dll

O20 - Winlogon Notify: hggfgge - C:\WINDOWS\SYSTEM32\hggfgge.dll
O20 - Winlogon Notify: vturp - C:\WINDOWS\system32\vturp.dll

Cancella anche il contenuto della cartella Temp in c:windows/temp e cancella i cookies ed i file temporanei di I.E



Usa Firefox al posto di quel cesso di I.E ;)

[Superbia]

Uso firefox. :)

La situazione e' questa.
Dopo 2 o 3 tentativi, sono riuscito a cancellare le voci dalla modalita' normale, senza avviarlo in provvisoria.
Questo l'ho verificato perche' alla successiva scansione, non rilevava appunto quelle 3 o 4 righe.
Riavvio.
Stessa situazione: devo avviare explorer manualmente, e quando faccio lo scan quelle 4 righe ricompaiono!!!

:muro: :muro: :muro:

tra l'altro in temp c'e' un file che non mi fa cancellare (nemmeno da dos) che si chiama Perflib_Perfdata_4ec.dat
UPDATE: L'ho cancellato...ma pare ricrearsi...

[ercolino]

Prova a fare una scansione On-line

Qui (http://www.trendsecure.com/portal/en-US/free_security_tools/housecall_free_scan.php)

[Superbia]

Guarda lo scan online non me lo fa, pero' ho fatto una scansione con spybot e mi ha trovato vitumonde e un'altra cosa...

http://img509.imageshack.us/img509/1226/immaginese1.jpg

Dici che la causa di tutto e' virtumonde?
Grazie ancora dell'aiuto...Ti devo qualcosa :D

[ercolino]

Elimina quello che ti ha rilevato,visto che poi alla fine sono questi

O2 - BHO: (no name) - {D28B83C5-B287-4137-B2B4-C076519B737D} - C:\WINDOWS\system32\vturp.dll

O20 - Winlogon Notify: vturp - C:\WINDOWS\system32\vturp.dll

;)

[xcdegasp]

non credo proprio sia solo quella dll la causa dei tuoi mali :)

esempio:
C:\WINDOWS\vVX1000.exe
O4 - HKLM\..\Run: [VX1000] C:\WINDOWS\vVX1000.exe

una passara con a2-squared-free ripulirebbe tutto in facilità, ma la stessa cosa si può fare manualmente..

altre voci da fixare:
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)

O17 - HKLM\System\CCS\Services\Tcpip\..\{D773CD2E-B031-4D96-B7CE-670D41A9F31E}: NameServer = 208.67.222.222,208.67.220.220
che stranamente corrispondono a:
OrgName: Freedom Networks LLC
Country: US
NetRange: 208.67.216.0 - 208.67.223.255

:)

[Superbia]

Dunque....Il punto:
Sono riuscito ad eliminare quell'odioso virus di virtumonde, tramite un'apposita procedura.
Ora sono messo cosi' :

Logfile of HijackThis v1.99.1
Scan saved at 21.16.47, on 09/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16441)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\stsystra.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Programmi\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Alessandro\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programmi\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [Uniblue RegistryBooster2] C:\Programmi\Uniblue\RegistryBooster 2\RegistryBooster.exe /S
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O11 - Options group: [INTERNATIONAL] International*
O11 - Options group: [TABS] Tabbed Browsing
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\wpdshserviceobj.dll
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe

Posso pulire ancora?

A proposito, che cos'e' quel VX1000 o simile???
Me lo chiedo da una vita...

[Tidus Strife]

C:\WINDOWS\vVX1000.exe
O4 - HKLM\..\Run: [VX1000] C:\WINDOWS\vVX1000.exe

Queste NON sono da fixare, corrispondono alla webcam Microsoft. Anche io ce l'ho, con la differenza che il mio è vVX3000.exe perché la webcam è 1 modello diverso. Mio zio ha anche lui una web Microsoft e ha il processo vVX6000.exe.

[wizard1993]

C:\WINDOWS\vVX1000.exe
O4 - HKLM\..\Run: [VX1000] C:\WINDOWS\vVX1000.exe

Queste NON sono da fixare, corrispondono alla webcam Microsoft. Anche io ce l'ho, con la differenza che il mio è vVX3000.exe perché la webcam è 1 modello diverso. Mio zio ha anche lui una web Microsoft e ha il processo vVX6000.exe.

ma visto che abbiamo stabilito che è vundo; a nessuno è venuto in mente di consigliare il fix?

[ercolino]

Il log ora è pulito ,ti ha già detto Tidus Strife cosa sono ;)

Non vanno eliminate

http://www.liutilities.com/products/wintaskspro/processlibrary/vvx1000/

[Superbia]

Troppo tardi. :D
Gia' fixato.
In ogni caso....
Cos'era quella storia dell'ip?
Cioe' l'ip che segnalava alla voce 017 corrisponde ad una societa' americana?

ma visto che abbiamo stabilito che è vundo; a nessuno è venuto in mente di consigliare il fix?

L' ho usato io, non ti preoccupare . :D

[ercolino]

Per caso come DNS stai usando quelli di OpenDNS?

[Superbia]

Infatti ci avevo pensato.
E' proprio quello. Nulla di anormale quindi.

Infatti quando ho cancellato le voci mi sono saltati i dns, che erano appunto quelli di open.
Rimessi...Tutto a posto. ;)

[ercolino]

Infatti ;)

Bene ora dovresti essere pulito ;)