PDA

View Full Version : virus msnsrve.exe

lupin87
05-09-2007, 15:12
Salve a tutti,oggi stavo lavorando tranquillamente quando ho instalalto un prog..ad un certo punto comodo mi ha chiesto di dare il permesso ad un file .TMP presente in documents and settings/Impostazioni locali/temp...sono andato in questa cartella e questo file non esisteva(Ho abilitato la visualizzazione dei file nascosti)...poi il processo di mozilla si avviava da solo ma non appriva la finestra del browser...ho provato a vedere su google ma non ho trovato risultati..ho riavviato ed è uscita una piccola finestra che diceva che stava caricando nel sistema una cosa che non ricordo bene ed era C:\WINDOWS\system32:msnsrve.exe...adesso penso di essere infetto da questo virus...che cosa devo fare?
Chill-Out
05-09-2007, 15:22
Log di HijackThis
lupin87
05-09-2007, 15:29
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16.29.27, on 05/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Comodo\Firewall\cmdagent.exe
C:\Programmi\Raxco\PerfectDisk\PDAgent.exe
C:\Programmi\Belkin\Belkin Power Management Software\RupsMon.exe
C:\Programmi\Comodo\Firewall\CPF.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Programmi\PeerGuardian2\pg2.exe
C:\Programmi\CursorXP\CursorXP.exe
C:\Programmi\RocketDock\RocketDock.exe
C:\Programmi\Belkin\Belkin Power Management Software\usbmate.exe
C:\Programmi\Weather Alarm Clock\WeatherAlarmClock.exe
C:\Programmi\Belkin\Belkin Power Management Software\Monw32.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Raxco\PerfectDisk\PDEngine.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\eMule\emule.exe
C:\WINDOWS\regedit.exe
D:\Roba condivisa\Programmi\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: (no name) - {B8A7839C-51E8-4067-ADA3-CA74BABC1976} - (no file)
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Programmi\Comodo\Firewall\CPF.exe" /background
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [StartCCC] C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PeerGuardian] C:\Programmi\PeerGuardian2\pg2.exe
O4 - HKCU\..\Run: [CursorXP] C:\Programmi\CursorXP\CursorXP.exe
O4 - HKCU\..\Run: [RocketDock] "C:\Programmi\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [WeatherAlarmClock] C:\Programmi\Weather Alarm Clock\WeatherAlarmClock.exe
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Rupsmon Daemon.lnk = ?
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Download with &DAP - C:\Programmi\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\Programmi\DAP\dapextie2.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: (no name) - {18955D47-882E-48fc-B903-A4BDD030E7FD} - (no file)
O9 - Extra 'Tools' menuitem: Barra degli strumenti GigaSize - {18955D47-882E-48fc-B903-A4BDD030E7FD} - (no file)
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C77DC83A-49E8-46E6-98AF-BD0DB1443D59}: NameServer = 85.37.17.49 85.38.28.91
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Programmi\Comodo\Firewall\cmdagent.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
O23 - Service: PDAgent - Raxco Software, Inc. - C:\Programmi\Raxco\PerfectDisk\PDAgent.exe
O23 - Service: PDEngine - Raxco Software, Inc. - C:\Programmi\Raxco\PerfectDisk\PDEngine.exe
O23 - Service: Rupsmon - Belkin - C:\Programmi\Belkin\Belkin Power Management Software\RupsMon.exe
O23 - Service: USBMate - Mega Corp. - C:\Programmi\Belkin\Belkin Power Management Software\usbmate.exe
O23 - Service: VideoAcceleratorEngine - Speedbit Ltd. - C:\PROGRA~1\SPEEDB~1\VideoAcceleratorEngine.exe

--
End of file - 7680 bytes
lupin87
05-09-2007, 15:33
mi ha messo anche questo file strano:oreans32.sys in c:\windows\system32\drivers..che ho appena eliminato
lupin87
05-09-2007, 15:42
mi sa che si è avviato un servizio..aiutooooo
Chill-Out
05-09-2007, 15:56
Il tuo Log sembra pulito a parte alcune voci inutili, scarica Panda Antirootkit da qui: http://research.pandasoftware.com/blogs/images/AntiRootkit.zip non necessita di installazione, lancialo, si dovrebbe aggiornare in automatico ed esegui una scansione.
lupin87
05-09-2007, 17:32
Il tuo Log sembra pulito a parte alcune voci inutili, scarica Panda Antirootkit da qui: http://research.pandasoftware.com/blogs/images/AntiRootkit.zip non necessita di installazione, lancialo, si dovrebbe aggiornare in automatico ed esegui una scansione.

grazie per avermi dato il programma..cmq ho fatto la scansione ed ha detto che non c è niente..:(
Riverside
05-09-2007, 17:50
Salve a tutti,oggi stavo lavorando tranquillamente quando ho instalalto un prog..ad un certo punto comodo mi ha chiesto di dare il permesso ad un file .
Ciao Lupin, qui trovi la procedura (http://www.hwupgrade.it/forum/showpost.php?p=18497184&postcount=3) da seguire per risolvere la questione.
Pubblica i log, nella sequenza che ho indicato (ovvero, prima quello di MSNFIX e, solo dopo averlo analizzato, quello di Hthis)
lupin87
06-09-2007, 06:58
questo è il log di msnfix:
MSNFix 1.489

C:\Documents and Settings\Ciccio\Desktop\MSNFix
Fix effettuato il 06/09/2007 - 7.57.10,07 By Ciccio
modalità normale

************************ Cercare i files presenti

Nessun files trovato

************************ Ricerca le cartelle presenti

Nessuna cartella trovata


************************ Files sospetti

/!\ questi files necessitano di un parere esperto prima di qualsiasi intervento

[C:\WINDOWS\system32\MA2_6.scr] 22F0E815F51E9C480440A638D9C0FFF2



------------------------------------------------------------------------
Auteur : !aur3n7 Contact: http://changelog.fr
------------------------------------------------------------------------

--------------------------------------------- END ---------------------------------------------
lupin87
06-09-2007, 08:08
ed ecco il nuovo log di hijack this...
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 9.07.22, on 06/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Comodo\Firewall\cmdagent.exe
C:\Programmi\Raxco\PerfectDisk\PDAgent.exe
C:\Programmi\Belkin\Belkin Power Management Software\RupsMon.exe
C:\Programmi\Comodo\Firewall\CPF.exe
C:\Programmi\Belkin\Belkin Power Management Software\usbmate.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Programmi\PeerGuardian2\pg2.exe
C:\Programmi\CursorXP\CursorXP.exe
C:\Programmi\RocketDock\RocketDock.exe
C:\Programmi\Weather Alarm Clock\WeatherAlarmClock.exe
C:\Programmi\Belkin\Belkin Power Management Software\Monw32.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Raxco\PerfectDisk\PDEngine.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\Mozilla Firefox\firefox.exe
D:\Roba condivisa\Programmi\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: (no name) - {B8A7839C-51E8-4067-ADA3-CA74BABC1976} - (no file)
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Programmi\Comodo\Firewall\CPF.exe" /background
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [StartCCC] C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PeerGuardian] C:\Programmi\PeerGuardian2\pg2.exe
O4 - HKCU\..\Run: [CursorXP] C:\Programmi\CursorXP\CursorXP.exe
O4 - HKCU\..\Run: [RocketDock] "C:\Programmi\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [WeatherAlarmClock] C:\Programmi\Weather Alarm Clock\WeatherAlarmClock.exe
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Rupsmon Daemon.lnk = ?
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Download with &DAP - C:\Programmi\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\Programmi\DAP\dapextie2.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: (no name) - {18955D47-882E-48fc-B903-A4BDD030E7FD} - (no file)
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C77DC83A-49E8-46E6-98AF-BD0DB1443D59}: NameServer = 151.99.125.1 151.99.0.100
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Programmi\Comodo\Firewall\cmdagent.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
O23 - Service: PDAgent - Raxco Software, Inc. - C:\Programmi\Raxco\PerfectDisk\PDAgent.exe
O23 - Service: PDEngine - Raxco Software, Inc. - C:\Programmi\Raxco\PerfectDisk\PDEngine.exe
O23 - Service: Rupsmon - Belkin - C:\Programmi\Belkin\Belkin Power Management Software\RupsMon.exe
O23 - Service: USBMate - Mega Corp. - C:\Programmi\Belkin\Belkin Power Management Software\usbmate.exe
O23 - Service: VideoAcceleratorEngine - Speedbit Ltd. - C:\PROGRA~1\SPEEDB~1\VideoAcceleratorEngine.exe

--
End of file - 7640 bytes
Chill-Out
06-09-2007, 08:19
Il Log è pulito. Domanda ma Comodo FW intercetta il processo msnsrve.exe che cerca di chiamare casa?
Riverside
06-09-2007, 09:26
questo è il log di msnfix
Questo screensaver non è legittimo (a meno che non lo abbia installato tu) quindi è da rimuovere:
[C:\WINDOWS\system32\MA2_6.scr] 22F0E815F51E9C480440A638D9C0FFF2

ed ecco il nuovo log di hijack this...
Queste, se vuoi, le puoi fixare:
O2 - BHO: (no name) - {B8A7839C-51E8-4067-ADA3-CA74BABC1976} - (no file)
O9 - Extra button: (no name) - {18955D47-882E-48fc-B903-A4BDD030E7FD} - (no file)

Una curiosità su questo:
C:\Programmi\Weather Alarm Clock\WeatherAlarmClock.exe
O4 - HKCU\..\Run: [WeatherAlarmClock] C:\Programmi\Weather Alarm Clock\WeatherAlarmClock.exe
Quel Weather Alarm Clock cosa è?

● esegui una scansione on-line da: Kaspersky online scanner (http://www.kaspersky.com/virusscanner)

● prendi in considerazione l'idea di sostituire Avast Antivirus
lupin87
06-09-2007, 09:41
Il Log è pulito. Domanda ma Comodo FW intercetta il processo msnsrve.exe che cerca di chiamare casa?

no..non lo intercetta questo processo(x dire la verità se faccio la ricerca di windows manco sta sull hdd)

Questo screensaver non è legittimo (a meno che non lo abbia installato tutto) quindi è da rimuovere:
[C:\WINDOWS\system32\MA2_6.scr] 22F0E815F51E9C480440A638D9C0FFF2

Lo screensaver l ho messo io...è pulito..tra l altro ieri si installò anche un driver strano di nome oreans32.sys che riusci ad eliminare dall hdd però le voci del registro di windows non si eliminavano..bho
stava scritto tutto qua
http://www.avira.com/it/threats/section/fulldetails/id_vir/2732/tr_spy.banker.boa.html
e qua
http://www.avira.com/it/threats/section/fulldetails/id_vir/3274/worm_aimbot.eq.html

weather alarm è un programmino che ti permette di sapere la temperatura della tua città
Chill-Out
06-09-2007, 09:55
Vediamo il responso della scansione online con Kaspersky. "oreans.sys" si trovava qui C:\Windows\System32\Drivers\oreans32.sys?
Riverside
06-09-2007, 09:56
Prova, anche, a far analizzare msnsrve.exe su virustotal (http://www.virustotal.com/it/) e vedi che risultato ottieni.
lupin87
06-09-2007, 09:57
Vediamo il responso della scansione online con Kaspersky

di cosa?
Riverside
06-09-2007, 10:00
di cosa?
Come di cosa?? :( rileggi il post n° 12 :read:
Chill-Out
06-09-2007, 10:00
Esegui una scansione online con Kaspersky come consigliato da Riverside.
lupin87
06-09-2007, 10:04
un attimo..con calma..msnsrve.exe l ho cercato con la ricerca di windows e non si trova.
ieri però quando riavviai prima di caricarsi il sistema caricò delle impostazioni di configurazione e mise questa strana scritta:C:\WINDOWS\system32:msnsrve.exe
(che sono i :?)
oreans32.sys stava in c:\windows\system32\drivers e l ho eliminato
lupin87
06-09-2007, 10:12
quando gli dico di installare il file .cab vuole il file 002e08d9.key..ma cos è?
GmG
06-09-2007, 10:16
un attimo..con calma..msnsrve.exe l ho cercato con la ricerca di windows e non si trova.
ieri però quando riavviai prima di caricarsi il sistema caricò delle impostazioni di configurazione e mise questa strana scritta:C:\WINDOWS\system32:msnsrve.exe
(che sono i :?)
oreans32.sys stava in c:\windows\system32\drivers e l ho eliminato

C:\WINDOWS\system32:msnsrve.exe

I : dopo System32 indicano che il file si trova in un ADS (Alternata Data Streams) e rende il file invisibile ad una normale ricerca.

Usa qesto tool per eliminare l' ADS.

http://www.hwupgrade.it/forum/showthread.php?t=1294909
lupin87
06-09-2007, 10:21
C:\WINDOWS\system32:msnsrve.exe

I : dopo System32 indicano che il file si trova in un ADS (Alternata Data Streams) e rende il file invisibile ad una normale ricerca.

Usa qesto tool per eliminare l' ADS.

http://www.hwupgrade.it/forum/showthread.php?t=1294909

ho trovato molte cose ma di msnsrve.exe non sta niente..ho fatto cleaner delle altre cose
lupin87
06-09-2007, 10:33
scusa ho detto una cavolata..quei cosi stavano
[Note]: C:\WINDOWS\system32 (:msnsrve:$DATA) => Size: 1680 => SHA1: 70C298785BF8A3E42793C13B51DDE54EE95CDE94
[Note]: C:\WINDOWS\system32 (:msnsrve.exe:$DATA) => Size: 967307 => SHA1: 5EF7D7D6D49EDB583FE7280EDB88EA55DD46CE77

questi li ho presi dal file log

ma adesso,dopo che ho eliminato questi ads,il problema è risolto?
Riverside
06-09-2007, 13:00
.....ma adesso,dopo che ho eliminato questi ads,il problema è risolto?
:( questo ce lo devi dire tu.
lupin87
06-09-2007, 15:07
:( questo ce lo devi dire tu.

sembrerebbe di si
lupin87
27-09-2007, 11:19
scusate ragà,per caso mi potreste dire un programma che rileva tutti i driver presenti nel mio sistema?A volte comodo mi da messaggi strani(ad esempio apro mozilla e il firewall dice che un istanza di mozilla ha chiamato mozilla,ma com è possibile se l ho aperto io!?)per driver intendo i driver software(ad esempio quando installo peerguradian quello è un driver software,non driver di periferiche)