[winxp] problemi popoup, zedo, virtumonde e dialer

[Sbaffini]

ciao ragazzi, vi chiedo aiuto prima di formattare.
sono un po' di giorni che quando mi collego ad internet mi si aprono dei popup fastidiosi di vari siti, zedo, ccleaner e altri.
mi appare ogni tanto un messaggio di windows che mi dice che il pc è infetto ed infine un altro di overrun system qualcosa che non ricordo bene
inoltre a volte quando succede tutto ciò, avast mi rileva un dialer.
ho cercato in giro e ho provato:
spybot, mi aveva rilevato dei cooky traccianti ed uno spyware che non ricordo, ora non me lo rileva più, ma il problema persiste
adaware, mi rileva una ventina di problemi li corregge ma niente.
ewido, stessa cosa.
panda on line, mi rileva il virtumonde ma non lo corregge.
ho provato allora il tool di rimozione fxvmonde, ho cancellato i file dll ed ora mi da anche una dll mancante quando riavvio, esattamente la xxbbclo.dll
ho provato anche il vundofix ma non trova nulla.

il tutto in modalità provvisoria e avendo disabilitato il ripristino del sistema.
ho provato anche una procedura manuale trovata non ricordo dove per eliminare virtumonde, ma quando cerco i file come indicato non mi trova niente.
sicuramente avrò fatto qualcos'altro che non ricordo, ma nella sostanza il risultato è sempre lo stesso.

vorrei evitare di formattare, quindi chiedo a voi se qualcuno può darmi una mano, io, nelle mie mooolto modeste capacità informatiche, non so più che fare.

[deneb87]

segui questa guida http://www.hwupgrade.it/forum/showthread.php?t=1599737 e allega tutti i log delle scansioni nell'ordine richiesto se vuoi che qualcuno ti possa aiutare

[murack83pa]

ciao sbaffini

in base a quello che hai detto, nn abbiamo log o report su cui basarci (la cosa sarebbe necessaria) dovresti essere infetto dal trojan vundo

vai in questo 3d:
GUIDA X LA RIMOZIONE DEL TROJAN VUNDO (http://www.hwupgrade.it/forum/showthread.php?t=1603273), segui le istruzioni a prima pagina (la procedura è un po complessa), stai attento a come posti i log, nella guida è indicato come, se nn c riesci dillo e attendi spiegazioni

ti devi spostare li in pratica, tutti i dubbi, problemi, log li devi postare qui
questo 3d sarà chiuso

ciao ciao

[Sbaffini]

sto facendo le scansioni come da guida, mi ci vuole un po'.
avevo valutato la possibilità di avere vundo, ed ho eseguito quasi tutte le scansioni indicate nel link da te indicato, ma non ho risolto.

[murack83pa]

chiedi li, ok? ;)

[Sbaffini]

scusa se insisto, ma credo di non essermi fatto capire, o forse non ho proprio capito io.
allora sto facendo le scansioni obbligatorie indicate nel forum, quelle "generali", non del vundo.
quelle del vundo le ho fatte qualche giorno fa quasi tutte senza seguire quella guida, ma non ho risolto.
te sei certo che sia vundo e devo comunque postare li i vari log?
grazie e scusa per l'insistenza

[Chill-Out]

Allega qui i log relativi alla Guida alla disinfezione, li analizziamo e decidiamo come procedere.

[Sbaffini]

ok grazie. appena finisco posto i log

[Sbaffini]

allora ho eseguito i primi tre passi e intanto allego questi log.

A-Squared Free v3.x
dopo aver messo i file in quarantena mi si è bloccato il pc con un messaggio di arresto del sistema autorizzato da nt authority\system:
c:\windows\system32\lsass.exe è terminato in modo non previsto con codice di stato 259. il sistema sarà chiuso e riavviato.

allego il log


prevx csi
mi ha trovato trojan vundo e lo spyware quake. 5 dll infette ecco il log (è lunghissimo...)



adesso allego il log di hijackthis , ma defvo fare la scansione on line, anche se ieri con panda mi aveva rilevato il virtumonde e mi sembra l'astakiller..


spero di aver fatto tutto bene. grazie in ogni caso

ops, scusate ho fatto un macello...

[murack83pa]

sbaffi: cancella i log, è illeggibile la discussione in questo modo

i log vanno postati cosi, scegliendo tra:
1)la funzione allegati, rinominando i log in formato txt
2)caricare il log su FileUp (http://www.fileup.itadib.com/index.php), copiando qui i link x il download
è preferibile l'ultima opzione

importante: vai al tuo precedente post, clicca su modifica e poi cancella tutti i log e li pubblichi come indicato

[Sbaffini]

ho qualche problema ad allegare i log.
sono veramente scarso, scusate. questo è quello di hijackthis
http://www.fileup.itadib.com/download.php?id=TVyTGqiTpDJyYLsb6Vcn

[murack83pa]

ho qualche problema ad allegare i log.
sono veramente scarso, scusate. questo è quello di hijackthis

utilizza la seconda opzione che ti ho indicato,ok?

edit: ho letto ora cosa hai scritto.....mamma mia come sei messo male.....vabe, aspettiamo tuttti i log
e nn ti preoccupare, risolveremo tutto con calma

[Sbaffini]

e questo è l'altro
http://www.fileup.itadib.com/download.php?id=HiHG4ENeG4ZyciOjnHsr

[Sbaffini]

ok grazie. immaginavo di avere un casino...

[murack83pa]

nella guida è indicato gmer: fallo girare

[Sbaffini]

adesso mi si apre ogni tanto una finestra di windows con scritto:

microsoft visualc++ runtime library
buffer overrun detected!

program: C:\windows\explorer.exe

a buffer overrun hs been detected which has corrupted the programs internal state. the program cannot safely continue execution and must now be termined.

...........
mi si apre ogni volta che vado su fileup

[Sbaffini]

gmer prima non me lo scaricava, non so perchè adesso sono riuscito e sto facendo lo scan

[murack83pa]

allora: ora è sicuro che sei infetto da vundo, xò quello che hai detto qualke post fa relativo all'errore nt system mi fa pensare ad un particolare rootkit....

vediamo di andare con ordine, fai girare gmer e riporta il log
x quanto riguarda vundo, tu hai detto che hai iniziato la guida, te la ripacitolo in somme linee x avere conferma che hai fatto le cose bene

1. il ripristino l'hai disattivato?
2. hai fatto girare rigorosamente in modalità provvissoria Renv, Vundofix, Fixvundo,VirtumundoBeGone, ComboFix ?
hai avuto qualke problema nell'esecuzione di questi programmi?


edit: io purtroppo devo scendere, e anche di corso, ti lascio agli esperti lancetta e chill, sicuramente piu competenti di me, a piu tardi, ciao

[Sbaffini]

queto è il log di gmer, non ci sono scritte in rosso

http://www.fileup.itadib.com/download.php?id=qM4hCnrhst14xm6AKZCA

[Sbaffini]

tutti gli scan li avevo effettuati in modalità provvisoria disabilitando il ripristino di sistema. non credo però di aver seguito nell'ordine tutti gli scan. comunque adesso li faccio.
mille grazie!
adesso faccio tutto e vediamo che succede

[Sbaffini]

allora ho fatto tutto. i pop up non sembrano apparire per ora però all'inizio virit mi rivela in esecuzione automatica la sstqn.dll. inoltre appena si apre windows non trova lksbxbwh.dll

comunque
1 renv non mi ha trovato niente
http://www.fileup.itadib.com/download.php?id=TnHHdAHHXBrpwN9JYX36

2 vundo fixun file .ini ed una dll che però adesso mi chiede quando accendo
il pc

3 fixvundo non ha trovato nulla
http://www.fileup.itadib.com/download.php?id=2lZ8MAEwc7gCnOWVCOLn

4 virtumundobegone allego il log
http://www.fileup.itadib.com/download.php?id=DzZemGjyw5Wd2NPm76h5

5 combofix mi ha eliminato un po' di dll file.ini ini2
http://www.fileup.itadib.com/download.php?id=YdYWfZxzBThyQaYelct4

6 prevx ha trovato il trojan vundo e lo spywarequake eliminando dei dll
http://www.fileup.itadib.com/download.php?id=wCdmOf6gnH1kaqIxP2C1

7 virit ha trovato 3 vundo.bt e 2 vundo.ch eliminandoli.
ha rilevato inltre in esecuzione automatica sstqn.dll la dll che avrebbe
dovuto eliminare sia virit che prevxcsi e non lo ha eliminato
http://www.fileup.itadib.com/download.php?id=0g7feetZHvS5Z9rEN6cx

8 log hijackthis
http://www.fileup.itadib.com/download.php?id=Hyr1PkNDXkbK328TB399

9 awf non ha fatto nulla
http://www.fileup.itadib.com/download.php?id=YNmgcA1E2uHwvehlwdP4

10 avenger mi manca lo script da inserire per fare lo scan


sembra proprio che i popup non si aprano, ma ogni tanto mi sparisce il desktop per qualche secondo come se stesse aggiornando e mi cambia l'ordine delle finestre sulla barra mettendo per prima quella che era aperta prima che sparisse il desktop.
forse mi sono spiegato male... comunque secondo voi come sto messo adesso?

[lancetta]

in hijackthis comincia a fixare questa in modo che non rompa più in avvio ;)

O4 - HKLM\..\Run: [f480f1f2] rundll32.exe "C:\WINDOWS\system32\lksbxbwh.dll",b

[Sbaffini]

ok, intanto ho fatto. grazie

[lancetta]

in avenger inserisci questo copiaincolla:
Files to delete:
C:\WINDOWS\system32\sstqn.dll
C:\WINDOWS\system32\scecli.dll
C:\WINDOWS\system32\nnnonmk.dll
C:\WINDOWS\system32\ssqpqpp.dll


seleziona "Input script manually" e clicca sulla lente d'ingrandimento. Nella nuova finestra, incolla lo script
clicca sul pulsante "Done",clicca sull'icona di semaforo verde rispondi "yes" ,il pc dovrebbe riavviarsi da solo se così non fosse, riavvialo manualmente.
Al riavvio del sistema verrà visualizzato il log in c:\avenger.txt e lo posti qui

non sò se ci sono ancora tutte ste dll poichè non ho guardato l'ordine di scansione che hai fatto..sembra solo che ti sia beccato tutte le varianti di vundo insieme:eek:
comunque fai lo script che vediamo il resto;)

[lancetta]

sto controllando gli altri log...sempre in avenger:

Files to delete:
C:\WINDOWS\system32\drivers\wjmvqgxxvcxl.sys

Regigistry key to delete:
HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{AAFB68E0-3DE4-43DF-9652-49BD01ACBBDB}

Poi nuovo log di hijackthis;)

[Sbaffini]

allora ho fatto come mi hai detto posto il log di avenger 1 e 2 per i 2 post. nel secondo post la seconda non mi funziona probabilmente sbaglio qualcosa (per intenderci questo:
Regigistry key to delete:
HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{AAFB68E0-3DE4-43DF-9652-49BD01ACBBDB}.)

posto anche il log di hijackthis nuovo

http://www.fileup.itadib.com/download.php?id=X20NVFX5XI6slZ079eYo

http://www.fileup.itadib.com/download.php?id=DbvhY4neba1uGp79brsv

http://www.fileup.itadib.com/download.php?id=bTgOhM4ffyMvmIPJbKgR

grazie comunque, potrebbe essere solo un'impressione ma mi sembra che il pc non andasse così bene da non so quanto tempo.

ah quasi dimenticavo dopo aver fatto avenger mi ha dato un errore con:
C:\dkhjvaux.bat

[lancetta]

allora ho fatto come mi hai detto posto il log di avenger 1 e 2 per i 2 post. nel secondo post la seconda non mi funziona probabilmente sbaglio qualcosa (per intenderci questo:
Regigistry key to delete:
HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{AAFB68E0-3DE4-43DF-9652-49BD01ACBBDB}.)

posto anche il log di hijackthis nuovo

http://www.fileup.itadib.com/download.php?id=X20NVFX5XI6slZ079eYo

http://www.fileup.itadib.com/download.php?id=DbvhY4neba1uGp79brsv

http://www.fileup.itadib.com/download.php?id=bTgOhM4ffyMvmIPJbKgR

grazie comunque, potrebbe essere solo un'impressione ma mi sembra che il pc non andasse così bene da non so quanto tempo.

ah quasi dimenticavo dopo aver fatto avenger mi ha dato un errore con:
C:\dkhjvaux.bat

tranquillo il registry key lo avevo inserito per sicurezza ;) che il pc vada meglio ne sono sicuro! te sei beccato Vundo con tutta la famiglia, compreso anche i generi e nuore con nipoti :asd:
Vorrei solo capire l'errore te lo ha fatto avenger o windows?

in hijackthis fixa :

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)


eppoi guarda chi c'è: :Prrr: :D :asd:

O2 - BHO: (no name) - {FE3CB1A7-348B-4AF5-8D58-D88FB5B1F2FF} - C:\WINDOWS\system32\sstqn.dll (file missing)
zompalo!!! e fagli pure :fuck:
Mi sento solo di dirti di cambiare Avast con Antivir che è migliore anche se in inglese ma di facile interpretazione e di mettere quantomeno un firewall di terze parti poichè quello di XP non è il massimo...;)

[Sbaffini]

ok fatto tutto, il bastardo l'ho seppellito, certo lo hai ammazzato te, ma è stata una bella soddisfazione lo stesso.
il pc va come una scheggia. che bellezza non mi pare vero!!!!

il problema era di windows, ma non me lo ha più rifatto ed ho riavviato almeno 3 volte.

adesso provvedo per virit e tolgo avast.
per il firewall adesso mi organizzo e vedo di mettere qualcosa di serio.
vabbè non voglio abusare della tua pazienza, grazie!!! questi giorni stavo impazzendo.

[Sbaffini]

olè olè!
non navigavo così da ... penso di non aver mai navigato così velocemente.:D

grande! grazie ancora!

[lancetta]

ok fatto tutto, il bastardo l'ho seppellito, certo lo hai ammazzato te, ma è stata una bella soddisfazione lo stesso.
il pc va come una scheggia. che bellezza non mi pare vero!!!!

il problema era di windows, ma non me lo ha più rifatto ed ho riavviato almeno 3 volte.

adesso provvedo per virit e tolgo avast.
per il firewall adesso mi organizzo e vedo di mettere qualcosa di serio.
vabbè non voglio abusare della tua pazienza, grazie!!! questi giorni stavo impazzendo.
:asd: :asd:
per le config di sicurezza http://www.hwupgrade.it/forum/showthread.php?t=1476319 chiedi qui e ti risponderanno ;)
olè olè!
non navigavo così da ... penso di non aver mai navigato così velocemente.:D

grande! grazie ancora!

prego! prego! :D

Saluti:cool:

[TeamMMR]

AIuto Anche io ho lo stesso problema.. come faccio a risolverlo... mi potete aiutare grazie

[murack83pa]

AIuto Anche io ho lo stesso problema.. come faccio a risolverlo... mi potete aiutare grazie

ciao,
in che senso stesso problema?
sei infetto da vundo?
quali sono i tuoi problemi nel dettaglio?

[TeamMMR]

gli stessi espressi nel primo messaggio di questa discussione pop-up che vengono explorer che si impalla rallentamenti di internet...

[murack83pa]

gli stessi espressi nel primo messaggio di questa discussione pop-up che vengono explorer che si impalla rallentamenti di internet...

il tuo è un problema piu generico, diverso da questo 3d, in quanto l'utente che ha aperto questo 3d presentava vundo, dialer e una finestra di windows che rilevava il sistema infetto, con un messaggio particolare

quindi, apri una nuova discussione, leggiti bene le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1589984) e segui la guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737)

c vediamo nel tuo 3d

ciao ciao