[win XP] dialer e spyware

[chiara.sv]

ciao, ho fatto una scansione online con Panda e mi da questo risulitato:



Spyware:Cookie/YieldManager C:\Documents and Settings\xxx\Cookies\[email protected][1].txt
Spyware:Cookie/Atlas DMT C:\Documents and Settings\xxxxxx\Cookies\xxxxxxxx@atdmt[2].txt
Spyware:Cookie/Serving-sys C:\Documents and Settings\xxxxxxx\Cookies\[email protected][2].txt
Spyware:Cookie/Casalemedia C:\Documents and Settings\xxxxxxi\Cookies\xxxxxxx@casalemedia[1].txt
Spyware:Cookie/Doubleclick C:\Documents and Settings\xxxxxxxxi\Cookies\xxxxxxx@doubleclick[1].txt
Spyware:Cookie/Hitbox C:\Documents and Settings\xxxxxx\Cookies\[email protected][1].txt
Spyware:Cookie/Go Non Disinfettato C:\Documents and Settings\xxxxxxx\Cookies\xxxxxxxx@go[1].txt
Spyware:Cookie/Serving-sys C:\Documents and Settings\xxxxxxx\Cookies\xxxxxxxx@serving-sys[1].txt
Spyware:Cookie/Statcounter C:\Documents and Settings\xxxxxxx\Cookies\xxxxx@statcounter[1].txt
Spyware:Cookie/Tradedoubler C:\Documents and Settings\xxxxxx\Cookies\xxxxxx@tradedoubler[2].txt
Spyware:Cookie/Xiti C:\Documents and Settings\xxxxxx\Cookies\xxxxxx@xiti[1].txt
Dialer:Dialer.KXF C:\Documents and Settings\xxxxxxx\dupgveiq.exe
Dialer:Dialer.KXF C:\Documents and Settings\xxxxxxx\Impostazioni locali\Temp\biwptvzi.exe
Dialer:Dialer.KXF
C:\Documents and Settings\xxxxxxx\Impostazioni locali\Temp\jar_cache27136.tmp
Dialer:Dialer.KXF C:\Documents and Settings\xxxxxx\Impostazioni locali\Temp\jar_cache28290.tmp
Dialer:Dialer.KXF C:\Documents and Settings\xxxxxx\Impostazioni locali\Temp\jar_cache65483.tmp
Dialer:Dialer.KXF C:\Documents and Settings\xxxxxx\Impostazioni locali\Temp\jar_cache65484.tmp
Dialer:Dialer.KXF C:\Documents and Settings\xxxxxxx\Impostazioni locali\Temp\jar_cache65485.tmp
Dialer:Dialer.KXF
C:\Documents and Settings\xxxxxxx\Impostazioni locali\Temp\uusrrpob.exe
Dialer:Dialer.KXF
C:\Documents and Settings\xxxxxxxx\lwbzsbmu.exe
Dialer:Dialer.KXF C:\Documents and Settings\xxxxxxx\nqmkyqvc.exe
Dialer:Dialer.KXF
C:\Documents and Settings\xxxxxxx\pafevrcy.exe
Dialer:Dialer.KXF C:\Documents and Settings\xxxxxxxx\uylyuspn.exe
Spyware:Cookie/Atlas DMT C:\Programmi\Yahoo!\YPSR\Quarantine\ppq14B.tmp
Spyware:Cookie/Serving-sys NC:\Programmi\Yahoo!\YPSR\Quarantine\ppq14C.tmp
Spyware:Cookie/Serving-sys C:\Programmi\Yahoo!\YPSR\Quarantine\ppq14D.tmp
Spyware:Cookie/Atlas DMT C:\Programmi\Yahoo!\YPSR\Quarantine\ppq4E.tmp
Spyware:Cookie/Serving-sys C:\Programmi\Yahoo!\YPSR\Quarantine\ppq4F.tmp
Spyware:Cookie/Serving-sys C:\Programmi\Yahoo!\YPSR\Quarantine\ppq50.tmp

allego anche il log di hijackthis
qua risultano dei dialer... spero si possa risolvere!!ù
Grazie

[murack83pa]

ciao chiara,
x prima cosa fai un po di pulizia preliminare:

1-Provvedi a svuotare del suo contenuto la cartella Prefetch procedendo in questa maniera:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● cerca, all’interno delle cartelle che verranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimini tutte le voci conservate al suo interno (mi raccomando, non eliminare la cartella)


2-Scarica CCLEANER: DOWNLOAD (http://download.piriform.com/ccsetup201.exe)
una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate, togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le voci comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia, clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Registro, spunta tutte le voci comprese nella sezione, clicca sul tasto Trova problemi ed avvia una scansione; al termine della scansione clicca sulla voce Ripara selezionati e prosegui

3-scarica questo tool Findawf (http://noahdfear.geekstogo.com/FindAWF.exe)
Esegui FindAWF premendo il tasto 1 e successivamente posta il log che FindAWF stamperà su un file di testo alla fine della ricerca

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:
1- se il relativo txt generato è max 20 kb, allegarlo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2- se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere caricato su FileUp (http://www.fileup.itadib.com/index.php), pubblicando, per ogni log, il link che verrà rilasciato per il download.
E' preferibile pubblicare i log in un unico post

[chiara.sv]

ho fatto i primi 2 passaggi
ma il 3 credo non sia riuscito... comunque ho postato il log...

[xcdegasp]

con dati così insufficenti è impossibile trovare il problema al primo colpo e lo vedo un metodo troppo empirico e molto alla "Garibaldina" per proseguire in questa linea..

ti chiederei pertanto di seguire le indicazioni della Guida alla Disinfezione per Infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) che ci fa ottenere un ampio screenning della salute del tuo pc e della manuntenzione dello stesso.
Ti chiedo inoltre, presumo che tu abbia già avuto contatti con qualcuno se sei partita a razzo con PandaAntiRoootkit e HiJackThis, di descrivere pubblicamente in modo ampio il problema del tuo pc cosicchè possiamo meglio comprendere la situazione.

E' un po' come quando vai dal dottore di base, oltre a test scentifici di routine ti chiedere di illustrare il tuo problema e approfondisce con le domande... stessa cosa anche per disinfettare il pc ;)

[chiara.sv]

ciao,
non ho avuto contatti con nessuno..ho fatto una scansione online e mi è uscito quel risultato...
comunque ieri sera, dopo un riavvio, il pc continuava ad riavviarsi da solo...arrivava alla schermata windows ma poi da solo si riavviava... ho provato ad entrare in modalità provvisoria ma si è spento.

cosi sta mattina ho fatto un po' di scansioni online e il risultato è quello che ho postato sopra...

ora proverò a seguire la guida che mi hai gentilmente segnalato!!

[murack83pa]

.....

ho sperato che il problema fosse quello con la soluzione piu semplice....è stato un tentativo.....:p

mi permetto di dare delle precisazioni sulla guida:
PREVX CSI è un tool di rilevamento malware, ma nn rimuove nulla, a fine scansione nn devi scaricare la versione a pagamento x la rimozione, chiudi la finestra di dialogo, nn chiudere il programma, e vai su options e poi save log x poter poi pubblicare qui il log (il rapporto di scansione)

come scansione online fai quella con bitdefender (l'unica che rimuove i virus insieme a quella di f-secure):
http://www.bitdefender.com/scan8/ie.html

riguardo infine ESET ADS REVEALER, nn ti preoccupare dei nomi che compaiono a fine scansione, cancella tutte le voci, nn elimini alcuni file,ok?

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:
1- se il relativo txt generato è max 20 kb, allegarlo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2- se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere caricato su FileUp (http://www.fileup.itadib.com/index.php), pubblicando, per ogni log, il link che verrà rilasciato per il download.
E' preferibile pubblicare i log in un unico post

[xcdegasp]

non ti abituare a lavorare male ;)

[chiara.sv]

http://www.fileup.itadib.com/download.php?id=kFOm1ZUq4A7mBIvjopeI

http://www.fileup.itadib.com/download.php?id=T8NIq4e8uU4kJc02giMW


HiJackThis lho inserito nel primo post

con bitdefender non mi trova niente...

[xcdegasp]

prevxCSI è pulito ma manca quello di a-squared e un nuovo log di hijackthis e gmer..

cerca di venirci incontro facendo tutte le scansioni richieste perchè per noi è già difficile immagine il tuo pc per poter procedere, se poi dobbiamo anche inseguirti per farti fare tutto capisci bene che diventa un po' onersoso per tutti quanti...
come si dice: "fuori il dente fuori il dolore" :p

[chiara.sv]

http://www.fileup.itadib.com/download.php?id=nX7Nn5vKqgJtj28acwZO

http://www.fileup.itadib.com/download.php?id=xYYpUxUfhKpk1l4YUDGM

per a-squared sto provando, ma mi si blocca... ho provato a farlo ripartire + volte ma niente, devo modificare qualcosa?

[murack83pa]

se il mod è d'accordo, in alternativa ad Asquared free, utilizza SUPERANTISPYWARE: DOWNLOAD (http://downloads2.superantispyware.com/downloads/SUPERAntiSpyware.exe)

una volta installato, accedi al pannello Control Center, apri la sezione Scanning Control e spunta questi voci:

● Scan for tracking cookies
● Resolve link/Shortcuts during scan
● Scan Alternate Data Streams
● Use Kernel Direct File Access
● Use Kernel Direct Registry Access
● Display scan option in Explorer context
● conferma le impostazione cliccando su Close, poi:

● clicca sulla voce Scan you Computer
nella finestra successiva:
● nel menu a sinistra nella sezione Scan Location spunta solo la voce C:\Fixed drive (NTFS)
● nel menu a destra, spunta la voce Perform Complete Scan
● clicca su Avanti e verrà avviata la scansione
● al termine della scansione avrai la possibilità di salvare il relativo log
salva ed allega il log che verrà rilasciato

[chiara.sv]

grazie... ma ora a-squared è partito!!!! finalmenteee!

ora aspetto che finisca e poi posto il log...

grazie mille per l'interesse e l'aiuto!!

[xcdegasp]

http://www.fileup.itadib.com/download.php?id=nX7Nn5vKqgJtj28acwZO

http://www.fileup.itadib.com/download.php?id=xYYpUxUfhKpk1l4YUDGM

per a-squared sto provando, ma mi si blocca... ho provato a farlo ripartire + volte ma niente, devo modificare qualcosa?

prova via linea di comando come descritto nella guida:
http://www.hwupgrade.it/forum/showpost.php?p=19072773&postcount=31

basta che segui proprio la semplice descrizione :)


poi fai la scansione con SuperAntiSpyware così ne abbiamo due su cui poter raccogliere info preziose :)

[chiara.sv]

il super antispyware non m ha fatto il log...

m ha messo in quarantena un adware tracking cookie

[murack83pa]

ok, hai problemi? ti disconnette internet? ti si aprono pagine porno o altro del genere?

il log di hijackthis è pulito, devi solo rimuovere questa voce
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

[chiara.sv]

a volte m si disconnette interntet e come ho scritto prima ieri m è partito un ciclo di riavvii...

poi la scansione cn panda mi trova 5 dialer...

[murack83pa]

a volte m si disconnette interntet e come ho scritto prima ieri m è partito un ciclo di riavvii...

EDIT: sono rinc@gli@nit@, credevo fosse il log di superantispyware ....

[chiara.sv]

si l'ho postata.... due risposte + su

[murack83pa]

facciamo cosi:
clicca col pulsante destro su risorse del computer
vai sotto avanzate,
clicca su impostazione(sotto avvio e ripristino)
sotto errori di sistema, deseleziona la casella "riavvia automaticamente"

cosi la prox volta, se succede qualke errore di sistema, ti da qualke info in piu...con la classica schermata blu...

poi vai su pannello di controllo, strumenti di amminstrazione, visualizzatore eventi e controlla in sistema se c sono icone rosse....

se c sono molte icone rosse, dovresti eventualemte chiedere nella sezione windows xp....qui:
http://www.hwupgrade.it/forum/forumdisplay.php?f=33

di piu nn so aiutarti..sorry...

[chiara.sv]

ah ok...di icone rosse ne ho... magari chiedo in quella sezione
per il fatto di quei dialer.. niente??

[murack83pa]

ah ok...di icone rosse ne ho... magari chiedo in quella sezione
per il fatto di quei dialer.. niente??

tutti i programmi che hai utilizzato nn hanno rilevato alcun dialer....prevx, asquared, superantispyware,bitdefender.....
considera che molti di quei "dialer" si trovavano in cartelle ripulite poi da ccleaner....

a te spunta da qualke parte una connessione estranea? icone in risorse di rete? in connessioni?

[chiara.sv]

no ma se vedo in C:\Documents and Settings\xxxxxx\ trovo 5 icone che hanno un simbolo tipo connessione (un mondo cn un anello) nominate in modo strano tipo: pafevrcy, nqmkyqvc, dupgveiq, uylyuspn, lwbzsbmu

[lancetta]

no ma se vedo in C:\Documents and Settings\xxxxxx\ trovo 5 icone che hanno un simbolo tipo connessione (un mondo cn un anello) nominate in modo strano tipo: pafevrcy, nqmkyqvc, dupgveiq, uylyuspn, lwbzsbmu

Scarica questo toolCombofix (http://download.bleepingcomputer.com/sUBs/ComboFix.exe)
doppio click. Si aprirà una finestra blu ...attendi....dovrebbe apparirti un avviso che declina l'autore da ogni responsabilità.
seleziona 1 e premi ENTER per lanciare lo scan.
finito lo scan visualizzerà il log con i dettagli.
N.B. Durante l'operazione di scansione è importante non usare il PC,disconnessi dalla rete e attendere pazientemente la fine delle operazioni. posta il log;)

[Riverside]

Ciao Chiara: oltre a seguire il suggerimento di Lancetta:

Disattiva il Ripristino configurazione di sistema ovvero procedi in questa maniera:
● tasto destro del mouse sull'icona Risorse del Computer
● seleziona la voce Proprietà
● apri la scheda Ripristino configurazione di Sistema
● spunta la voce Disattiva ripristino configurazione di sistema
● conferma, la modifica, con Applica e, poi Ok
Il Ripristino configurazione di sistema deve essere tenuto disabilitato fino al completamento della procedura

Scarica ed installa, se non hai Kaspersky antivirus:

● KASPERSKY VIRUS REMOVAL TOOL: clicca qui per il download (http://downloads5.kaspersky-labs.com/devbuilds/AVPTool/)
Compatibilita: Windows XP
scarica la versione del tool più aggiornata rispetto alla data ed ora di pubblicazione

● verrà creata una apposta cartella sul Desktop
● all’interno della cartella è presente la classica icona (una K) di Kapsersky
● clicca sull’icona per lanciare il tool
● imposta le aree che intendi scansionare (Startup Objects e Disk boot sector sono impostate di default)
● al termine della scansione sarà possibile rimuovere e/o mettere in quarantena i file infetti rilevati
salva il log che verrà rilasciato

Nota 1: ● Il tool è incompatibile se si hanno già prodotti Kaspersky installati
Nota 2: ● non possiede una funzione di aggiornamento automatico delle firme

PROCEDURA DI DISINSTALLAZIONE DI KASPERSKY VIRUS REMOVAL TOOL:

● clicca sull’icona per lanciare il tool
● nella finestra principale, in basso, clicca sulla voce Complete Virus Protection
● verrà visualizzato un messaggio: clicca su Ok
● chiudi la pagina web che verrà aperta
● nel messaggio successivo, clicca su SI per avviare la disinstallazione
● al termine, verrà richiesto di riavviare il P.C.
Si suggerisce di eseguire la disinstallazione, una volta risolto il probema

Il log allegalo con le modalità già segnalate.

[chiara.sv]

dovrebbe aver fatto....
posto il log!

[lancetta]

dovrebbe aver fatto....
posto il log!

praticamente hai ancora il dialer..:muro:
la scansione con combo, chiara per favore, e posta il log così ho una idea in più per un eventuale script di cancellazione;)

[chiara.sv]

ma m diceva che li ha cancellati!!




con combo, quanto ci mette perchè ho provato ad avviarlo, ma non capisco se parte... la schermata sparisce...

[lancetta]

ma m diceva che li ha cancellati!!

elimina il log per favore anche per tua privacy ;)
il combo lo fai avviare, anche se spariscono le icone è normale lascialo fare il suo lavoro senza toccare nulla...pena il blocco del tool;)