[win XP] il maledetto non se ne và!!!! [Archivio]

View Full Version : [win XP] il maledetto non se ne và!!!!

mirco2034

22-01-2008, 19:23

Ho fatto tutte le procedure descritte nelle discussioni in rilievo ma il maledetto resiste!!! :cry:
Mi si aprono siti "strani" , si chiudono le finestre di Internet Explorer e ci sono soventi disconnessioni :muro: :muro: :muro:

Questo è il log di HijackThis

http://www.fileup.itadib.com/download.php?id=xRIOStLe5327nS8FNR1f

Questo è il log di BitDefender

http://www.fileup.itadib.com/download.php?id=sgUo8bMfp6p76iiIFa9h

Questo è il log di BitDefender HTML

http://www.fileup.itadib.com/download.php?id=I2eSsx7hjY2fwwIgdzY6

Questo è il log di Trend Micro

http://www.fileup.itadib.com/download.php?id=a9NPn2k0lEOvGcZWs96X

Questo è il log di Find AWF

http://www.fileup.itadib.com/download.php?id=DR3FRPyjfsuQsJnz1hDt

Questo è il log di Gmer

http://www.fileup.itadib.com/download.php?id=nqwkLJxNhkGFafRbReal

Questo è il log di SUPERAntiSpyware

http://www.fileup.itadib.com/download.php?id=m8hsP7sYAt9uuoRBmibX

Aggiungo inoltre che il virus si presenta nella cartella dei file temporanei "temp" con nomi sempre diversi ed eliminandolo ricompare sempre.
Ho notato che ho questo file sospetto nella cartella temp che riappare sempre (abc123.pid)

Chi sa aiutarmi?

murack83pa

22-01-2008, 19:30

ciao,
x favore modifica il tuo post, i log vanno caricati a scelta tra:
1)la funzione allegati, rinominando i log in formato txt
2)caricare il log su FileUp (http://www.fileup.itadib.com/index.php), copiando qui i link x il download
è preferibile l'ultima opzione

poi:
1-Provvedi a svuotare del suo contenuto la cartella Prefetch procedendo in questa maniera:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● cerca, all’interno delle cartelle che verranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimini tutte le voci conservate al suo interno (mi raccomando, non eliminare la cartella)

2-Scarica CCLEANER: DOWNLOAD (http://download.piriform.com/ccsetup201.exe)
una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate, togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le voci comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia, clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Registro, spunta tutte le voci comprese nella sezione, clicca sul tasto Trova problemi ed avvia una scansione; al termine della scansione clicca sulla voce Ripara selezionati e prosegui

3-segui la guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737), esegui tutti i programmi indicati, e poi a fine scansione posta tutti i log

questi programmi c permettono di avere uno screen completo dell'infezione del tuo pc (oltre che a debellare molte infezioni), x eventuali dubbi o problemi, chiedi pure

precisazioni sui programmi della guida: PREVX CSI è un tool di rilevamento malware, ma nn rimuove nulla, a fine scansione nn devi scaricare la versione a pagamento x la rimozione, chiudi la finestra di dialogo, nn chiudere il programma, e vai su options e poi save log x poter poi pubblicare qui il log (il rapporto di scansione)

come scansione online fai quella con bitdefender (l'unica che rimuove i virus insieme a quella di f-secure):
http://www.bitdefender.com/scan8/ie.html

riguardo infine ESET ADS REVEALER, nn ti preoccupare dei nomi che compaiono a fine scansione, cancella tutte le voci, nn elimini alcuni file,ok?

buon lavoro, ciao

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:
1- se il relativo txt generato è max 20 kb, allegarlo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2- se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere caricato su FileUp (http://www.fileup.itadib.com/index.php), pubblicando, per ogni log, il link che verrà rilasciato per il download.
E' preferibile pubblicare i log in un unico post

mirco2034

22-01-2008, 20:32

Ho modificato il post.
Ora stò facendo la scansione con BitDefender

Aggiungo che il maledetto tenta di dirottare il browser a questi siti: a.doginhispen.com e b.skitodayplease.com

murack83pa

22-01-2008, 20:33

Ho modificato il post.
Ora stò facendo la scansione con BitDefender

Aggiungo che il maledetto tenta di dirottare il browser a questi siti: a.doginhispen.com e b.skitodayplease.com

hai fatto preventivamente un po di pulizia?
mi raccomando: posta tutti i log separatamente in formato .txt in un unico post: cosi c agevoli ;)

buon lavoro
ciao

mirco2034

22-01-2008, 20:42

hai fatto preventivamente un po di pulizia?
mi raccomando: posta tutti i log separatamente in formato .txt in un unico post: cosi c agevoli ;)

buon lavoro
ciao

Si, ho pulito tutto.
Ho utilizzato i Ccleaner e ATF-Cleaner.
Fatto scansione online con TrendMicro.
Fatta scansione con Kaspersky da altro O.S.
Appena finisco con BitDefender posto il log nel primo post.

Grazie per l'aiuto :vicini:

lancetta

22-01-2008, 21:10

sembra lo zonebac:confused: posta anche un log di QUESTO TOOL (http://noahdfear.geekstogo.com/FindAWF.exe) lo avvii si aprirà un finestra dos che chiederà di digitare un tasto
qualunque,(anche invio)al termine, FindAWF ti proporrà un log aprendo una pagina del block notes,posta qui il risultato.

Riverside

22-01-2008, 21:29

Ho fatto tutte le procedure descritte nelle discussioni in rilievo ma il maledetto resiste!!!
Ed allora, cambiamo, totalmente procedura e vediamo cosa ne viene fuori:

PROCEDI IN QUESTO MODO:

WARNING: PROCEDURA NON STANDARD RISPETTO A QUELLA INDICATA SUL FORUM.

PRIMA DI PROCEDERE LEGGERE BENE LE SPECIFICHE RELATIVE AL SISTEMA OPERATIVO IN USO ED ALLA COMPTABILITA’ DEI RELATIVI SOFTWARE E TOOL

***************

Disattiva il Ripristino configurazione di sistema ovvero procedi in questa maniera:
● tasto destro del mouse sull'icona Risorse del Computer
● seleziona la voce Proprietà
● apri la scheda Ripristino configurazione di Sistema
● spunta la voce Disattiva ripristino configurazione di sistema
● conferma, la modifica, con Applica e, poi Ok
Il Ripristino configurazione di sistema deve essere tenuto disabilitato fino al completamento della procedura

Provvedi a svuotare del suo contenuto la cartella Prefetch procedendo in questa maniera:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● cerca, all’interno delle cartelle che verranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimini tutte le voci conservate al suo interno (mi raccomando, non eliminare la cartella)

IN BASE AL SISTEMA OPERATIVO IN USO, SCARICA ED INSTALLA:

● CCLEANER: clicca qui per il download (http://download.piriform.com/ccsetup201.exe)
Compatibilita: Windows XP e Windows Vista

● clicca sulla icona di Setup, si avvierà il Wizard di installazione
● durante l'installazione, tra le diverse opzioni, verrà, anche, richiesta l'installazione della Toolbar di Yahoo: togli la spunta alla relativa voce in maniera da non installarla
Una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● nel menu di sinistra portati alla voce Opzioni
● nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate e togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le voci comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia
● clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Registro
● spunta tutte le voci comprese nella sezione
● clicca sul tasto Trova problemi ed avvia una scansione
● al termine della scansione clicca sulla voce Ripara selezionati e prosegui

**********

● KASPERSKY VIRUS REMOVAL TOOL: clicca qui per il download (http://downloads5.kaspersky-labs.com/devbuilds/AVPTool/)
Compatibilita: Windows XP
scarica la versione del tool più aggiornata rispetto alla data ed ora di pubblicazione

● verrà creata una apposta cartella sul Desktop
● all’interno della cartella è presente la classica icona (una K) di Kapsersky
● clicca sull’icona per lanciare il tool
● imposta le aree che intendi scansionare (Startup Objects e Disk boot sector sono impostate di default)
● al termine della scansione sarà possibile rimuovere e/o mettere in quarantena i file infetti rilevati
salva il log che verrà rilasciato

Nota 1: ● Il tool è incompatibile se si hanno già prodotti Kaspersky installati
Nota 2: ● non possiede una funzione di aggiornamento automatico delle firme

PROCEDURA DI DISINSTALLAZIONE DI KASPERSKY VIRUS REMOVAL TOOL:

● clicca sull’icona per lanciare il tool
● nella finestra principale, in basso, clicca sulla voce Complete Virus Protection
● verrà visualizzato un messaggio: clicca su Ok
● chiudi la pagina web che verrà aperta
● nel messaggio successivo, clicca su SI per avviare la disinstallazione
● al termine, verrà richiesto di riavviare il P.C.
Si suggerisce di eseguire la disinstallazione, una volta risolto il probema

SE IL S.O. IN USO È WINDOWS VISTA, TENUTO CONTO CHE KASPERSKY VIRUS REMOVAL TOOL NON È COMPATIBILE:

● BITDEFENDER ONLINE SCANNER
Compatibilità: Windows XP e Windows VISTA

● esegui una scansione online da: clicca qui per lo scan online (http://www.bitdefender.com/scan8/ie.html)
● una volta aperta la pagina, clicca I AGREE
● ti farà scaricare ed installare un Activex: segui la procedura guidata.
salva il log ed il Report html che verrano rilasciati

**********

● TRENDMICRO ROOTKIT BOOSTER: clicca qui per il download (http://www.trendmicro.com/ftp/products/rootkitbuster/rootkitbusterv1.6.1060.zip)
Compatibilità: Windows XP

Devi creare una apposta Cartella sul Desktop ed al suo interno scompatta il file
● lancia il tool e clicca su Scan
● al termine della scansione ti verrà richiesto di salvare il log
● se venissero rilevati rootkit provvedi alla loro eliminazione
● verrà generato un log in una cartella denominata TRMBLog all'interno della cartella che hai precedentemente creato
salva il log che verrà rilasciato

SE IL S.O. IN USO È WINDOWS VISTA, TENUTO CONTO CHE TRENDMICRO ROOTKIT BOOSTER NON È COMPATIBILE:

● GMER: clicca qui per il download (http://www.gmer.net/gmer113.zip)
Utility Antirootkit in grado di rilevare molte informazioni nascoste di Windows
Compatibilità: Windows XP e Windows VISTA

● devi creare una apposta Cartella sul Desktop ed al suo interno scompatta il file
● avvialo per eseguire la scansione
salva il log che verrà rilasciato

**********

● SUPER ANTISPYWARE: clicca qui per il download (http://downloads2.superantispyware.com/downloads/SUPERAntiSpyware.exe)
Compatibilita: Windows XP e Windows Vista

Una volta installato, accedi al pannello Control Center, apri la sezione Scanning Control e spunta questi voci:

● Scan for tracking cookies
● Resolve link/Shortcuts during scan
● Scan Alternate Data Streams
● Use Kernel Direct File Access
● Use Kernel Direct Registry Access
● Display scan option in Explorer context
● conferma le impostazioni cliccando su Close, poi:

● clicca sulla voce Scan you Computer
nella finestra successiva:
● nel menu a sinistra nella sezione Scan Location spunta solo la voce C:\Fixed drive (NTFS)
● nel menu a destra, spunta la voce Perform Complete Scan
● clicca su Avanti e verrà avviata la scansione
● al termine della scansione avrai la possibilità di salvare il relativo log
salva ed allega il log che verrà rilasciato

TERMINATE LE SCANSIONI, SI SUGGERISCE DI RIAVVIARE IL SISTEMA

Infine, Installa HIJACKTHIS v.2.0.2:
● devi creare una apposta Cartella in C:/Programmi (chiamala HThis)
● scompatta, all'interno della cartella creata, il file Zip

pulisci, prima di tutto, gli eventuali ADS, quindi:
● lancia Hijackthis_v2
● clicca sulla voce Open the Misc Tool section
● clicca su Open ADS Spy
● togli la spunta alla voce Quick scan (Windows base folder only)
● lascia la spunta alla voce Ignore safe system info streams
● togli la spunta alla voce Calculate MD5 Checksum of streams
● clicca su Scan
● se venissero rilevati ADS spunta tutte le caselline e clicca su Remove Selected

rilancia Hijackthis_v2, clicca su Do a system scan and save a logfile
● una volta che è stata creata la list, clicca su Save Log
salva il log che verrà rilasciato

A questo punto, devi allegare, i seguenti log che hai salvato

● il log di KASPERSKY VIRUS REMOVAL TOOL
● il log ed il Report html di BITDEFENDER SCANNER ONLINE solo se il S.O. Windows VISTA
● TRENDMICRO ROOTKIT BOOSTER
● il log di GMER solo se il S.O. Windows VISTA
● il log di SUPER ANTISPYWARE
● il log di HIJACKTHIS

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

● se il relativo txt generato è max 20 kb, allegato alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
● se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere hostato su FileUP clicca qui per raggiungere FileUP (http://www.fileup.itadib.com/index.php), pubblicando, nella discussione, in unico post, singolarmente per ogni log, il link che verrà rilasciato per il download

mirco2034

22-01-2008, 21:48

Grazie per l'aiuto ragazzi :)

Ho aggiunto nel primo post il log di BitDefender.

Ricapitolando:
- KASPERSKY VIRUS REMOVAL TOOL va in conflitto con l'antivirus

- BITDEFENDER ONLINE SCANNER postato log

- TRENDMICRO ROOTKIT BOOSTER negativo

- SUPER ANTISPYWARE scansione effettuata

- PANDA ANTIROOTKIT scansione effettuata

mirco2034

22-01-2008, 21:56

Sto facendo la procedura con HIJACKTHIS v.2.0.2 per pulire gli ADS ma ho notato che ci sono tutti i siti della cartella preferiti e molti messaggi della posta elettronica ...
Che faccio :confused: devo eliminare tutto??

Riverside

22-01-2008, 22:00

mirco2034

22-01-2008, 22:30

Forse non ci siamo capiti: ti ho suggerito una procedura; vorrei vedere i log rilasciati dai tool indicati nella procedura (a parte, ovviamente, quello di Kaspersky).
I log non li richiediamo per sport ma, perché, ci servono per indivuduare, esattamente, la portata del problema; quindi, li devi allegare, tutti.
E, di Bitdefender, ti avevo chiesto di allegare sia il log che il Report html: dove è il secondo??

Ok, ho sistemato il primo post in modo che sia più chiaro.
Ho inserito tutti i log che mi sono stati chiesti, manca solo quello di SUPER ANTISPYWARE che non ho conservato :doh:
Ora rifaccio la scansione

Di nuovo grazie :)

mirco2034

22-01-2008, 22:49

Ok, ora ci sono tutti i log :)

Aggiungo due screen che possono rivelarsi utili

http://img147.imageshack.us/img147/3780/immaginegw8.th.jpg (http://img147.imageshack.us/my.php?image=immaginegw8.jpg)
Questa è una delle pagine web dove mi dirotta il virus

In quest'altro screen si vede l'azione dell'antivirus

http://img147.imageshack.us/img147/3955/immagine2bb1.th.jpg (http://img147.imageshack.us/my.php?image=immagine2bb1.jpg)

Chill-Out

22-01-2008, 23:10

il log di SuperAntiSpyware in formato .txt,grazie.

Chill-Out

22-01-2008, 23:17

Iniziamo per gradi intanto sistemiamo il problema delle disconnessioni:

Avenger
Scompattarlo, avviarlo, selezionare "Input script manually" e cliccare sulla lente d'ingrandimento. Nella nuova finestra, incollare lo script che ti indico cliccare sul pulsante "Done",cliccare sull'icona di semaforo verde rispondere "yes" 2 volte ;il pc dovrebbe riavviarsi da solo se così non fosse, riavvialro manualmente.
Al riavvio del sistema verrà visualizzato il log in c:\avenger.txt da allegare per il controllo http://swandog46.geekstogo.com/avenger.zip

Files to move:
C:\Programmi\Microsoft Xbox 360 Accessories\bak\XboxStat.exe | C:\Programmi\Microsoft Xbox 360 Accessories\XboxStat.exe
C:\WINDOWS\system32\bak\ctfmon.exe | C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\AMD\Dual-Core Optimizer\bak\amd_dc_opt.exe | C:\Programmi\AMD\Dual-Core Optimizer\amd_dc_opt.exe
C:\Programmi\Analog Devices\SoundMAX\bak\Smax4.exe | C:\Programmi\Analog Devices\SoundMAX\Smax4.exe
C:\Programmi\D-Link\AirPlus G\bak\AirGCFG.exe | C:\Programmi\D-Link\AirPlus G\AirGCFG.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\hpztsb09.exe | C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe

al termine nuovo log di FindAWF

mirco2034

22-01-2008, 23:18

il log di SuperAntiSpyware in formato .txt,grazie.

Fatto

mirco2034

22-01-2008, 23:26

Chill-Out

22-01-2008, 23:29

lancetta

22-01-2008, 23:33

e non dimenticare il findawf (importante)

mirco2034

22-01-2008, 23:37

Mirco ti ho chiesto il log di FindAWF ;) poi visto che ci siamo mi alleghi anche un log di Prevx CSI http://www.prevx.com/freescan.asp
dopo aver terminato la scansione cliccare su "Option - Save log", grazie.

e non dimenticare il findawf (importante)

Log findAWF inserito sopra
Sto facendo una confusione con tutti questi programmi :doh:

Ora arriva il log di Prevx CSI.
Scan in corso ...

Chill-Out

22-01-2008, 23:44

FindAWf è pulito attendiamo Prevx CSI

mirco2034

22-01-2008, 23:48

Log di Prevx CSI

http://www.fileup.itadib.com/download.php?id=cU4PjxFjgmAvrcVrJiS2

Chill-Out

23-01-2008, 00:00

Log di Prevx CSI

http://www.fileup.itadib.com/download.php?id=9RrtNb1ZcEzSdPx2BHJm

Mirco in formato .txt

mirco2034

23-01-2008, 00:10

Mirco in formato .txt

Scusa :muro:
Modificato

Riverside

23-01-2008, 00:27

Sto facendo una confusione con tutti questi programmi
Rilancia HThis e fixa questa voce:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://it.email.dada.net/cgi-bin/main.chm?changefolder=changefolder&mailfolder=i n&mlt_msgs=1

Riavvia il sistema e fai girare questi tool:
● MSNFIX TOOL: clicca qui per il download dal Sito ufficiale (http://sosvirus.changelog.fr/MSNFix.zip)
Compatibilita: Windows XP
In alternativa è possibile eseguire il download dal corrispondente Mirror
● MSNFIX TOOL: Mirror per il download (http://in.solit.us/archives/show/98990)

● scompatta il file Zip che hai, precedentemente posizionato sul Desktop (verrà creata una cartella)
● lancia MSNFix File batch
● digita I per impostare la lingua, e, premi invio
● digita R per cercare il malware
● digita N per eliminare ciò che trova
● digita A per creare il log da pubblicare
● digita R per ripulire il registro ed uscire
● digita Q per terminare MSNFix
All'interno della cartella posizionata sul Desktop, verranno creati un file Zip ed un log:
● provvedi a cestinare, solo il file Zip e ripulisci il cestino
salva ed allega il log che verrà rilasciato

Disinstalla, da Installazione Applicazioni, tutte le toolbar che trovi installate, dopodiché riavvia il sistema.

Ed allega, anche, un nuovo log di Hthis effettuato dopo il riavvio.

Il log di PRevX è pulito; Bitdefender ha fatto una strage:

http://img521.imageshack.us/img521/6780/28001150wf6.png

mirco2034

23-01-2008, 00:36

Ok, domani continuo ...
Per il momento grazie a tutti ;)

mirco2034

23-01-2008, 15:03

Eccoci quà!

Sembra che per il momento il Virus non si faccia vivo :)
Forse è stato eliminato da BitDefender.

Nel frattempo allego il log di MSNFIX

http://www.fileup.itadib.com/download.php?id=IyI0NFlxzBbuoID4bFGj

murack83pa

23-01-2008, 15:08

Chill-Out

23-01-2008, 15:16

Forse è stato eliminato da BitDefender. in parte si, ma non aveva visto l'Obfuscated

mirco2034

23-01-2008, 15:29

msn fix è pulito, attendiamo il log di hijackthis

ciao

Ecco il nuovo log di Hijackthis

http://www.fileup.itadib.com/download.php?id=0mUYtFXhUhfGEY5oCQby

Non ho disinstallato la toolbar di google poichè da installazione applicazioni non c'è la voce.
Se c'è bisogno la rimuovo dalla cartella programmi.

in parte si, ma non aveva visto l'Obfuscated

Cioè? :confused:

lancetta

23-01-2008, 15:46

Ecco il nuovo log di Hijackthis

http://www.fileup.itadib.com/download.php?id=0mUYtFXhUhfGEY5oCQby

Non ho disinstallato la toolbar di google poichè da installazione applicazioni non c'è la voce.
Se c'è bisogno la rimuovo dalla cartella programmi.

Cioè? :confused:

he! he! lo zonebac (il trojan che avevi) non è altro che una variante di "internet connection" leggi qui per capire http://www.hwupgrade.it/forum/showthread.php?t=1651594 che si faceva buona compagnia con altri malware
:D :D ;)
le toolbar le devi disinstallare da IE stesso (in proprietà "gestione componenti aggiuntivi" o qualcosa del genere")