[win XP] mmm.. penso sia un virus. Ma ho appena formattato!

[Utone]

ciao..
ho formattato il pc da pochi giorni...
ma ho un problema..
mentre navigo su internet ogni tanto, ormai spesso mi viene fuori questo errore: "Microsoft VisuaL C++ Runtime Library
Buffer overrun detected!
Program: C:\WINDOWS\explorer.exe
A buffer overrun has been detected which has corrupted the program’s internal state. The program cannot safely continue execution and must now be terminated."
poi si riavvia explorer (si togle la barra sotto e poi torna).
Poi si aprono delle pagine di pubblicità da sole...
come antivirus ho AVAST aggiornato... ho il service pack 2...
il pc è un dual core 2.8Ghz con 1gb di ram DDR2
secondo voi?

[murack83pa]

ciao

direi che nn abbiamo poco x poter formulare una soluzione ;)

segui queste direttive e vediamo di capirci qualkosa di piu:

1-Provvedi a svuotare del suo contenuto la cartella Prefetch procedendo in questa maniera:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● cerca, all’interno delle cartelle che verranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimini tutte le voci conservate al suo interno (mi raccomando, non eliminare la cartella)

2-Scarica CCLEANER: DOWNLOAD (http://download.piriform.com/ccsetup201.exe)
una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate, togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le voci comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia, clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Registro, spunta tutte le voci comprese nella sezione, clicca sul tasto Trova problemi ed avvia una scansione; al termine della scansione clicca sulla voce Ripara selezionati e prosegui


3-segui la guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737), esegui tutti i programmi indicati, e poi a fine scansione posta tutti i log

NB: il ripristino va tenuto disattivato, è fondamentale
questi programmi c permettono di avere uno screen completo dell'infezione del tuo pc (oltre che a debellare molte infezioni), x eventuali dubbi o problemi, chiedi pure

precisazioni sui programmi della guida (che devono essere lasciati lavorare in pace, nn fare nulla al pc nel frattempo) :

1-riguardo ESET ADS REVEALER, nn ti preoccupare dei nomi che compaiono a fine scansione, cancella tutte le voci, nn elimini alcuni file,ok?

2- ASQUARED è un ottimo programma antispyware, installalo, lo aggiorni, e poi fai la scansione in deep scan, ci impiegherà un bel po di tempo, ma è importante, e posta qui il log(il rapporto di scansione)

3-PREVX CSI è un tool di rilevamento malware, ma nn rimuove nulla, a fine scansione nn devi scaricare la versione a pagamento x la rimozione, nn chiudere il programma, e vai su options e poi save log x poter poi pubblicare qui il log

4-come scansione online fai quella con bitdefender (l'unica che rimuove i virus insieme a quella di f-secure):
http://www.bitdefender.com/scan8/ie.html

5-hijackthis, lo devi "installare" in una sua cartella che puoi creare anche sul desktop, poi a fine scansione,salva in formato .txt il log che ti apparirà e poi lo alleghi qui

5-gmer una volta avviato, lo lasci lavorare in pace (questo vale x tutti i programmi) e a fine scansione clicca sul pulsante copy e poi apri il blocco note e gli dici incolli, cosi salvi il file in formato .txt e lo posti qui

stai attento a come posti i log, guarda qui:

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:
1- se il relativo txt generato è max 20 kb, allegarlo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2- se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere caricato su FileUp (http://www.fileup.itadib.com/index.php), pubblicando, per ogni log, il link che verrà rilasciato per il download.
E' preferibile pubblicare i log in un unico post

[Utone]

grazie!
farò tutti i dovuti controlli e faro saepere...
è diventato inusabile...
stavo navigando e si sono iniziate ad aprire infinite pagine di Internet Explorer!

[Utone]

come faccio a prendere il log di ADS??

[murack83pa]

come faccio a prendere il log di ADS??

nn c'è bisogno del log: è sufficiente che fai la pulizia degli ads :)

se ti dà errore, continua con la guida

[Utone]

nn c'è bisogno del log: è sufficiente che fai la pulizia degli ads :)

se ti dà errore, continua con la guida

ok...
per ora sia BitDefender che CSI prefex non hanno rilevato virus...

[Chill-Out]

ok...
per ora sia BitDefender che CSI prefex non hanno rilevato virus...

magari se alleghi i log ci diamo un'occhiata ;)

[Utone]

una mi ha detto che non ha trovato virus. BitDefender mi sembra..
invece l altro mi ha dato il log ma diceva solo che non ci sono virus.
Appena arrivo a casa lo posto comunque. :)
Grazie per il supporto.

[Utone]

ecco un log...
in più ora si apre una finestrella nelle pagine web con scritto che il mio pc è affetta da malware...
naturalmente non ci ho cliccato..

[murack83pa]

allora: a noi c servono i log

quello che hai postato è un log vuoto di prevx csi,quindi devi fare una nuova scansione con prevx csi,a fine scansione vai su options e poi save log e posta qui il log

asquared l'hai fatto girare? tutto ciò che trova, lo metti in quarantena, e poi posta il log

hijackthis l'hai fatto girare? il log?

gmer?

posta questi log,x noi sono essenziali, nn avendo il pc di fronte......altrimenti nn concludiamo niente......:rolleyes:

[Utone]

eh lo so..
ma non ho l adsl e ci mette molto...
pian piano li faccio tutti...

[Utone]

il log se fai salva e poi lo apri funziona...
non so perchè aprendolo cosi non va...

[Utone]

ecco il log di hijackthis

[murack83pa]

il log se fai salva e poi lo apri funziona...
non so perchè aprendolo cosi non va...

il log di prevx csi dovrebbe indicate tutti i programmi che hai nel pc: nn ne indica neance uno.....rifai la scansione con prevx csi e posta il log....

ora leggo il log di hijackthis, intanto devi assolutamente aggiornare internet explorer, è fondamentale,anche se nn lo usi:
DOWNLOAD (http://www.microsoft.com/downloads/details.aspx?FamilyId=9AE91EBE-3385-447C-8A30-081805B2F90B&displaylang=it)

attendiamo gli altri log, senza fretta... ;)

[Utone]

okk...
intanto posto il log di gmer..

[murack83pa]

okk...
intanto posto il log di gmer..

io vado a nanna, i log li vedrò domani, eventualmente c sarà qualke socio che darà un occhiata al mio posto ;)

cmq dal log di gmer nn emerge nulla, mentre dal log di hijack emerge una pericolasa dll che poi elimineremo con avenger, prima voglio farti completare la procedura, poi si vedrà

ciao e buona notte, anche a chill :)

[Chill-Out]

Notte

[Utone]

eh..grazie!
siete proprio una squadra di pronto soccorso!!!

[murack83pa]

eh..grazie!
siete proprio una squadra di pronto soccorso!!!

poichè dal log di prevx csi nn c'è nulla: rifai la scansione con prevx csi

devi postare i seguenti log:

1-prevx csi

2-Asquared free

3-hijakcthis

4-il report della scansione online

[Utone]

ecco i log:

loq asquare http://www.fileup.itadib.com/download.php?id=dVZi1eLhueVXDz0tc1E6

log prevex CSI http://www.fileup.itadib.com/download.php?id=l6fKxAR6GMXfu1ydGaOg

e in allegato quello di hijackthis.

Tra poco quello online...

[murack83pa]

sei messo veramente male

nn sai quante schifezze ha il tuo pc: vundo,dropper,downloder,agent,adware....

finisci la scansione con bitdefender, salva il rapporto e postalo e attenti ulteriori istruzioni

con asquared che hai fatto? quello che ha trovato l'hai messo in quarantena o eliminato?

[Utone]

con asquare quelle che mi ha selezionato lui a fine scansione lo messo in quarantena...
con bitdefender continua a non trovare niente... e non so come salvare il log...

avast mentre navigo mi trova dei trojan abbastanza frequentemente

[murack83pa]

con asquare quelle che mi ha selezionato lui a fine scansione lo messo in quarantena...
con bitdefender continua a non trovare niente... e non so come salvare il log...

avast mentre navigo mi trova dei trojan abbastanza frequentemente

quando finisce, bitdefender ti chiederà se vuoi salvare il report...

[Utone]

mm.. no.
dice
0 Virus Found

[xcdegasp]

con asquare quelle che mi ha selezionato lui a fine scansione lo messo in quarantena...
con bitdefender continua a non trovare niente... e non so come salvare il log...

avast mentre navigo mi trova dei trojan abbastanza frequentemente

non capisco perchè non hai messo gli oggetti subito in quarantena e l'hai fatto dopo aver salvato il log...
ad ogni modo, prevx:


C:\WINDOWS\system32\vtuusst.dll

Loaded into: C:\WINDOWS\system32\winlogon.exe

Loaded into: C:\Programmi\ATI Technologies\ATI.ACE\cli.exe

Loaded into: C:\WINDOWS\explorer.exe

Loaded from: \REGISTRY\Machine\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{A051B1FF-8D7E-418B-AABE-4FF82F4280A2}

Loaded from: \REGISTRY\Machine\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\vtuusst\DllName vtuusst.dll

Loaded from: FILE

PX5: B9F887FF00BDE776962000713AD936004E7F24B6

MD5: 001ae1c8740dc2c03c0e49f4b8871de6

Determination: BAD

Malware Group: Generic.Malware


C:\WINDOWS\system32\jkhfc.dll

Loaded into: C:\WINDOWS\system32\lsass.exe

Loaded into: C:\WINDOWS\explorer.exe

Loaded from: \REGISTRY\Machine\System\CurrentControlSet\Control\Lsa\Authentication Packages msv1_0

Loaded from: FILE

PX5: 66FDFF1B0070815A1207059B9A7CE500B116494E

MD5: 2838dd4b7a384c73744cf3716c5eac80

Determination: BAD

Malware Group: Trojan.Vundo


C:\WINDOWS\mrofinu572.exe

Loaded into: C:\WINDOWS\mrofinu572.exe

Loaded into: C:\WINDOWS\mrofinu572.exe

Loaded from: \REGISTRY\Machine\Software\Microsoft\Windows\CurrentVersion\Run\runner1 C:\WINDOWS\mrofinu572.exe 61A847B5BBF728173599284503996897C881250221C8670836AC4FA7C88332017491394661A64DB7C8F0287E55E246220D9E728F9FC17D446BC57D5375FB0FB68AD6

Loaded from: FILE

PX5: 38EB80BC00F7BA9490F900EC5F53510031964629

MD5: 159f2750bfd31c901c39ddc12cd08124

Determination: BAD

Malware Group: TROJAN.DELF.BX


C:\WINDOWS\system32\efcyvtq.dll

Loaded from: FILE

PX5: B9F887FF00BDE776962000713AD936004E7F24B6

MD5: 001ae1c8740dc2c03c0e49f4b8871de6

Determination: BAD

Malware Group: Generic.Malware


C:\WINDOWS\b122.exe

Loaded from: FILE

PX5: 98380AF000974C27D213003F80A855001747B990

MD5: 4bb6976e12fe323f07df7c3f7d0759c8

Determination: BAD

Malware Group: TROJAN.AGENT.GEN


C:\WINDOWS\b128.exe

Loaded from: FILE

PX5: 3FA91A6900F1015A6C7603DEAB26D7004049A07C

MD5: c6eb7a4253c52fd27451835c3ffd6490

Determination: BAD

Malware Group: Trojan.Downloader


C:\WINDOWS\mrofinu1000106.exe

Loaded from: FILE

PX5: A54DD7A00059AC7A90F30063AD2E2D00A449C9A2

MD5: 59de387af0db77d2f9bf050dc13214d2

Determination: BAD

Malware Group: Dropper.Generic.THT


C:\Programmi\File comuni\Yazzle1560OinUninstaller.exe

Loaded from: FILE

PX5: 8A788724FCE73C2BA23E008FE14AC600EE5F781B

MD5: a85333bea2d2236d7368b09c27cf3fc9

Determination: BAD

Malware Group: Yazzle:Adware-a


C:\Programmi\Messenger Plus! Live\Scripts\HopperLive\HopperLive.dll

Loaded into: C:\Programmi\Windows Live\Messenger\msnmsgr.exe

PX5: 854AF4FF00106703863D01010ECC6700745249AA

MD5: c662af3eaa020f5039a52348457098e7

Determination: SUSPICIOUS


C:\Programmi\a-squared Free\engine.dll

Loaded into: C:\Programmi\a-squared Free\a2service.exe

PX5: A34A260880D25855940D024DE433C2000B3A5CEF

MD5: ae4b95af0267207658d63211bec8e806

Determination: SUSPICIOUS


C:\Programmi\Windows Live\Messenger\msgsres.dll

Loaded into: C:\Programmi\Windows Live\Messenger\msnmsgr.exe

PX5: D5FF046C002FE5ED12A426189731CD00B7B9DCB3

MD5: e0d87e1c5cc488474f36165ff00e0a61

Determination: SUSPICIOUS


C:\Documents and Settings\Medion\Desktop\Scaricare programmi.exe

Loaded from: FILE

PX5: 7146A439003A168E8620069CAA9C0500C72659E4

MD5: 67a9570d514ea0f6fdf2e0484f311234

Determination: SUSPICIOUS


niente male :D

[murack83pa]

mm.. no.
dice
0 Virus Found

mmmm......molto strano......

rifai una nuova scansione con prevx csi....e vediamo

[xcdegasp]

prova anche a fare un log con FindAWF (http://noahdfear.geekstogo.com/FindAWF.exe), ovviamente dopo aver rifatto un log di PrevxCSI come consigliato da murack83pa :)

[Utone]

ecco il nuovo log di prevex csi
http://www.fileup.itadib.com/download.php?id=R3uH43fWRrrEITBZpMWv

[Utone]

e quello di find AWF

[xcdegasp]

il log di prevx è praticamente identico al precedente...

[Utone]

il log di prevx è praticamente identico al precedente...

quindi?
cancello manualmente?

[xcdegasp]

a questo punto l'unica è agire direttamente a tamponare almeno la falda:
fixa subito:

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.medion.it/
O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu572.exe 61A847B5BBF728173599284503996897C881250221C8670836AC4FA7C88332017491394661A64DB7C8F0287E55E246220D9E728F9FC17D446BC57D5375FB0FB68AD6
O4 - HKLM\..\Run: [ATICCC] "C:\Programmi\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKCU\..\Run: [Insider] C:\Programmi\Insider\Insider.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_05\bin\npjpi150_05.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_05\bin\npjpi150_05.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.medion.it/

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab

O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124110401640

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1124114328140

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Programmi\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Programmi\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe

O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Programmi\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe



poi rifai un altra passata di a-squared, prevxCSI e gmer :)
già che ci sei disinstalla avast e metti "Avira Antivir Classic" o la PremiumEdition visti i 6 mesi gratis della promozione (costerebbe 20€ all'anno) :)
e collegati al sito http://secunia.com/software_inspector/ e fai scansinare online il tuo pc, poi aggiorna tutto il software che trova come absoleto ;)

[murack83pa]

quindi?
cancello manualmente?

significa che nn è possibile che bitdfender nn abbia trovato alcun virus....

è ancora presente vundo....

rifai nuovamente la scansione completa, dell'intero sistema con bitdefender, senza interromperlo e senza lavorare al pc...

[Utone]

a me viene fuori questa schermata con bit defender.
lo fatto e rifatto. provato a cambiare le impostazioni ma fa sempre cosi

[Utone]

a questo punto l'unica è agire direttamente a tamponare almeno la falda:
fixa subito:



poi rifai un altra passata di a-squared, prevxCSI e gmer :)
già che ci sei disinstalla avast e metti "Avira Antivir Classic" o la PremiumEdition visti i 6 mesi gratis della promozione (costerebbe 20€ all'anno) :)
e collegati al sito http://secunia.com/software_inspector/ e fai scansinare online il tuo pc, poi aggiorna tutto il software che trova come absoleto ;)

scusa, fixa vorrebbe dire?

[murack83pa]

riavvia hijackthis ( con tutti i programmi chiusi) rifai la scansione (clicca su do a system scan only) a fine scansione, selezioni le voci indicate e poi clicca sul pulsante fix (in basso)

[Utone]

scuasate ma tutto quello che mi state facendo fare porterà alla rimozione dei virus??
non posso eliminare quello che dicono i log e risolvo il problema?

[murack83pa]

scuasate ma tutto quello che mi state facendo fare porterà alla rimozione dei virus??
non posso eliminare quello che dicono i log e risolvo il problema?

hai fixato quelle voci?

posta un nuovo log

questa cosa di bitdefender nn mi convince: so x certo che bitdefender rileva quello che rileva prevx csi......

[Utone]

si fixato.... allegato il log

e qui quello di prevex http://www.fileup.itadib.com/download.php?id=AXSkib5pBOnPrwfLnXgL

[murack83pa]

prevx rileve sempre le stesse minaccie

rileggendolo bene ho visto cose molto strane:

C:\Documents and Settings\Medion\Desktop\Scaricare programmi.exe
Loaded from: FILE
PX5: 7146A439003A168E8620069CAA9C0500C72659E4
MD5: 67a9570d514ea0f6fdf2e0484f311234
Determination: SUSPICIOUS

C:\Programmi\Windows Media Player\wmplayer.exe
Loaded from: FILE
PX5: 074CB04200D1E6F320D5012DDDE82A006E9BAA43
MD5: d9f9aabd276640c6874c0c6b74a918da
Determination: SUSPICIOUS

segui la guida x la rimozione di vundo, vai qui:
http://www.hwupgrade.it/forum/showthread.php?t=1603273

seguila, attentamente, eseguendo i programmi indicati in quell'ordine e posta tutti i log

[Utone]

ok..
ora provo.. ma non ho capito questo passaggio
Vi verrà detto di inserire uno script in avenger. Per fare ciò:
Aprite avenger
Selezionate input script manually
Cliccate sulla lente d'ingrandimento
Incollare lo script che vi sarà fornito

[murack83pa]

quello dipende dalle indicazioni che ti daranno, il che dipende da cosa risulta dalle scansione dei primi programmi

x ora nn c pensera, c pensiamo dopo

[Utone]

fatto tutto in modalitaà provvisoria e nessun log ma eliminato qualche dll.
ora faccio quello che c'è da fare in modalità "normale".


ecco la nuova scansione di prevex
http://www.fileup.itadib.com/download.php?id=RelGOCYV3TiXGsFhEuSD

[Utone]

up

[murack83pa]

up


renv, combofix, vundofix e VirtumundoBeGone creano sicuramente dei log: xchè nn li hai postati?

a noi servono....

nella guida è indicato VirIt: installalo e fai la scansione e posta il log

al termine nuovo log di hijackthis

[Utone]

di VirtumundoBeGone nn c'è il link...
VundoFix mi ha fatto ul log praticamente vuoto...
c'era scritto solo la data e che non c'era niente.
gli altri hanno fatto solo la scanzione e eliminato qualche file.
ora scarico virit...

[xcdegasp]

il pc è tuo e sei tu difronte al monitor, noi non siamo ne' veggenti e nemmeno possediamo una palla di cristallo ;)

[Utone]

il pc è tuo e sei tu difronte al monitor, noi non siamo ne' veggenti e nemmeno possediamo una palla di cristallo ;)

non ho capito cosa volevi dire con questo...
comunque ecco la scansione con virit

[xcdegasp]

era per spiegarti perchè sono richiesti i log e perchè te li chiedessero..

[murack83pa]

non ho capito cosa volevi dire con questo...
comunque ecco la scansione con virit

posta il log di hijackthis e un altro log di prevx csi