Trojan WIN32.Agent + altre schifezze su WINXP SP2:help! [Archivio]

Platoon

26-04-2008, 14:37

Vi chiedo cortesemente aiuto per debellare queste schifezze...
Ho eseguito passo passo la procedura di bonifica messa in evidenza,e cioè:

1)Log iniziale di Hijack:
http://www.zshare.net/download/1112848170345339/

2)Pulizia con CC Cleaner:tutto fixato come da indicazioni

3)Scan con ESET Ads:
http://www.zshare.net/download/11128501f22f9f55/

4)Scan con A squared:non ho log,ma ho fixato tutto come da indicazioni

5)Scan con PrevxCSI:mi segnala 16 files infetti
http://www.zshare.net/download/11128522e4e471ee/

6)Due scansioni online con antivirus.La prima con Panda (che si è bloccata dopo l'esito della scansione senza darmi log:mi ha trovato cmq 10 infetti e 3 sospetti), la seconda con virit:
http://www.zshare.net/download/111285543ea6e906/

7)Nuovo logo con Hijack e report voci in rosso:
http://www.zshare.net/download/11128558729c9e55/
http://www.zshare.net/image/111285720cbbd4d9/

8)Scan con Gmer:
http://www.zshare.net/download/1112858371c474bf/

Quest'ultimo mi segnala 4 rootkit in rosso,di questo tipo:
SSDT \??\C:windows\ydhqzop.sys ZWcreateKey (3 di questo tipo)
Service C:windows\ydhqzop.sys (***hidden***) [system]ydhqzop

Vi ringrazio per tutto l'aiuto che vorrete darmi...
Plat

murack83pa

26-04-2008, 15:16

per fortuna virit, tra le altre cose, ha segato il rustock...

per essere sicuro che nn c sia piu traccia:

Scarica Rustock Remova tool
http://www.uploads.ejvindh.net/rustbfix.exe

dopodichè disabilita l'antivirus ed esegui il rustbfix.exe...se trova l'infezione ti
chiederà di riavviare il pc
Probabilmente il computer si riavvierà due volte una dopo l'altra, è normale.

Dopodichè scarica RegRun Reanimator
url]http://greatis.com/reanimator.zip[/url]
Dezippa il contenuto della cartella Reanimator in una cartella dedicata e avvii il file reanimator.exe,
Clicchi su "Remove Rustock Rootkit"
Il programma ti chiederà di avviare l'utility "rootkit NO"...lo Avvii ti chiederà di riavviare il pc per rimuovere il rustock.
Dopo il riavvio, il Rustock sarà eliminato usando "Partizan" che è in RegRun Reanimator,
Alla fine del processo di rimozione si dovrà eliminare Partizan dal boot di windows, cliccando su Unistall Partizan.

posta i relativi log

riavvia il pc, fai una bella pulizia completa, anche del registro, con CCLEANER, nuovo log di PREVX CSI, nuovo log di GMER e nuovo log di HIJACKTHIS, a tal proposito, hai una versione vecchia di hijackthis, scarica quella nuova:
DONWLOAD (http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe)

prima disinstalla quella che hai, x fare ciò:
avvia hijackthis, clicca su Open The Misc Tool Section, poi scorri l'elenco in basso e premi su Uninstall Hijackthis

poi penseremo al resto....vediamo cosa c rimane...

PS: controlla di avere disabilitato il ripristino configurazione sistema

PSS: come si puo desumere da questo articolo (http://www.megalab.it/articoli.php?id=943) di megalab, è fondamentale tenere aggiornato il proprio windows, e già vedo che una versione obsoleta di internet explorer, un browser che a questo riguardo è cmq sconsigliato da megalab stesso...:rolleyes:

Platoon

26-04-2008, 15:21

Ho eseguito il tool di rimozione del rustock,non mi segnala nulla.
Da dove riparto?
Ti ringrazio

PS:sì,il ripristino config è disabilitato.
PSS:hai perfettamente ragione,infatti poi vorrei chiederti qualche info in merito.

murack83pa

26-04-2008, 15:32

Ho eseguito il tool di rimozione del rustock,non mi segnala nulla.
Da dove riparto?
Ti ringrazio

sarebbe utile e piu sicuro se postassi i log di entrambi i tool...

cmq incomincia a fare pulizia con ccleaner, scaricare la nuova versione di hijackthis e fare un nuovo log, nuovo log di prevx csi, nuovo log di gmer

Platoon

26-04-2008, 15:44

Platoon

26-04-2008, 15:46

Intanto ti indico il link del rustbfix,eseguito di nuovo
http://www.zshare.net/download/111308687474d939/

Ho anche eseguito CC cleaner e fixato tutto.
Ti linko anche il log di Hijack
http://www.zshare.net/download/111310445de624ab/

Sto eseguendo gli altri due nel frattempo.

Ecco il log Gmer
http://www.zshare.net/download/111314221106e71f/

Ecco infine il log di prevxcsi:
http://www.zshare.net/download/111315841032b3a4/

Ora segna 9 infetti contro i 16 di inizio thread

murack83pa

26-04-2008, 16:02

Scusa,ho qualche problema con la procedura di reanimator.
Ho seguito l'iter fino al punto in cui si chiede di riavviare.Dopodichè,al riavvio,schermata blu in cui entra in funzione il programma e ritorno al desktop.
Non ho ben capito cosa devo fare a questo punto con Partizan...
Scusami...:confused:

nn avendo rilevato il rustock, il programma si stoppa....

quindi devi solo riavviare nuovamente regrun reanimator e cliccare su uninstall partizan...

fai le nuove scansioni che ti ho chiesto...e posta i log

Platoon

26-04-2008, 16:08

Ok,ti ho postato tutto di sopra.
Grazie

murack83pa

26-04-2008, 16:20

1- scarica SDFix: DOWNLOAD (http://downloads.andymanchesta.com/RemovalTools/SDFix.exe)

Una volta scaricato,doppio click su SDFix.exe per lanciare l'installazione
Cliccate su Install (verrà creata una cartella alla radice dell'HD dal nome SDFix)
Finita l'installazione riavviate il sistema in modalità provvisoria

Una volta in modalità provvisoria, fate un doppio click sul file RunThis.bat
selezionate Y
premete INVIO per lanciare la pulizia.
Pazientate qualche attimo e il tool vi chiederà di premere un tasto per riavviare.
Al riavvio SDFix porterà a termine la procedura e visualizzerà un messaggio nel quale indica la fine della pulizia e l'opzione per visualizzare il log.

posta il log

2- riavvia il pc e scarica questo programma: DOWNLOAD (http://downloads5.kaspersky-labs.com/devbuilds/AVPTool/)

Installa KASPERSKY VIRUS REMOVAL TOOL
● verrà creata una apposta cartella sul Desktop
● all’interno della cartella è presente la classica icona (una K) di Kapsersky
● clicca sull’icona per lanciare il tool
● imposta le aree che intendi scansionare (Startup Objects e Disk boot sector sono impostate di default)
● al termine della scansione sarà possibile rimuovere e/o mettere in quarantena i file infetti rilevati
salva il log che verrà rilasciato e postalo qui

3- scarica TRENDMICRO ROOTKIT BOOSTER: DOWNLOAD (http://www.trendmicro.com/ftp/products/rootkitbuster/RootkitBuster2.2.1014.zip)
● scompattalo in una cartella dedicata (è un tool standalone)
● lancia il tool e clicca su Scan
● al termine della scansione ti verrà richiesto di salvare il log
● se venissero rilevati Rootkit provvedi alla loro eliminazione
● il log verrà salvato in una cartella denominata TRMBLog che trovi all'interno della cartella dedicata che hai precedentemente creato
● allega il log salvato

posta i log di questi programmi + nuovo log di hijackthis

Platoon

26-04-2008, 16:47

Ho eseguito il primo passo,ti posto il log.
http://www.zshare.net/download/1113288080dcb474/

Ora procedo con kasper.
Ho trovato vari file da scaricare:ho scaricato l'ultimo,quello più aggiornato,credo...

murack83pa

26-04-2008, 16:56

hai fatto bene, una cosa: nn tentare di disinstallare il tool di kaspersky..lo facciamo dopo, esiste una procedura particolare...

ciao

ps: il prox log caricalo su su FileUp (http://www.fileup.itadib.com/index.php), pubblicando il link che verrà rilasciato per il download

Platoon

26-04-2008, 19:41

Finalmente ho terminato con kasper:per sicurezza ho fatto una scansione globale.
Mi ha rilevato 9 infezioni,tutte rimosse.
Invio il log
http://www.fileup.itadib.com/download.php?id=AgimDAmU7rO9xUcphr7S

Ora procedo con TrendMicro.

murack83pa

26-04-2008, 19:44

asp: quello che ho linkato è una versione vecchia di rooktit buster

link alla nuova versione:
http://www.trendmicro.com/ftp/products/rootkitbuster/RootkitBuster2.2.1014.zip

Platoon

26-04-2008, 19:49

Ok,cmq è negativo per entrambi.
Ti linko il log:
http://www.fileup.itadib.com/download.php?id=neGF4FapjSVGOkDm82pQ

Ecco anche il log Hijack
http://www.fileup.itadib.com/download.php?id=Rpq3MyfXoagbE00TerAd

murack83pa

26-04-2008, 20:03

allora

per prima cosa, ti chiedo: conosci questo software?
C:\Programmi\Svconr\Svconr.exe

per si e per no prendi questo file: svconr.exe e lo fai analizzare su www.virustotal.com e posta qui il link del rapporto

poi,riavvia il pc e segui le seguenti istruzioni per rimuovere il vundo:
http://www.hwupgrade.it/forum/showthread.php?t=1603273

servono tutti i log dei programmi
VirtumundoBeGone (il link del download manca :D ): DOWNLOAD (http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe)

fermati al punto 5, ovvero rifammi un nuovo log di prevx csi e nuovo log di hijackthis

buon lavoro :)

Platoon

26-04-2008, 20:12

No,quel file non lo conosco.
L'ho fatto analizzare,pare un trojan.
Ti allego il link:
http://www.virustotal.com/it/analisis/a0b5c9cb57613dc4967d23ee6961c16b

murack83pa

26-04-2008, 20:20

ok, per ora segui quella guida x la rimozione del vundo

poi penseremo a quel programma...

io sto uscendo, c leggiamo domani mattina, spero con tutti i log e senza problemi

buon lavoro e a domani :)

ciao

Platoon

26-04-2008, 20:24

Ok,ti ringrazio.
Anch'io esco,sono inchiodato al Pc dalle 10 del mattino...
Grazie ancora per la tua generosa disponibilità!
A domani.:)

Platoon

26-04-2008, 20:40

Ok,linko il log di RenV:negativo
http://www.fileup.itadib.com/download.php?id=E0xDEAYhoBVsDFHvM9pI

Ho eseguito anche VundoFix:negativo,ma non mi ha rilasciato alcun log.

murack83pa

26-04-2008, 20:51

sto aspettando un mio amico...continua a postare...al limite, ho visto c'è il mio socio lancetta in giro x il forum :D

Platoon

26-04-2008, 21:07

FixVundo ha trovato il trojan e l'ha cancellato.
Posto il log:
http://www.fileup.itadib.com/download.php?id=5IbwOlled4hPZUGY1LI3

Ecco il log di Virtumundo:negativo
http://www.fileup.itadib.com/download.php?id=CltpFkAEd5NYr77v4FJx

Ecco anche il log di Combofix:ha cancellato un paio di files.
http://www.fileup.itadib.com/download.php?id=f9hUGkSMWYQImiw4SuiE

Ecco il nuovo log di Prevxcsi:ora mi segnala solo un file infetto,proprio quell'eseguibile di cui parlavamo prima.
Segnalo,però,che continuano a comparirmi tre pop-up pubblicitari all'avvio di IE,gli stessi che compaiono dall'inizio dell'infezione.
http://www.fileup.itadib.com/download.php?id=cdOTCsaQ7BATawMvBkjz

Ecco,infine,il nuovo logo di Hijack:
http://www.fileup.itadib.com/download.php?id=yXy5nqLLNXHVxhUgnZq5

Aspetto i tuoi consigli!

Platoon

27-04-2008, 10:19

up!
Nel frattempo,ho fatta un'altra scansione con Virit:non trova file infetti,ma nella scansione della memoria mi dà due segnalazioni:posto il log complessivo di tutte le scansioni fatte da ieri.
http://www.fileup.itadib.com/download.php?id=874qXXSf7lRUqBb8deqH

murack83pa

27-04-2008, 11:47

allora, per prima cosa vedi se in Pannello di controllo --> installazione applicazioni è presente questo programma "Svconr" e lo disinstalli, se c riesci

in ogni caso seghiamo tutto con avenger, ovvero:
scarica avenger (forse devi disattivare momentaneamente l'antivirus)
DOWNLOAD (http://swandog46.geekstogo.com/avenger2/download.php)
Estrailo in una sua cartella dedicata in C: (nella stessa partizione in cui è presente il sistema operativo e non nel desktop), avvialo ed incolla il seguente script nel box bianco e clicca su "Execute":

folders to delete:
C:\Programmi\Svconr\

files to delete:
C:\Documents and Settings\Utente\Dati applicazioni\Microsoft\Windows\hehpslr.exe

dopodicchè rilancia hijackthis, clicca su do a system scan only e fixa le seguenti voci (se presenti):

O4 - HKCU\..\Run: [Svconr] C:\Programmi\Svconr\Svconr.exe
O4 - HKCU\..\Run: [SfKg6w] C:\Documents and Settings\Utente\Dati applicazioni\Microsoft\Windows\hehpslr.exe
O20 - Winlogon Notify: winwly32 - C:\WINDOWS\

riavvia il pc, pulizia completa con CCLEANER, fai un nuovo log con gmer, prevx csi e hijackthis e postali qui...

Platoon

27-04-2008, 11:51

Ciao!
Il programma sono riuscito a disinstallarlo.
Ora parto con avenger.

Ecco il log di avenger:
http://www.fileup.itadib.com/download.php?id=sH5BaDXqnttT1FEV0e68

Ecco il log di gmer:non ho voci in rosso
http://www.fileup.itadib.com/download.php?id=ICg3rSbQzBUA8iOVCaBk

Ecco il logo di PrevxCsi:finalmente scansione pulita.
http://www.fileup.itadib.com/download.php?id=I6Mz4zQKeSZ8AP60NM22

Ecco,infine,il log Hijack:
http://www.fileup.itadib.com/download.php?id=QY3KHvSspKy2CfQBjoFd

murack83pa

27-04-2008, 12:23

com è che vedo nel log di gmer voci riferita ad avira?

allora, forse nn me ne sono accorto prima, cmq rimediamo: due antivirus nella stessa macchina nn vanno....quindi ti consiglio di abbandonare completamente la suite della trust (mi sembra), sia perchè come antivirus avira è migliore, sia perchè come firewall ce ne sono assolutamente di migliori, gratuiti....

EDIT: dal precedente log di hijackthis nn c'era avira....perchè nn me lo dicevi che lo volevi installare?

Platoon

27-04-2008, 12:24

L'ho installato io:nel frattempo avevo iniziato a seguire i consigli per il post-trattamento trovato in un thread.
Ho fatto male?

murack83pa

27-04-2008, 12:32

allora, lascia stare gli altri 3d

per prima cosa facciamo cosi:

disinstalla la suite della trust, riavvia il pc e fai una pulizia del registro e del pc con CCLEANER

poi disinstalla virit, da installazione applicazioni, pulizia del registro con ccleaner e riavvia di nuovo il pc

poi ancora c'è una voce riferita a vundo e nn capisco come mai nn se ne sia andata...

attendi

un altra cosa: il tuo windows è aggiornato, giusto? nn è che sei fermo all'sp2?

murack83pa

27-04-2008, 12:35

dopo aver fatto le operazioni di prima, inserisci questo script in avenger, come prima

Registry keys to delete:
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winwly32

al riavvio del pc, procedi di nuovo ad una scansione con COMBOFIX e posta il log, posta un nuovo log di HIJACKTHIS

Platoon

27-04-2008, 12:40

Sì,ho ancora la SP2:devo installare ora la SP3?
Forse intendevi gli altri aggiornamenti:li ho installati sempre tutti,ma mi mancano gli ultimi per Office 2003 perchè mi dà problemi,oltre a quello per .Net framework SP 1.

murack83pa

27-04-2008, 12:47

Sì,ho ancora la SP2:devo installare ora la SP3?

no, mi riferisco al fatto se tu tieni costantemente aggiornato il tuo windows...

mediamente ogni mese la microsfot lascia gli aggiornamenti: tu li scarichi, vero?

cmq procedi a quanto detto sopra, con calma, ordine e senza fretta...dovremmo essere a buon punto

dopo aver eseguito le ultime operazioni, dimmi quali problemi riscontri..

Platoon

27-04-2008, 12:51

Ok,sto iniziando.
Ma non trovo la suite della Trust cui ti riferisci...:confused:

murack83pa

27-04-2008, 12:56

Ok,sto iniziando.
Ma non trovo la suite della Trust cui ti riferisci...:confused:

C:\Programmi\CA\CA Internet Security Suite\CA Anti-Virus

Platoon

27-04-2008, 13:08

Sono arrivato ad avenger:mi dice che lo script non è valido,poiché non inizia con un comando...

murack83pa

27-04-2008, 13:13

cancella lo script,chiudi il programma, lo riavviI e riscrivi lo script e riprova..

Platoon

27-04-2008, 13:15

Continua a darmi lo stesso problema...

murack83pa

27-04-2008, 13:17

l'antivirus è disattivato?

fammi un nuovo log di combofix e di hijackthis

Platoon

27-04-2008, 13:18

Sì,è disattivato.
Parto con combofix.
Ecco il log:
http://www.fileup.itadib.com/download.php?id=R7nUn8QH9ZtidGjxCPmw

Passo ad Hijack.
Ecco il log:noto che c'è ancora il file incriminato.
http://www.fileup.itadib.com/download.php?id=Dpbf9OAMIbuFnoET2Jtr

Platoon

27-04-2008, 13:47

Ho fatto un nuovo log combofix:
http://www.fileup.itadib.com/download.php?id=wC7QEnKLNPgwBW84NWPg

murack83pa

27-04-2008, 14:02

rifammi un nuovo log di hijackthis, nell 'ultimo c'è qualkosa che nn va....hai preso il precedente log? :mbe:

Platoon

27-04-2008, 14:05

Ti posto il nuovo log:
http://www.fileup.itadib.com/download.php?id=XCDRPjywKJEhHaVKIqyH

murack83pa

27-04-2008, 14:09

riprova con avenger, questa vecchia versione: download (http://swandog46.geekstogo.com/avenger.zip)

* Aprite avenger (disattiva avira)
* Selezionate input script manually
* Cliccate sulla lente d'ingrandimento
* Incollare lo script

files to delete:

C:\Documents and Settings\Utente\Dati applicazioni\Microsoft\Windows\hehpslr.exe

Registry keys to delete:

HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winwly32

* Cliccare su done
* Cliccare sul semaforo
* Rispondere sì 2 volte

al riavvio, posta il log di avenger

Platoon

27-04-2008, 14:12

Ma si tratta dello stesso avenger di prima:non trovo le opzioni che citi...

murack83pa

27-04-2008, 14:27

hai ragione, credevo fosse ancora valido il link del vecchio avenger...

riprova con il nuovo avenger, con avira disattivato e dimmi se va e posta il log di avenger

dopodicchè configura avira come da seguente guida:
http://www.hwupgrade.it/forum/showthread.php?t=1514684

e fai una scansione completa e posta il log

Platoon

27-04-2008, 14:33

Ok,questa volta avenger è partito:credo sia riuscito ad eliminare la directory.
Linko il log:
http://www.fileup.itadib.com/download.php?id=qkW92ZALQbFrrZb7U15m

Ora parto con avira,fortunatamente l'avevo già configurato.
Ci sentiamo tra una ventina di minuti...
Grazie ancora.

murack83pa

27-04-2008, 14:36

posta anche un nuovo log di hijackthis, però prima fai una pulizia di sistema e del registro con CCLEANER

Platoon

27-04-2008, 16:04

Alla faccia dei venti minuti...Sono ancora inchiodato su una cartella,mi sta passando file per file..Cmq sono al 75%,speriamo...

murack83pa

27-04-2008, 16:16

sii fiducioso...a piu tardi :)

Platoon

27-04-2008, 16:59

Finalmente la scansione è terminata:ecco il log
http://www.fileup.itadib.com/download.php?id=ZmOOGLhqbKfJLo6lDzSJ

Mi ha rilevato alcuni files,ma non trovo l'opzione per eliminarli o metterli in quarantena...
Ah ok,ho visto che li ha deletati in automatico.

Ora passo ad Hijack
Aspetta,il log che avevo messo è stato fatto prima di cccleaner. ora lo riposto
http://www.fileup.itadib.com/download.php?id=klLvtvwkJpAPeQq6dTI9

murack83pa

27-04-2008, 17:42

il ripristino configurazione sistema è disattivato?contralla...se nn lo è, disattivalo e riavvia il pc

fixa questa voce in hijackthis:
O20 - Winlogon Notify: winwly32 - C:\WINDOWS\

poi in avenger sta volta inserisci questo script:

files to delete:
C:\WINDOWS\winwly32.exe

Registry keys to delete:
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winwly32

al riavvia posta il log di avenger e un nuovo log di hijackthis

se nn è andato a buon fine, ti anticipo che dovrai far girare di nuovo i programmi per la rimozione del vundo...tutti e postare tutti i log, necesariamente...

purtroppola causa di questo accanimento è quella voce in winlogon, che si riferisce a vundo...

Platoon

27-04-2008, 17:50

Ecco il log di avenger:
http://www.fileup.itadib.com/download.php?id=30lCqsn3Pif6wkOlSbTF

Ed ecco quello di Hijack:
http://www.fileup.itadib.com/download.php?id=egXhGeYQIqGBHEczt89z

Purtroppo - per me - la voce infetta c'è ancora:quali programmi devo far girare?Solo i 4 tool o devo rifare tutta la procedura?

murack83pa

27-04-2008, 17:56

devi seguire nuovamente le istruzioni per la rimozione del vundo:
http://www.hwupgrade.it/forum/showthread.php?t=1603273

quindi esegui i 5 tool in modalità provvissoria (renv,VundoFix, FixVundo, VirtumundoBeGone, ComboFix)

poi in modalità normale fai una scansione con prevx csi e hijackthis e posta i log

fai anche una scansione con FINDAWF, punto 9 della guida e posta il log

controlla che il ripristino sia sempre disattivato

Platoon

27-04-2008, 18:53

Ok,ho fatto la scansione con tutti e 5 i tool:ti anticipo che nessuno ha rilevato il Vundo.
Ti linko i log:

RenV:
http://www.fileup.itadib.com/download.php?id=WSKrC8v3tg5RDuBfWvmk

VundoFix:
http://www.fileup.itadib.com/download.php?id=0ZTAzpuI7iQBD3DMsSgp

FixVundo:
http://www.fileup.itadib.com/download.php?id=gteEgz5koe6dlnLXNhfz

VBG:
http://www.fileup.itadib.com/download.php?id=kUvD5jyitW1uTicWCWGd

Combofix:
http://www.fileup.itadib.com/download.php?id=fbnRjemE6NDTUJZBMRST

Ora procedo con gli altri log.Prima,per sicurezza,faccio pulizia con CC cleaner.

Ecco il log di prevxcsi:pulito
http://www.fileup.itadib.com/download.php?id=BlpezEcWLcl62wIfGeAr

Ed ecco quello di hijack:c'è ancora il file....
http://www.fileup.itadib.com/download.php?id=g2Dptn0R3lTfj7ZAvV8c

Mi manca l'ultima scansione...ma sono frustrato.Avevo letto di un thread sulla persistenza del vundo:ci sono altre soluzioni da sperimentare?

Ecco il log di AWF:
http://www.fileup.itadib.com/download.php?id=oqx0wQ25RISxz7ZRyrak

murack83pa

27-04-2008, 19:24

posta uno start up list da hijachthis così:
Open the misc tools section->Generate start up list log,spuntando le 2 caselline al lato.

Platoon

27-04-2008, 19:25

Eccolo:
http://www.fileup.itadib.com/download.php?id=z1v53EKZQJjFtY7mxROx

murack83pa

27-04-2008, 19:51

senti, intanto fai cosi:

installati il nuovo internet explorer:
download (http://www.microsoft.com/downloads/details.aspx?FamilyId=9AE91EBE-3385-447C-8A30-081805B2F90B&displaylang=it)

dopodicchè disinstalla java da installazione applicazioni e poi procedi ad una pulizia del registro e del sistema con ccleaner

Provvedi a svuotare del suo contenuto la cartella Prefetch procedendo in questa maniera:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● cerca, all’interno delle cartelle che verranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimini tutte le voci conservate al suo interno (mi raccomando, non eliminare la cartella)

scaricati ed installati la nuova versione di java:
http://www.java.com/it/download/index.jsp

elimina i seguenti programmi:
renv,VundoFix, FixVundo, VirtumundoBeGone, Trend Micro rootkit booster

x il momento lasciamo Combofix

disinstalla Asquared e Spybot, fai una pulizia del sistema e del registro con ccleaner e riavvia il pc

poi scarica ed installati SUPER ANTISPYWARE: clicca qui per il download (http://downloads2.superantispyware.com/downloads/SUPERAntiSpyware.exe)

Una volta installato, avvialo e vai su Preferences, apri la sezione Scanning Control e spunta questi voci:

● Scan for tracking cookies
● Resolve link/Shortcuts during scan
● Scan Alternate Data Streams
● Use Kernel Direct File Access
● Use Kernel Direct Registry Access
● Display scan option in Explorer context
● conferma le impostazioni cliccando su Close, poi:

● clicca sulla voce Scan you Computer
nella finestra successiva:
● nel menu a sinistra nella sezione Scan Location spunta solo la voce C:\Fixed drive (NTFS)
● nel menu a destra, spunta la voce Perform Complete Scan
● clicca su Avanti e verrà avviata la scansione
● al termine della scansione avrai la possibilità di salvare il relativo log

salva ed allega il log che verrà rilasciato

per quella voce, cercherò di informarmi meglio

intanto che problemi presenti al pc?

Platoon

27-04-2008, 19:54

Inizio dal fondo:il pc non mi dà problemi.
Quei pop-up pubblicitari che mi comparivano originariamente sono scomparsi da questo primo pomeriggio circa.

Per I.E.:conviene installare la versione 7 oppure posso passare direttamente a FireFox?Non vorrei incasinare il sistema operativo ora che funziona.

wjmat

27-04-2008, 20:29

installallo comunque dato che ti può servire per gli aggiornamenti di windows, e poi passa subito a firefox ;)

Platoon

27-04-2008, 20:30

Ok,allora procedo con l'iter indicatomi.

Chill-Out

27-04-2008, 21:06

Spybot non serve un gran chè, ma A-Squared lo puoi tranquillamente lasciare ed utilizzare per le scansioni schedulate

Platoon

27-04-2008, 21:11

Ho eseguito tutta la procedura,sto attendendo l'esito della scansione con Super anti spy.
Nel frattempo,potreste consigliarmi su cosa installare per difendermi?
Ho letto un thread in proposito:
Ho già avira,settato come da guida.
Intendo passare subito a Firefox ed installare il firewall consigliato.
E poi?Seguo la guida o avete consigli?
Vi ringrazio

Platoon

27-04-2008, 21:30

Ecco il log della scansione:tutto pulito
http://www.fileup.itadib.com/download.php?id=whMP2tq1968Y0BoBWQd0

murack83pa

27-04-2008, 21:31

posta un nuovo log di prevx csi e di hijackthis x favore

@ chill:

O20 - Winlogon Notify: winwly32 - C:\WINDOWS\

io sta voce proprio nn la capisco...che ne pensi tu?

in sostanza rimane questa traccia di vundo....

Platoon

27-04-2008, 21:43

Ecco prevxcsi:
http://www.fileup.itadib.com/download.php?id=hS2csiExf1mwDcxqdV7B

Ed ecco Hijack:la voce c'è ancora.
http://www.fileup.itadib.com/download.php?id=KnE4kfoWbfwcBX8Dwn4Y

Chill-Out

27-04-2008, 21:48

Fai girare questo tool

http://swandog46.geekstogo.com/tools/l2m9xfix.exe

Platoon

27-04-2008, 21:57

Quale eseguibile devo lanciare?
RunThis.bat?
Il tool lo lancio in modalità normale o provvisoria?

murack83pa

27-04-2008, 21:58

già...look2me...mi mancava all'appello :muro:

Platoon

27-04-2008, 22:04

Scusate se insisto,mi chiarireste che file lanciare per favore?

murack83pa

27-04-2008, 22:05

Scusate se insisto,mi chiarireste che file lanciare per favore?

lo devi installare, poi clicca su RunThis.bat

poi pubblichi il log

potrebbe scomparire il desktop

Platoon

27-04-2008, 22:07

Non parte,dice che gira solo sotto Win 98 o ME

murack83pa

27-04-2008, 22:11

devi installare il programma in una sua cartella, devi avviare il file RunThis.bat

ti dovrebbe comparire una finestra dos...lo devi lasciare lavorare

poi dovresti rpendere il log dentro la sua cartella...

prova, eventualmente disattiva momentaneamente avira

Platoon

27-04-2008, 22:14

L'ho installato in una cartella dedicata,e disabilitato avira.
Ma genera sempre questo log:
Error! Unsupported OS or version mismatch.

Chill-Out

27-04-2008, 22:16

Fai girare questo, ho sbagliato io

http://majorgeeks.com/downloadget.php?id=4856&file=1&evp=63cd828a70fab4768b45d924716a2924

Platoon

27-04-2008, 22:23

L'ho fatto girare 2 volte,tutto pulito.
Non ha generato alcun log però.

Chill-Out

27-04-2008, 22:25

L'ho fatto girare 2 volte,tutto pulito.
Non ha generato alcun log però.

Allega un nuovo log di HijackThis, non ho seguito il Thread ma immagino tu abbia già provato a fixare questa 020

Platoon

27-04-2008, 22:32

Sì,ho provato a fixarlo.
Per fixarlo lo fixa,ma al successivo riavvio di Win ritorna.
Ti allego due log,prima e dopo il fix.
http://www.fileup.itadib.com/download.php?id=mIgtr6SopqVeFLdiDozj

http://www.fileup.itadib.com/download.php?id=BkNdQXx4aWAypsU8INO5

Chill-Out

27-04-2008, 22:33

Platoon

27-04-2008, 22:36

No,ora riavvio e te ne mando uno.

Chill-Out

27-04-2008, 22:37

No,ora riavvio e te ne mando uno.

Si insieme ad un log di Gmer

Platoon

27-04-2008, 22:41

Chill-Out

27-04-2008, 22:43

Aspetta,ho riavviato ed ora sembra pulito!:D
Me lo confermi?
Avevo provato a fare il log prima di utilizzare il tuo tool,e quindi immaginavo che l'effetto fosse il medesimo.
Ora però sembra tutto ok,nonostante non sia stato rilevato nulla...

http://www.fileup.itadib.com/download.php?id=2XehSJvxZEjeuhBhADis

Si è OK c'è una spegazione a tutto ciò ma non ho voglia di scivere una pappardella :D, senti per scrupolo mi allegheresti anche il log di Gmer chiesto sopra.

Platoon

27-04-2008, 22:51

Ok,ecco il log:
http://www.fileup.itadib.com/download.php?id=nZDzZmoncaocolgc9u3D

Chill-Out

27-04-2008, 23:01

A parte la sezione Registry che presente segni pregressi di infezioni diciamo che và bene. procedi così:

PROCEDURA DI DISINSTALLAZIONE DI KASPERSKY VIRUS REMOVAL TOOL:

● clicca sull’icona per lanciare il tool
● nella finestra principale, in basso, clicca sulla voce Complete Virus Protection
● verrà visualizzato un messaggio: clicca su Ok
● chiudi la pagina web che verrà aperta
● nel messaggio successivo, clicca su SI per avviare la disinstallazione
● al termine, verrà richiesto di riavviare il P.C.

Installa un Firewall software ti consiglio Online Armor qui http://www.hwupgrade.it/forum/showthread.php?t=1597881 trovi la guida su come utilizzarlo/configurarlo

Sostituisci IE con un browser alternativo più sicuro come Opera o Firefox se opti per Firefox installa le seguenti estensioni aggiuntive:
NoScript -> https://addons.mozilla.org/it/firefox/addon/722
Adblock Plus -> https://addons.mozilla.org/it/firefox/addon/1865
Finjan Securebrowsing -> https://addons.mozilla.org/it/firefox/addon/4892

Infine collegati a questo sito http://secunia.com/software_inspector/ per controllare che i software complementari siano aggiornati, eventuali versioni obsolete sono vulnerabili, quindi veicolo di infezioni

Ciao