knzpodmz popup

[Felinaccio]

Ieri il mio antivirus mi ha avvertito di una tentata connessione chiamata knzpodmz poi ho cliccato sui dettagli e c'era scritto google...Allora mi sono fidato e ho fatto consenti.
Dopo 1 minuto mi è uscita 1 finestra popup e dopo altre ancora..
Poi oggi è uscito ancora e ho fatto ancora consenti per verificare la mia teoria...
Chi mi dice che cos'è realmente??Comunque posso disabilitarlo...

[xcdegasp]

segui la semplice procedura descritta nella Guida alla Disinfezione per Infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737), rispettando l'ordine nel'esecuzione e pubblicando tutti i log usando uno dei metodi censiti nelle Regole di Sezione. :)

[Felinaccio]

Non c'è un modo più veloce??

[xcdegasp]

sì, nella guida c'è scritto anche il sistema più veloce è proprio dopo il passo di disabilitare il Ripristino di Sistema :)

[Felinaccio]

Non mi va più Fileup!!Mi dice: invalid file!!
Cosa faccio per postare il log??(è + grande di 25 kb)

[wjmat]

Ti rielenco brevemente le modalità di pubblicazione dei log
Se i log o le immagini (.JPG) non superano i 24Kb allegali tramite il comodo comando Gestisci allegati nelle Opzioni aggiuntive.
Clicca su Gestisci allegati -> si aprirà una finestra -> Click su Sfoglia -> seleziona il file da caricare -> Click su Carica -> sotto allegati correnti vedrai il tuo log caricato -> Chiudi la finestra
Altrimenti caricali su [wikisend.com] (http://wikisend.com/) o su [mediafire.com] (http://www.mediafire.com/index.php).
Una volta sul sito -> clicca su sfoglia -> seleziona il file da caricare -> poi invia o upload -> aspetta che venga caricato -> copia tutto il contenuto a fianco della della riga "Forum link nel primo caso oppure sotto "Sharing URL" nel secondo e lo incolli nella risposta della discussione.
Le immagini più grosse (es. nel caso di PrevX) salvale in JPG, essendo più leggere, e caricale su fileqube.com (http://fileqube.com) che permette di visualizzarle direttamente online.

[Felinaccio]

Ecco qello di a2free:
Clicca qui per scaricare (http://fileup.itadib.com/download.php?id=CfPP2qCIILyAJOO8gqWO)

[xcdegasp]

se conosci fileup dovresti essere pratico di questa sezione quindi mi attendo una maggiore collaborazione :)

[Felinaccio]

Si mi scuso ma l'ultima volta che ho fatto un salto sul forum è stato un bel po' di tempo fa e non mi ricordavo la precedura da fare con FileUp...Ma ora tutto ok...:D

Questo è il log di Dr.Web:http://www.mediafire.com/?34wtvimjnjn

[Felinaccio]

Ecco quello di ESET:Clicca qui per scaricare (http://www.fileup.itadib.com/download.php?id=KFSfVWSQqCduQIwbZOOc)

Quello di HiJackThis l'ho sistemato da solo...Comunque posto il log prima e quello dopo aver cancellato le cose pericolose e/o sconosciute

[xcdegasp]

manca la scansione web con f-secure, gmer e hijackthis e infine prevxcsi :)

drweb aveva rilevato qualcosa? riesci a modificare il file dilog affinchècontenga solo i file sospetti o identificati come maligni?

[Felinaccio]

Si aveva trovato 3 file sospetti... E li ho messi in quarantena...Però è riuscito a metterne solo uno..Non so perchè!
Uno lo ha eliminato...

Sono riuscito a metterli in un log però mi sa che ne manca uno che non mi ricordo...E' quello che ha cancellato

Di F-secure non ha trovato niente...

[Felinaccio]

Il log di hijack this dopo cancellazione

[Felinaccio]

Ecco il log di GMER:Clicca qui per scaricare (http://www.fileup.itadib.com/download.php?id=o5eT3sAKX5DQOm5dUW75)


Ma nella guida c'è scritto di segnarsi le voci che ci sono nella finestra di GMER e metterle nel thread...Ma bisogna mettere tutte le cose che ci sono scritte o solo alcune in particolare??Io le metto tutte...Poi se nn va bene ditemelo che le tolgo :D

[Felinaccio]

Non c'è nessuna in rosso..

[Felinaccio]

Ecco la stampa di Prevxcsi:http://imageup.itadib.com/thumbs/835998Prevxcsi.JPG (http://imageup.itadib.com/viewer.php?id=835998Prevxcsi.JPG)

[wjmat]

riedita l'ultimo post, non si incollano i log ;)
se devi fare segnalazioni solo quelle relatove alle voci in rosso
la pulizia con atfcleaner l'avevi fatta?

[wjmat]

Ecco la stampa di Prevxcsi:Clicca qui per scaricare (http://fileup.itadib.com/download.php?id=LcZMsVvZLKDSaN5TJXhc)
devi fare la foto allo schermo con il tasto stamp e poi incollare in paint, salvare in jpg e caricare su www.fileqube.com

[Felinaccio]

Perchè non mi mette il link della stampa di prevxcsi nel messaggio??

[wjmat]

ora si vede...
il log di f-secure?

[Felinaccio]

Si poi ce l'ho fatta con fileup..Ma con fileqube non me lo metteva

[Felinaccio]

Non l'ho salvato!!Che scemo

però non aveva trovato niente

[wjmat]

scarica Avenger da qui (http://swandog46.geekstogo.com/avenger.zip)
Lancialo -> Clicca Ok -> Incolla TUTTO il codice, che ti ho segnalato qui sotto, nel riquadro bianco del programma -> Clicca su Execute
Attendi riavvio del pc. Se non si riavvia da solo fallo manualmente.
Al riavvio verrà salvato un log di Avenger. Postalo per vedere se la procedura ha funzionato.

Files to delete:
c:\documents and settings\rino\impostazioni locali\dati applicazioni\knzpodmz.exe

[Felinaccio]

Eccolo

[wjmat]

il file incriminato dovrebbe essere sparito, nuovo log di hijackthis e di eset che facciamo l'ultimo controllo e le ottimizzazioni, intanto leggiti bene il trattamento che ho in firma per mettere in sicurezza il pc e rimuovere i tool utilizzati durante la disinfezione

[Felinaccio]

Questo è quello di ESET:
Clicca qui per scaricare (http://www.fileup.itadib.com/download.php?id=d1DcNNK6ekWB4n4wnTwH)

E in allegato c'è quello di hijackthis

[wjmat]

A me sembri pulito comincia a dare un'occhiata al trattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide.

Per scrupolo fai controllare questi files su www.virustotal.com e su http://virusscan.jotti.org/

c:\windows\system32\drivers\co_mon.sys
c:\documents and settings\rino\impostazioni locali\dati applicazioni\knzpodmz.exe
Per l'esito di virustotal a fine scansione copia l'indirizzo della pagina e incollalo nella discussione
Per l'esito di virusscan.jotti copia tutto il testo che c'è tra Scanner result e Powered by ► incollalo in un file di testo e allegalo.

[xcdegasp]

concordo :p

[wjmat]

concordo :p
sto imparando anche io a spulciare ahahahahah
gli prepari tu il fix che devo scappare ;)

[xcdegasp]

sto imparando anche io a spulciare ahahahahah
gli prepari tu il fix che devo scappare ;)

certo, aspetto soloi risultati di virustotal :)

[Felinaccio]

Co_Mon.sys:
http://www.virustotal.com/it/analisis/b5267a1f770d8240c65468e65f53abff


Ma l'altro non c'è più nella cartella!!

[Felinaccio]

Mentre leggevo la guida post disinfezione son andato sulla parte startup per togliere un po' di programmi dall'esecuzione automatica...
Vado su ccleaner -> strumenti -> avvio e tra le applicazioni che si avviano automaticamente c'è knzpodmz...Cosa ne devo fare??Eliminarlo o per adesso lasciarlo così??

[wjmat]

sarà qualche residuo... elimina pure
strano perchè avenger aveva rimosso il file e dal log seguente di eset lo si vede ancora...

[Felinaccio]

Quello di avenger l'ho fatto prima di hijackthis e eset come mi avete detto voi

[wjmat]

hai abilitato la visualizzazione file nascosti per cercare quel file?

[Felinaccio]

Di avenger??Non lo so..

[wjmat]

carica un nuovo log di eset che verifichiamo

[Felinaccio]

Eccolo:Clicca qui per scaricare (http://fileup.itadib.com/download.php?id=9bFkSJQzhzvQxWa2uS2N)

[wjmat]

mi sembra ok, carica quello di hijackthis che vediamo le ultime ottimizzazioni
Poi dai un'occhiata al trattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide.

[Felinaccio]

Eccolo

[wjmat]

disinstalla tutte lo toolbar inutili poi fixa queste
O4 - HKLM\..\Run: [Sunkist2k] C:\Programmi\Trust_CR-1200_16-in-1_USB2_CARD_READER\shwicon2k.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [NSLauncher] C:\Programmi\Nokia\Nokia Software Launcher\NSLauncher.exe /startup
O4 - HKLM\..\Run: [sclauncher] C:\Programmi\SimpleCenter\bin\win\sclauncher.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_06\bin\jusched.exe"
O4 - HKLM\..\Run: [LogMeIn GUI] "C:\Programmi\LogMeIn\x86\LogMeInSystray.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programmi\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [E08IXLRD_3097968] "C:\Programmi\Microsoft Encarta\Microsoft Encarta 2008 - Premium DVD\EDICT.EXE" -m
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programmi\Microsoft ActiveSync\Wcescomm.exe"
O16 - DPF: {0B79F48A-E8D6-11DB-9283-E25056D89593} (F-Secure Online Scanner 3.1) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://jackyviga.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.co.uk/scan_uk/scan8/oscan8.cab
O16 - DPF: {7F8C8173-AD80-4807-AA75-5672F22B4582} (ICSScanner Class) - http://download.zonelabs.com/bin/promotions/spywaredetector/ICSScanner371420.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game12.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

io di default msn lo faccio sparire poi vedi tu ;)
poi se ci sono programmi "vitali per te" lasciali pure

[Felinaccio]

Fatto..Adesso seguo la guida post disinfezione??:D :D

[wjmat]

comincia a seguirla e posta l'ultimo log di hijackthis

O.T. Activated
arrivo ora da una scalcettata al Grand Cafè, conosci vero? ;)

[Felinaccio]

Mmmmmm...Non credo.E' a barzanò??Se si non lo conosco...anche perchè sono ancora minorenne(14)..Non vado molto in giro..


Ecco il log di hijackthis

[wjmat]

logmein è necessario che ti rimanga all'avvio?

O.T. Activated
E' un posto li al tuo paese

[Felinaccio]

Ah ok l'ho tolto...

Ah si il Grand Cafè è quello vicino al fotografo, banca e Pesa... :doh:
Non sapevo il nome perchè di solito vado alla pesa o al tael... Eheh