BackDoor insistente [Archivio] - Hardware Upgrade Forum

Taxxy

23-05-2008, 16:40

Allora, utilizzo come programmi di scansione lo:

Kaspersky
Spybot
SpyDoctor
Ad-Aware

Ad ogni riavvio di PC, lo Spydoctor mi rileva sempre alcuni tracking cookie e soprattutto una backDoor, che nonostante mi elimina, al ravvio successivo ricompare....(o meglio, io faccio la scansione ad ogni ravvio quindi non so con quale frequenza ricompare ).

Inoltre noto che i caratteri delle didascalie ( cioè le informazioni nella finestrella gialla che compaiono quando si rimane il cursore su un'icona ) sono in grassetto.

Mi è capitato anche che alcune icone si sono sostituite con altre, e tutti i documenti presenti in una determinata sezione di monitor si sono cancellati ( per essere precisi quella centrale in basso, se può essere utile ).

TUTTO QUESTO DA COSA DIPENDE ? E COME POSSO COMBATTERLO ?

GRAZIE ^^

wjmat

23-05-2008, 16:46

Ciao benvenuto nel pronto soccorso di HU.
Segui bene la GUIDA alla DISINFEZIONE per INFETTI (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui tutte le scansioni nell'ordine indicato.

Dato che le scansioni dovranno essere approfondite, e quindi lunghe, assicurati di aver ripulito bene il pc dai file inutili con CCleaner.
Un'ulteriore e veloce pulizia puoi farla con ATF Cleaner che trovi qui (www.snapfiles.com/download/dlatfcleaner)
Una volta aperto, nella prima schermata -> Select All -> Empty Selected
Se utilizzi Firefox nel menù Firefox -> Select All -> NO -> Empty Selected
Se utilizzi Opera nel menù Opera -> Select All -> NO -> Empty Selected

Modalità di pubblicazione dei log

Se i log o le immagini (.JPG) non superano i 24Kb allegali tramite il comando Gestisci allegati nelle Opzioni aggiuntive
Clicca su Gestisci allegati -> si aprirà una finestra -> Click su Sfoglia -> seleziona il file da caricare -> Click su Carica -> sotto allegati correnti vedrai il tuo log caricato -> Chiudi la finestra

Altrimenti caricali su [wikisend.com] (http://wikisend.com/) o su [mediafire.com] (http://www.mediafire.com/index.php).
Una volta sul sito -> clicca su sfoglia -> seleziona il file da caricare -> poi invia o upload -> aspetta che venga caricato -> copia tutto il contenuto a fianco della della riga "Forum link nel primo caso oppure sotto "Sharing URL" nel secondo e lo incolli nella risposta della discussione.

Per le immagini consiglio innanzitutto di salvarle in JPG, essendo più leggere e caricarle su fileqube.com (http://fileqube.com) che permette di visualizzarle direttamente online.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili e cancellato gli asd con ADS Scanner, vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):

log di A-squared scansione deep aggiornato ad oggi
log di F-Secure OnLine oppure di Kaspersky Virus Removal Tool scaricato oggi
log di Dr.Web CureIT scaricato oggi
log di ESET SysInspector
log di HiJackThis
log di Gmer
log di PrevxCSI

Solo così potremmo fare delle analisi su come sei messo.
Ciao

Taxxy

23-05-2008, 23:08

Ecco quello che mi avete chiesto. La "diagnostica" è stata eseguita nell'ordine da voi richiesto:

a-squared Free - Version 3.5
Last update: 23/05/2008 19.46.37

Impostazioni scansione:

Oggetti: Memoria, Tracce, Cookies, C:\
Archivio scansioni: On
Scientifico: On
ADS Scan: On

Scansione avviata: 23/05/2008 20.08.37

Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_music rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_poker_avatar_num rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_sounds rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options-fullscreen rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options-volume rilevati: Trace.Registry.Titan Poker
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Titan Poker --> advertisercode rilevati: Trace.Registry.Titan Poker
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Titan Poker --> banner rilevati: Trace.Registry.Titan Poker
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Titan Poker --> creferer rilevati: Trace.Registry.Titan Poker
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Titan Poker --> profile rilevati: Trace.Registry.Titan Poker
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Titan Poker --> referer rilevati: Trace.Registry.Titan Poker
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Titan Poker --> safemode rilevati: Trace.Registry.Titan Poker
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Titan Poker --> uninstall_lang rilevati: Trace.Registry.Titan Poker
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Uplink --> DisplayName rilevati: Trace.Registry.Uplink
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Uplink --> UninstallString rilevati: Trace.Registry.Uplink
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Download Accelerator Plus (DAP) --> Changed rilevati: Trace.Registry.Warez P2P Faster Accelerator
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Download Accelerator Plus (DAP) --> SlowInfoCache rilevati: Trace.Registry.Warez P2P Faster Accelerator
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_10players rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_6players rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_8players rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_beginner rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_dp rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_gametype rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_headsup rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_limit rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_minplayers rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_nondp rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_playmode rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_realmode rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> table_stakes rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_10players rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_12players rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_6players rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_beginner rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_buyin rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_gametype rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_headsup rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_limit rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_scheduled rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_sitngo rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker\QuickSearch --> tour_startin rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> funaccount rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> funnickname rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> funusername rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> global_login_hint rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> lobby_favouritegames rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_autologinfun rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_dealervoices rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_poker_filter_empty rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_poker_filter_finished rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_poker_filter_full rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_poker_filter_inprogress rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_poker_showsidegames rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_poker_smallview rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> options_xlslots rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> poker_login_type rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> poker_nickname rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> ptdevm rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> selected_node rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> selected_node_sortby_first rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> selected_node_sortby_second rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> selected_node_sortorder_first rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> selected_node_sortorder_second rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> tribeca_playernotes rilevati: Trace.Registry.Titan Poker
Value: HKEY_USERS\S-1-5-21-2052111302-117609710-725345543-1003\Software\Titan Poker --> username rilevati: Trace.Registry.Titan Poker
C:\Documents and Settings\Taxxy\Dati applicazioni\Mozilla\Firefox\Profiles\uznqqn8t.default\cookies.txt:32 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Taxxy\Dati applicazioni\Mozilla\Firefox\Profiles\uznqqn8t.default\cookies.txt:51 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Taxxy\Dati applicazioni\Mozilla\Firefox\Profiles\uznqqn8t.default\cookies.txt:65 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Taxxy\Dati applicazioni\Mozilla\Firefox\Profiles\uznqqn8t.default\cookies.txt:116 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Taxxy\Dati applicazioni\Mozilla\Firefox\Profiles\uznqqn8t.default\cookies.txt:123 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Taxxy\Dati applicazioni\Mozilla\Firefox\Profiles\uznqqn8t.default\cookies.txt:142 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Taxxy\Documenti\File ricevuti\x_Tax.rar/mirc.exe rilevati: Riskware.Client-IRC.Win32.mIRC.616
C:\Documents and Settings\Taxxy\Documenti\File ricevuti\x_Tax.rar/PortScan.exe rilevati: Riskware.NetTool.Win32.Scan.12
C:\Programmi\MIRC\x_Tax\mirc.exe rilevati: Riskware.Client-IRC.Win32.mIRC.616
C:\Programmi\MIRC\x_Tax\Progs\PortScan.exe rilevati: Riskware.NetTool.Win32.Scan.12

Scansionati

Files: 121002
Tracce: 397576
Cookies: 136
Processi: 38

Rilevato

Files: 4
Tracce: 64
Cookies: 6
Processi: 0
Chiavi registro: 0

Fine scansione: 23/05/2008 21.15.29
Tempo scansione: 1:06:52

Scanning Report
Friday, May 23, 2008 21:20:31 - 22:10:09

Computer name: SNIPER
Scanning type: Scan system for malware, rootkits
Target: C:\
Result: 7 malware found
Dialer.HN (virus)

* C:\DOCUMENTS AND SETTINGS\TAXXY\ACUEORKZ.EXE (Submitted)
* C:\DOCUMENTS AND SETTINGS\TAXXY\EVMYFZMX.EXE (Submitted)
* C:\DOCUMENTS AND SETTINGS\TAXXY\MNNLJJXY.EXE (Submitted)
* C:\DOCUMENTS AND SETTINGS\TAXXY\QTEXINKR.EXE (Submitted)
* C:\DOCUMENTS AND SETTINGS\TAXXY\RYOREZNO.EXE (Submitted)

HTML/Small.KI@mm (virus)

* C:\DOCUMENTS AND SETTINGS\TAXXY\DOCUMENTI\MUSICA\ALBUM\ALFY DANCE 2007\EIFFEL 65\TEMP.HTT (Submitted)

Suspicious_F.gen (virus)

* C:\DOCUMENTS AND SETTINGS\TAXXY\DOCUMENTI\SOFTWARE\UTILITY\NERO BURNING ROM 6.6.0.16\NERO.BURNING.ROM.6.6.0.16.+ VISION +MEDIA PLAYER+ KEYGEN+LANG.ITA\KEYGEN\KEYGEN.EXE (Submitted)

Statistics
Scanned:

* Files: 31851
* System: 4246
* Not scanned: 8

Actions:

* Disinfected: 0
* Renamed: 0
* Deleted: 0
* None: 7
* Submitted: 7

Files not scanned:

* C:\PAGEFILE.SYS
* C:\WINDOWS\SYSTEM32\DRIVERS\ATAPI.SYS
* C:\WINDOWS\SYSTEM32\DRIVERS\SPTD.SYS
* C:\WINDOWS\SYSTEM32\CONFIG\DEFAULT
* C:\WINDOWS\SYSTEM32\CONFIG\SAM
* C:\WINDOWS\SYSTEM32\CONFIG\SECURITY
* C:\WINDOWS\SYSTEM32\CONFIG\SOFTWARE
* C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM

Options
Scanning engines:

* F-Secure USS: 2.30.0
* F-Secure Blacklight: 1.0.68
* F-Secure Hydra: 2.8.8110, 2008-05-23
* F-Secure Pegasus: 1.20.0, 2008-04-15
* F-Secure AVP: 7.0.171, 2008-05-23

Scanning options:

* Scan defined files: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB LNK WSF {* PDF ZL? XML ZIP XXX ANI AVB BAT CMD JPG LSP MAP MHT MIF PHP POT SWF WMF NWS TAR
* Use Advanced heuristics

Copyright © 1998-2007 Product support |Send virus sample to F-Secure
F-Secure assumes no responsibility for material created or published by third parties that F-Secure World Wide Web pages have a link to. Unless you have clearly stated otherwise, by submitting material to any of our servers, for example by E-mail or via our F-Secure's CGI E-mail, you agree that the material you make available may be published in the F-Secure World Wide Pages or hard-copy publications. You will reach F-Secure public web site by clicking on underlined links. While doing this, your access will be logged to our private access statistics with your domain name.This information will not be given to any third party. You agree not to take action against us in relation to material that you submit. Unless you have clearly stated otherwise, by submitting material you warrant that F-Secure may incorporate any concepts described in it in the F-Secure products/publications without liability.

Dr.web non ha riscontrato nulla ( purtroppo mi sono dimenticato di fare lo screen dell'immagine )

SysInspector
SysInspector-SNIPER-080523-2336.xml (http://wikisend.com/download/616128/SysInspector-SNIPER-080523-2336.xml)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23.41.28, on 23/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\Java\jre1.6.0_05\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\Spyware Doctor\pctsTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\DAEMON Tools\daemon.exe
C:\Programmi\Google\Google Updater\GoogleUpdater.exe
C:\PROGRA~1\FILECO~1\PCSuite\Services\SERVIC~1.EXE
C:\Programmi\a-squared Free\a2service.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Programmi\Spyware Doctor\pctsAuxs.exe
C:\Programmi\Spyware Doctor\pctsSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\alg.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\mspaint.exe
C:\WINDOWS\system32\mspaint.exe
C:\WINDOWS\system32\mspaint.exe
C:\WINDOWS\system32\mspaint.exe
C:\WINDOWS\system32\mspaint.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programmi\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [kav] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ISTray] "C:\Programmi\Spyware Doctor\pctsTray.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programmi\DAEMON Tools\daemon.exe" -autorun
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Google Updater.lnk = C:\Programmi\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: Tasto di scelta rapida per l'avvio di AutoCAD.lnk = C:\Programmi\File comuni\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: &Clean Traces - C:\Programmi\DAP\Privacy Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - C:\Programmi\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\Programmi\DAP\dapextie2.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EA7749D8-E599-4B47-967E-55F5EE7CC27E}: NameServer = 212.216.172.62
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programmi\a-squared Free\a2service.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programmi\File comuni\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programmi\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programmi\Spyware Doctor\pctsSvc.exe

--
End of file - 7814 bytes

GMER 1.0.14.14205 - http://www.gmer.net
Rootkit scan 2008-05-23 23:42:15
Windows 5.1.2600 Service Pack 2

---- System - GMER 1.0.14 ----

SSDT \??\C:\WINDOWS\system32\drivers\klif.sys (spuper-ptor/Kaspersky Lab) ZwEnumerateKey [0xAADA4450]
SSDT \??\C:\WINDOWS\system32\drivers\klif.sys (spuper-ptor/Kaspersky Lab) ZwEnumerateValueKey [0xAADA4500]
SSDT \??\C:\WINDOWS\system32\drivers\klif.sys (spuper-ptor/Kaspersky Lab) ZwQuerySystemInformation [0xAADB04C6]

---- Devices - GMER 1.0.14 ----

Device \FileSystem\Ntfs \Ntfs 89E521F8

AttachedDevice \FileSystem\Ntfs \Ntfs klif.sys (spuper-ptor/Kaspersky Lab)

Device \FileSystem\Fastfat \Fat 88312500
Device \FileSystem\Fastfat \Fat 897B4C80

AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
AttachedDevice \FileSystem\Fastfat \Fat klif.sys (spuper-ptor/Kaspersky Lab)
AttachedDevice \Driver\Tcpip \Device\Ip kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice \Driver\Tcpip \Device\Tcp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice \Driver\Tcpip \Device\Udp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)
AttachedDevice \Driver\Tcpip \Device\RawIp kl1.sys (Kaspersky Unified Driver/Kaspersky Lab)

---- Modules - GMER 1.0.14 ----

Module _________ BA5CE000-BA5E6000 (98304 bytes)

---- Threads - GMER 1.0.14 ----

Thread 4:152 89B02650
Thread 4:156 89B02650
Thread 4:160 89AD3E70
Thread 4:164 89AD3E70
Thread 4:168 89AD3E70
Thread 4:500 89B02650
Thread 4:664 89B02650

---- EOF - GMER 1.0.14 ----

PREVXCSI.JPG (http://wikisend.com/download/540476/PREVXCSI.JPG)

Ecco a voi tutto quello richiesto ^^

xcdegasp

23-05-2008, 23:31

riesegui hijackthis optando per la funzione "Scan Only", a fine scansione il pulsante in fondo a sinistra si chiamerà "Fix Checked", quindi selezionare le voci desiderate e premere questo tasto.
Fixa:

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE

per ilr esto è pulito ma non aggiornato, vai al link http://secunia.com/software_inspector/ e scansiona online il pc, ti segnalerà i programmi obsoleti :)
tra quelli da aggiornare c'è sicuramente la Java, ricordati poi di dinstallare la versione precedente, e l'antivirus visto che è da diverso tempo che è commercializzata la versione 7.0 :)

xcdegasp

23-05-2008, 23:37

inoltre colgo l'occasione per segnalare i possibili programmi free alternativi a quelli più blasonati:
http://www.hwupgrade.it/forum/showthread.php?t=668898

:D

wjmat

24-05-2008, 00:43

Dai un'occhiata al trattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide.

Taxxy

24-05-2008, 06:39

Allora ho cancellato quei 3 file che mi avete detto con HJthis....però ho dei dubbi.

Allora in primo...gli altri software mi avevano trovato un sacco di robaccia....che ovviamente non ho eliminato perchè messa in quarantena ! Siete sicuri che con l'eliminazione di quei soli 3 file il tutto si risolverà?

wjmat

24-05-2008, 07:19

Ciao con Hijackthis hai eliminato solamente delle chiavi di registro, per impedire che quei 3 programmi partano all'avvio inutilmente e rubandoti risorse.
I restanti file messi in quarantena non danno problemi.

xcdegasp

24-05-2008, 10:55

Allora ho cancellato quei 3 file che mi avete detto con HJthis....però ho dei dubbi.

Allora in primo...gli altri software mi avevano trovato un sacco di robaccia....che ovviamente non ho eliminato perchè messa in quarantena ! Siete sicuri che con l'eliminazione di quei soli 3 file il tutto si risolverà?

mettere i file in quarantena equivale a cancellarli, nel senso è una directory in cui vengono parcheggiati salvando anche le chiavi di registro rimosse epr la pulizia.. nel caso si volesse ripristinare l'oggetto il software potrà riportare il file e le chiavi di registro come erano prima, ma al'atto pratico è come aver rimosso quelle infezioni :)

quindi evendo tu prima messo in quaranteno il 90% delle infezioni presenti nel pc, è bastato poco per ripulire... :)

Taxxy

24-05-2008, 12:10

Mh...però vedo ancora i caratteri in grassetto...allora per sicurezza cancello quello che i prog hanno messo in quarantena. Inoltre mi potreste " istruire " sull'argomento ? In questo modo non avrò bisogno più di disturbare.

wjmat

24-05-2008, 12:27

carica una foto della tua schemata in JPG su fileqube.com (http://fileqube.com) che permette di visualizzarle direttamente online

Taxxy

24-05-2008, 13:09

Ecco qui uno screen:

wjmat

24-05-2008, 13:20

manca il link ;)

Taxxy

24-05-2008, 13:38

Ehm..scusa

http://www.fileqube.com/shared/jKloFyog31159

xcdegasp

24-05-2008, 14:46

prova:
tasto destro su una delle zone libere da icone sul desktop -> proprietà -> aspetto -> avanzate
qui puoi cambiare lo stile e grandezza dei caratteri e togliere eventuali grassetti :)

prova a vedere

Taxxy

24-05-2008, 15:03

Già visto e non sono attivati grassetti...inoltre influisce anche sulle applicazioni non solo windows

xcdegasp

24-05-2008, 16:33

potresti provrare a chiedere in area windows se conoscono una chiave di registro che attiva questa modifica sui caratteri :boh:

Chill-Out

25-05-2008, 22:44

Da desktop -> proprietà -> aspetto -> avanzate

Elemento:
Descrizione comandi mi dici i parametri selezionati