[risolto] Virus alert! accanto orologio

[ilpuma82]

Ciao, purtroppo ho beccato un virus. Sono riuscito ad eliminare qualcosa ma mi rimane la scritta VIRUS ALERT! nella system tray accanto all'orologio ed inoltre quando vado su internet mi si aprono finestre a quantità riguardanti soprattutto casinò online.
Vi prego aiutatemi, ciao a tutti.

---------------------
Soluzione: http://www.hwupgrade.it/forum/showpost.php?p=22669034&postcount=53

[wjmat]

Ciao benvenuto nel pronto soccorso di HU.
Leggi bene le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598) e poi segui bene la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui tutte le scansioni nell'ordine indicato.

Ti rielenco brevemente le modalità di pubblicazione dei log
Se i log o le immagini (.JPG) non superano i 24Kb allegali tramite il comodo comando Gestisci allegati nelle Opzioni aggiuntive.
Clicca su Gestisci allegati -> si aprirà una finestra -> Click su Sfoglia -> seleziona il file da caricare -> Click su Carica -> sotto allegati correnti vedrai il tuo log caricato -> Chiudi la finestra
Altrimenti caricali su [wikisend.com] (http://wikisend.com/) o su [mediafire.com] (http://www.mediafire.com/index.php).
Una volta sul sito -> clicca su sfoglia -> seleziona il file da caricare -> poi invia o upload -> aspetta che venga caricato -> copia tutto il contenuto a fianco della della riga "Forum link nel primo caso oppure sotto "Sharing URL" nel secondo e lo incolli nella risposta della discussione.
Le immagini più grosse (es. nel caso di PrevX) salvale in JPG, essendo più leggere, e caricale su fileqube.com (http://fileqube.com) che permette di visualizzarle direttamente online.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner e cancellato gli asd con ADS Scanner, vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):

log di A-squared scansione deep aggiornato ad oggi
log di F-Secure OnLine oppure di Kaspersky Virus Removal Tool scaricato oggi
log di Dr.Web CureIT scaricato oggi
log di ESET SysInspector
log di HiJackThis
log di Gmer
log di PrevxCSI


In questa maniera, tu avrai un pc già parzialmente ripulito, e noi le informazioni necessarie per i restanti interventi.
Ciao

[omihalcon]

Interessante questa discussione mi sono imbattuto anch' io in questo virus ieri
...

Spy bot in modalita' provvisoria mi diceva VIRTUMONDE... In piu' mi sono accorto che il servizio aggiornamenti automatici non viene caricato e non solo non si riesce a abilitarlo e a riavviarlo.

norman removal tool ogni volta che riavvio indica che winlogon e' infettato da vundo.gen

Per ora sto reinstallando dato che ci solo solo 2 programmi e nemmeno l' office: pero' mi interesserebbe sapere dove si doveva "smanettare" nel registro per ucciderlo

Ciao

[wjmat]

Interessante questa discussione mi sono imbattuto anch' io in questo virus ieri
...

Spy bot in modalita' provvisoria mi diceva VIRTUMONDE... In piu' mi sono accorto che il servizio aggiornamenti automatici non viene caricato e non solo non si riesce a abilitarlo e a riavviarlo.

norman removal tool ogni volta che riavvio indica che winlogon e' infettato da vundo.gen

Per ora sto reinstallando dato che ci solo solo 2 programmi e nemmeno l' office.

Ciao
Ciao benvenuto nel pronto soccorso di HU.
Comincia a guardare qui (http://www.hwupgrade.it/forum/showthread.php?t=1603273) la guida per la rimozione di Vundo e posta in quella discussone tutti i log richiesti secondo le modalità.

Modalità pubblicazione log
Se i log o le immagini (.JPG) non superano i 24Kb allegali tramite il comando Gestisci allegati nelle Opzioni aggiuntive
Clicca su Gestisci allegati -> Sfoglia -> Carica
Altrimenti caricali su [wikisend.com] (http://wikisend.com/) o su [mediafire.com] (http://www.mediafire.com/index.php).
Una volta sul sito -> clicca su sfoglia -> seleziona il file da caricare -> poi invia o upload -> aspetta che venga caricato -> copia tutto il contenuto a fianco della della riga "Forum link nel primo caso oppure sotto "Sharing URL" nel secondo e lo incolli nella risposta della discussione.

[ilpuma82]

Ciao, purtroppo ho beccato un virus. Sono riuscito ad eliminare qualcosa ma mi rimane la scritta VIRUS ALERT! nella system tray accanto all'orologio ed inoltre quando vado su internet mi si aprono finestre a quantità riguardanti soprattutto casinò online.
Vi prego aiutatemi, ciao a tutti.

ecco i log richiesti

[xcdegasp]

potresti pubblicarli non zippati per favore? :)

agevolo le cose, per a-squared:

Value: HKEY_CLASSES_ROOT\AppID\toolbar.DLL --> AppID detected: Trace.Registry.Adware-17Lele
Value: HKEY_CLASSES_ROOT\TacOnlyOne --> WinSpywareProtect (ver. 5.1) detected: Trace.Registry.WinSpywareProtect 5.1


manca il log della scansione con F-Secure Online / kaspersky tool / eset online scanner;
manca il lodella scansione con dr.web cureIT;

dal log HiJackThis:
non mi convince questa riga:
O4 - HKLM\..\Run: [CognizanceTS] rundll32.exe C:\PROGRA~1\HPQ\IAM\Bin\AsTsVcc.dll,RegisterModule

riesegui hijackthis optando per la funzione "Scan Only", a fine scansione il pulsante in fondo a sinistra si chiamerà "Fix Checked", quindi selezionare le voci desiderate e premere questo tasto.
Fixa:

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup
O4 - HKLM\..\Run: [2e5f2bcd] rundll32.exe "C:\WINDOWS\system32\nuuahxdd.dll",b
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programmi\Windows Media Player\WMPNSCFG.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O21 - SSODL: CDRam - {8c3c7e0e-9f0f-406b-bb61-6a962327ba43} - (no file)


per SySInspector rifallo dopo aver fatto quelle scansioni mancanti all'appello :)

[Chill-Out]

Da fixare

O4 - HKLM\..\Run: [2e5f2bcd] rundll32.exe "C:\WINDOWS\system32\nuuahxdd.dll",b

[ilpuma82]

dopo una decina di scansioni varie ho risolto... non si aprono più finestre mentre navigo, è scomparsa la scritta virus alert! ed il pc sembra essersi ripreso.
Ringrazio tutti per l'aiuto

Si può chiudere, ciao

[Chill-Out]

dopo una decina di scansioni varie ho risolto... non si aprono più finestre mentre navigo, è scomparsa la scritta virus alert! ed il pc sembra essersi ripreso.
Ringrazio tutti per l'aiuto

Si può chiudere, ciao

Potresti allegare un nuovo log di HijackThis, grazie.

[wjmat]

Dopo aver postato il log come ti ha indicato chill dai un'occhiata al trattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide.

[lucabondi]

Salve a tutti... anch'io oggi ho preso questo dannato virus... e nonostante tutte le scansioni effettuate, il VIRUS ALERT! accanto all'orologio è ancora lì.

Vi posto tutti i log nella speranza che mi possiate aiutare.

A-Squared: http://www.fileqube.com/shared/kRLlwnD32919
F-Secure: http://www.fileqube.com/shared/BdYRskllU32918
Dr Web: http://www.fileqube.com/shared/cqMpgTS32917
SYSInspector: http://www.fileqube.com/shared/NenbjPe32921
HijackThis: http://www.fileqube.com/shared/edOEB32920
Gmer: http://www.fileqube.com/shared/xMKjwVPNb32923
Prevx: http://www.fileqube.com/shared/KFPCHSk32922

Confido in voi! :(

[xcdegasp]

Salve a tutti... anch'io oggi ho preso questo dannato virus... e nonostante tutte le scansioni effettuate, il VIRUS ALERT! accanto all'orologio è ancora lì.

Vi posto tutti i log nella speranza che mi possiate aiutare.

A-Squared: http://www.fileqube.com/shared/kRLlwnD32919
F-Secure: http://www.fileqube.com/shared/BdYRskllU32918
Dr Web: http://www.fileqube.com/shared/cqMpgTS32917
SYSInspector: http://www.fileqube.com/shared/NenbjPe32921
HijackThis: http://www.fileqube.com/shared/edOEB32920
Gmer: http://www.fileqube.com/shared/xMKjwVPNb32923
Prevx: http://www.fileqube.com/shared/KFPCHSk32922

Confido in voi! :(

intanto che proseguo nel controllare i tuoi log, fai una pulizia con ATFCleaner a browser chiuso ;)
all'inizio della guida c'è scritto dove scaricarlo e come usarlo anche se è molto intuitivo :)

[wjmat]

degasp lo mandiamo su vundo?

[lucabondi]

intanto che proseguo nel controllare i tuoi log, fai una pulizia con ATFCleaner a browser chiuso ;)
all'inizio della guida c'è scritto dove scaricarlo e come usarlo anche se è molto intuitivo :)
L'ho già fatta prima di iniziare tutto... ma farla una secoda volta non farà certo male!

[xcdegasp]

per a-squared:
molti cookies


per f-secure:
Vundo.gen148 (virus)

* C:\WINDOWS\SYSTEM32\SSQPJJHW.DLL (Submitted)
* C:\DOCUMENTS AND SETTINGS\UTENTE\DESKTOP\BACKUPS\BACKUP-20080528-174554-263.DLL (Submitted)

Vundo.gen38 (virus)

* C:\WINDOWS\SYSTEM32\JTYAVUDT.INI (Submitted)

W32/Suspicious_N.gen (virus)

* F:\PROGRAMMI\CONVERTX\3\CONVERTXTODVDV3.0.0.7 MULTILINGUAL PATCH-TRUE.EXE



scarica Avenger (http://swandog46.geekstogo.com/avenger.zip), scompattalo in una directory esclusiva (tipo c:\avenger ) ed eseguilo, infine carica questo script:
Files to delete:
C:\windows\system32\ssqPjjHw.DLL
C:\windows\system32\JjJYPFUO.dll
C:\windows\system32\eqpIIiIr.dll
C:\windows\system32\tduvaytj.dll
C:\windows\system32\ubjanhou.dll
C:\DOCUMENTS AND SETTINGS\UTENTE\DESKTOP\BACKUPS\BACKUP-20080528-174554-263.DLL
C:\windows\system32\JTYAVUDT.INI


il file "F:\PROGRAMMI\CONVERTX\3\CONVERTXTODVDV3.0.0.7 MULTILINGUAL PATCH-TRUE.EXE" scansionalo su www.virutotal.com :)


drWeb:
C:\Documents and Settings\utente\Desktop\SmitfraudFix\Process.exe - spostato
C:\Documents and Settings\utente\Desktop\SmitfraudFix\restart.exe - spostato


hijackthis:
riesegui hijackthis optando per la funzione "Scan Only", a fine scansione il pulsante in fondo a sinistra si chiamerà "Fix Checked", quindi selezionare le voci desiderate e premere questo tasto.
Fixa:

O4 - HKLM\..\Run: [RemoteControl] F:\Programmi\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] F:\Programmi\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "F:\Programmi\Nero\Nero 8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [2c1b0dc0] rundll32.exe "C:\WINDOWS\system32\eqpllilr.dll",b
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - C:\WINDOWS\system32\bgsvcgen.exe


poi fai un nuovo log con HiJackThis e SySinspectator e prevxCSI :)

[xcdegasp]

degasp lo mandiamo su vundo?

prima vorrei fargli una pulita a manuale poi lo portiamo nella saletta operatoria :)

[xcdegasp]

avevo dimenticato di scrivere le cose da fixare con hijackthis :p

[lucabondi]

Prima di proseguire... Avenger fallisce su alcuni file perché dice che i file non esistono...

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "C:\windows\system32\ssqPjjHw.DLL" deleted successfully.

Error: file "C:\windows\system32\JjJYPFUO.dll" not found!
Deletion of file "C:\windows\system32\JjJYPFUO.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\windows\system32\eqpIIiIr.dll" not found!
Deletion of file "C:\windows\system32\eqpIIiIr.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

File "C:\windows\system32\tduvaytj.dll" deleted successfully.
File "C:\windows\system32\ubjanhou.dll" deleted successfully.
File "C:\DOCUMENTS AND SETTINGS\UTENTE\DESKTOP\BACKUPS\BACKUP-20080528-174554-263.DLL" deleted successfully.
File "C:\windows\system32\JTYAVUDT.INI" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.


Eppure sono lì... anche se per entrare in C: devo fare un giro lungo visto che mi è sparito da risorse del computer. :muro:

[xcdegasp]

prosegui con i fix da eseguire tramite hijackthis ;)

[lucabondi]

O4 - HKLM\..\Run: [2c1b0dc0] rundll32.exe "C:\WINDOWS\system32\eqpllilr.dll",b

Questa linea al nuovo controllo è stata sostituita da una identica, ma con un nome file diverso... in ogni caso io l'ho fixata... ma questo file ora è apparso su Prevx...

Hijack: http://www.fileqube.com/shared/rpqQjmi32933
SYS: http://www.fileqube.com/shared/pMafJsw32932
Prevx: http://www.fileqube.com/shared/rpqQjmi32933

[xcdegasp]

ottimo
fixa:
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present


hai allegato due volte il log di hijackthis anzicchè l'immagine di prevx :D

[lucabondi]

D'OH!!!

Hijack dopo l'ultimo fix: http://www.fileqube.com/shared/YVWwCbwKB32935
Prevx (spero): http://www.fileqube.com/shared/wkUZIqnf32936

[Chill-Out]

D'OH!!!

Hijack dopo l'ultimo fix: http://www.fileqube.com/shared/YVWwCbwKB32935
Prevx (spero): http://www.fileqube.com/shared/wkUZIqnf32936

Fai girare questo tool
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

[lucabondi]

Fai girare questo tool
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Doppio click su combofix.exe e segui le istruzioni
Allegare il log C:\combofix.txt
N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza
Quindi devo spostare i file che tengo sul desktop? O alla fine torna tutto uguale?

[Chill-Out]

Quindi devo spostare i file che tengo sul desktop? O alla fine torna tutto uguale?

Solo questo ovvero il log che trovi in C:\combofix.txt

[xcdegasp]

ok ora facciamo altre cosucce tipo:
vai in c:\windows\system32\drivers\etc e con il notepad apri il file HOSTS, cancella la riga riportante:
1.253.128.31

poi andiamo in regedit (start -> esegui.. -> digita: regedit -> batti invio)
e posizionati alla seguente chiave:
"Key" = "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ljJYPFUO"
e rimuovila

posizionati alla chiave:
"Key" = "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects"

e rimuoviamo (le trovi nella schermata destra):
"" = "C:\WINDOWS\system32\ssqPjjHw.dll"
"" = "C:\WINDOWS\system32\ljJYPFUO.dll"
"" = "C:\WINDOWS\system32\ssqOeeeb.dll"


se non ti senti sicuro su queste tre fai una stampa che ti aiuto :)

[lucabondi]

Solo questo ovvero il log che trovi in C:\combofix.txt
Il mio dubbio era un altro...

N.B.: Durante la scansione verranno creati alcuni file sul desktop e poi eliminati - spariranno tutte le icone del desktop - il firewall potrebbe avvisare che verranno rimossi alcuni driver (consentire)
Spariscono in che senso? Il programma me le cancella? Perché altrimenti le sposto tutte in una cartella sull'altro HD.

[xcdegasp]

c'è anche da eliminare questa:
posizionati alla chiave:
"Key" = "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks"
cancelliamo:
"" = "C:\WINDOWS\system32\ljJYPFUO.dll"

posizionati in:
Winlogon Notify -> HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ljJYPFUO
ed eliminiamo:
"" = "C:\WINDOWS\system32\ljJYPFUO.dll"


questo file ha le seguenti aprticolarità:
"Creation Time" = "2008/05/28 14:08"
"Last Write Time" = "2008/05/28 14:08"
"Linked to" = "Running Processes -> explorer.exe (288) -> C:\WINDOWS\system32\ljJYPFUO.dll"
"Linked to" = "Running Processes -> winlogon.exe (904) -> C:\WINDOWS\system32\ljJYPFUO.dll"
che abbiamo stroncato con la cancellazioni via regeit :)

[Chill-Out]

Il mio dubbio era un altro...


Spariscono in che senso? Il programma me le cancella? Perché altrimenti le sposto tutte in una cartella sull'altro HD.

Vai tranquillo non ti cancella nulla

[xcdegasp]

sfanculato per uno stupido tool :sob:

[Chill-Out]

sfanculato per uno stupido tool :sob:

:D ;)

Leggi
http://www.hwupgrade.it/forum/showpost.php?p=22662268&postcount=18

vediamo se il tool gli ripristina anche i parametri

[xcdegasp]

sì è vero ma correggendo le chiavi di registro che ho linkato dopo tanta ricerca nel suo lungo log si raggiungeva un risultato impeccabile... sysinspector è una figata, senza dover usare quel coso di combo :p

[Chill-Out]

sì è vero ma correggendo le chiavi di registro che ho linkato dopo tanta ricerca nel suo lungo log si raggiungeva un risultato impeccabile... sysinspector è una figata, senza dover usare quel coso di combo :p

Nulla da eccepire sulla tua procedura sicuramente più virtuosa, si è vero SysInspector è ottimo, e non definire Combo un coso se no Luca si spaventa già l'ho visto titubante. :D

[lucabondi]

Ecco... bravi... divertitevi pure a mettermi ancora più in crisi! :D

@xcdegasp:
- in HOSTS ci sono solo righe con 127.0.0.1
- nel registro, quando dici di eliminare le chiavi, cancello la voce o la cartella?
http://www.fileqube.com/shared/TsmgVQQ32941
http://www.fileqube.com/shared/UYmZU32942

Poi non so... ditemi voi se è meglio proseguire così o con il tool...

[xcdegasp]

perfetto per esempio nel primo screen, Browser Helper Object, ora sempre rimanendo nella schermata di sinistra clickando con il tasto sinistro nelle csubkey (sottocartelle gialle) nella parte destra dovresti vedere gli oggetti che puntano a quelle dll..

tipo come nel secondo screen che hai nella parte di destra DllName -> IjYPFUO.dll
che ti basta selezionare e premere canc :)

[xcdegasp]

ci sarebbe anche un metodo più veloce, ossia usare il menu "modifica" e selezionare "trova"
e inserire:
ljJYPFUO.dll
ssqPjjHw.dll
ssqOeeeb.dll

ovviamente fare la ricerca una per volta e cancellare via via i risultati evidenziati della finestra di destra :)

[lucabondi]

Houston, abbiamo un problema!

Regedit non elimina le voci... cioè, le elimina... ma se dopo averle tolte tutto faccio di novo la ricerca, sono ancora lì.

Nel frattempo ho fatto girare il "coso Combo"... http://www.fileqube.com/shared/DdiQOwaLM33132

Risorse del computer è tornato a posto... ma VIRUS ALERT! è ancora lì.

[Chill-Out]

Houston, abbiamo un problema!

Regedit non elimina le voci... cioè, le elimina... ma se dopo averle tolte tutto faccio di novo la ricerca, sono ancora lì.

Nel frattempo ho fatto girare il "coso Combo"... http://www.fileqube.com/shared/DdiQOwaLM33132

Risorse del computer è tornato a posto... ma VIRUS ALERT! è ancora lì.

Apri il Blocco Note copia e incolla queste righe:

File::
C:\WINDOWS\system32\ssqOeeeb.dll
C:\WINDOWS\system32\ssqPjjHw.dll
C:\WINDOWS\system32\ljJYPFUO.dll

Registry::
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\ljJYPFUO]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{360A65F0-7D05-4B36-A345-4EC48D14439C}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{C0DF5BB6-DAE7-4901-8ED3-216ADA45198D}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{C1B9D7F9-6B21-44B2-BE34-DDB11C5C75D9}]


Salva il file sul Desktop come CFScript.txt

Trascina il file appena creato ovvero CFScript.txt sull'icona di ComboFix

al termine il PC si dovrebbe ravviare, eventualmente riavvia tu manualmente, allega il log che trovi in C:\ComboFix.txt

ComboFix deve essere eseguito a macchina dedicata - disconnessi dalla rete, disabilitando momentaneamente i realtime dei software di sicurezza

Oltre ad allegare il log di Combofix, mi alleghi anche un nuovo log di HjiackThis e Prevx CSI

[lucabondi]

Ora lo faccio... in ogni caso adesso regedit e avenger hanno funzionato...

[Chill-Out]

Ora lo faccio... in ogni caso adesso regedit e avenger hanno funzionato...

Scusa ma non ho capito è una domanda o un'affermazione, comunque segui le istruzioni che ti ho indicato poi mi rispondi.

[lucabondi]

Scusa ma non ho capito è una domanda o un'affermazione, comunque segui le istruzioni che ti ho indicato poi mi rispondi.
Era un'affermazione.

Combo: http://www.fileqube.com/shared/Onlaxk33140
Hijack: http://www.fileqube.com/shared/IrGrgkw33139
Prevx non rileva nulla.

[Chill-Out]

Era un'affermazione.

Combo: http://www.fileqube.com/shared/Onlaxk33140
Hijack: http://www.fileqube.com/shared/IrGrgkw33139
Prevx non rileva nulla.

Dal log di Combo si evince che abbiamo sganciato la dll maledetta anzi shellerata e cancellato le chiavi di registro
FILE ::
C:\WINDOWS\system32\ljJYPFUO.dll
C:\WINDOWS\system32\ssqOeeeb.dll
C:\WINDOWS\system32\ssqPjjHw.dll

log di HJT pulito, Prevx CSI pulito dimmi come và?

[lucabondi]

Virus Alert! è sempre lì... :cry:

[xcdegasp]

prova a vedere se possiedi ancora C:\WINDOWS\xmpstean.exe

e il combo coso è stato micidiale :)

[lucabondi]

prova a vedere se possiedi ancora C:\WINDOWS\xmpstean.exe

e il combo coso è stato micidiale :)
No... Combo l'ha quarantinizzato.

Però vacca boia... è tutto pulito e sto lavoro è ancora qui! Che palle...

[xcdegasp]

hia già riavviato? prima di farlo assicuratyi che sia ancora disabilitato il ripristino di sistema ;)

[lucabondi]

hia già riavviato? prima di farlo assicuratyi che sia ancora disabilitato il ripristino di sistema ;)
Il ripristino era abilitato... forse è stato Combo (che mi ha un po' sballato la configurazione di Firefox)... ora l'ho disabilitato e riavviato... nulla... e prevx è sempre pulito.

[xcdegasp]

sì combo attiva sempre il ripristino di configurazione..

prova a entrare in msconfig (start -> esegui: msconfig -> batti invio) e vedi se tra i programmi in esecuzione automatica (scheda avvio) c'è qualcosa che non conosci o che riconduca a sto Virus alert..

[lucabondi]

Qui ne ho evidenziati 4 sospetti... ho controllato... 3 sono driver della scheda audio/madre... uno risulta essere un trojan... l'ho disabilitato... riavviato... ma virus alert è ancora lì... ora l'utilità di configurazione mi si avvia ogni volta finchè non la disabilito.

http://www.fileqube.com/shared/hKyMIMB33148

NvCpl lo elimino manualmente?

EDIT: Errore mio... NvCpl.EXE è un trojan... io ho NvCpl.DLL... quindi in avvio dovrebbe essere tutto regolare... ora ripristino.

[Manp]

scusate... sono di fretta e quindi non posso leggere tutto il thread con attenzione e non so se è stato già detto.

cmq eliminare la voce Virus Alert dall'orologio dovrebbe essere molto semplice:

una volta rimossi tutti i vari virus e dll sospette (e i consigli dati fin ora sono sicuramente ottimi) basta aprire il registro (Start -> Esegui -> regedit -> Ok)

ci sono 2 voci da sistemare:

1) [HKEY_CURRENT_USER\Control Panel\International]

la voce sTimeFormat dovrebbe essere qualcosa tipo H.mm : Virus Alert!, basta cambiarla in H.mm

se la voce non è quella gusta (vado a memoria :D) dovreste cmq vedere un "Virus Alert!" in qualche valore presente in questa chiave.

alternativamente si può fare la stessa cosa da Pannello di Controllo -> Opzioni internazionali e della lingua e ripristinare i valori predefiniti.

2) [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion]

la voce ProductId dovrebbe essere qualcosa tipo Virus Alert!

cambiatene il valore con quello presente all'interno della stessa voce sotto [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion] (notare l'NT di differenza)

:)

[lucabondi]

Grande!!! :ave:

Ora, considerando che i programmi usati non rilevano più nulla e la scritta è sparita... posso dedicarmi al trattamento post-disinfezione? Il ripristino lo riabilito?

[xcdegasp]

direi a questo punto che possiamo farne un riassunto e linkarlo in guida
e ora sì sei a posto e puoi proseguire in trattamento post infezione :D

grazie a Manp per averci sbloccato :cincin: :p

[xcdegasp]

Riassunto:
dopo scansioni le scansioni della Guida alla Disinfezione per Infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) si son individuati i file causa dell'infezione, in parte eliminati con avenger e in parte eliminati con ComboFix..

per sistemare l'allert:
scusate... sono di fretta e quindi non posso leggere tutto il thread con attenzione e non so se è stato già detto.

cmq eliminare la voce Virus Alert dall'orologio dovrebbe essere molto semplice:

una volta rimossi tutti i vari virus e dll sospette (e i consigli dati fin ora sono sicuramente ottimi) basta aprire il registro (Start -> Esegui -> regedit -> Ok)

ci sono 2 voci da sistemare:

1) [HKEY_CURRENT_USER\Control Panel\International]

la voce sTimeFormat dovrebbe essere qualcosa tipo H.mm : Virus Alert!, basta cambiarla in H.mm

se la voce non è quella gusta (vado a memoria :D) dovreste cmq vedere un "Virus Alert!" in qualche valore presente in questa chiave.

alternativamente si può fare la stessa cosa da Pannello di Controllo -> Opzioni internazionali e della lingua e ripristinare i valori predefiniti.

2) [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion]

la voce ProductId dovrebbe essere qualcosa tipo Virus Alert!

cambiatene il valore con quello presente all'interno della stessa voce sotto [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion] (notare l'NT di differenza)

:)

[lucabondi]

Grazie a tutti ragazzi!!! :winner:

[wjmat]

un attimo.... f-secure aveva trovato tracce di vundo... un controllino di sicurezza anche di là?

[xcdegasp]

un attimo.... f-secure aveva trovato tracce di vundo... un controllino di sicurezza anche di là?

son quelli che abbiamo eliminato :)

[wjmat]

son quelli che abbiamo eliminato :)
dici che a mano non ti è sfuggito nulla? ;)

ps
grazie Manp per l'ottima segnalazione

[Manp]

prego, caso vuole che proprio questa mattina abbia avuto a che fare con quel problema su un pc :D

:)

[fabulas]

anche io ho avuto questo problema e ho risolto facendo una scansione con MalwareBytes' Antimalware 1.1.2

[Chill-Out]

Bene si è risolto tutto positivamente, ciao Luca.

[Paolo Malmsteen]

Ciao a tutti...io ho eliminato il problema in altro modo...COMUNQUE mi appare virus alert!!! anche nelle proprietà del sistema (click destro su risorse del computer --- proprietà per intenderci) come posso eliminare la scritta?

[Chill-Out]

Ciao a tutti...io ho eliminato il problema in altro modo...COMUNQUE mi appare virus alert!!! anche nelle proprietà del sistema (click destro su risorse del computer --- proprietà per intenderci) come posso eliminare la scritta?

http://www.hwupgrade.it/forum/showpost.php?p=22667885&postcount=50

[Paolo Malmsteen]

Grzie mille:)

[Chill-Out]

Grzie mille:)

Di nulla ;)

[giona85]

Ciao, purtroppo ho beccato un virus. Sono riuscito ad eliminare qualcosa ma mi rimane la scritta VIRUS ALERT! nella system tray accanto all'orologio ed inoltre quando vado su internet mi si aprono finestre a quantità riguardanti soprattutto casinò online.
Vi prego aiutatemi, ciao a tutti.

---------------------
Soluzione: http://www.hwupgrade.it/forum/showpost.php?p=22669034&postcount=53

Ciao sono nuovo di questo forum ma ho bisogno del vostro aiuto. Ho scaricato un programma e l'ho istallato, sono uscito e quando sono tornato ho trovato il pc infestato da questo benedetto VIRUS ALERT! accanto all'orologio. è solo che oltre a questo mi si è disabilitato il task manager, non mi si vede più l'hard disk e si sono cancellate tutte le cartelle e i file presenti sul desktop. Perlomeno questo è quello che ho percepito finora.
Ho fatto una bella scansione con antivirus e ho eliminato i file che sono stati ritenuti infetti.

Volevo sapere una cosa. La procedura che voi avete spiegato è per lo stesso mio tipo di problema o io ho bisogno di qualcosaltro?? non ho ancora provato a fare nulla di tutto quello che dite. ma non vorrei fare ulteriori casini.

vi prego di aiutarmi altrimenti sono nella mer... Grazie mille

[wjmat]

qui per il virus alert
http://www.hwupgrade.it/forum/showpost.php?p=22667885&postcount=50

qui per le icone mancanti
http://www.hwupgrade.it/forum/showthread.php?t=1555416

[giona85]

Il problema credo che sia più di quello che uno può immaginare.
Praticamente dopo aver beccato questo bel virus ho cercato si spurgare il più possibile il pc da eventuali file infetti ma per poter usare il pc dovrei avere la possibilità di accedere hai servizi tipo proprietà dello schero il task manager il pannello di controllo che non c'è più, l'hard disk ecc... e per poter correggere ciò averi bisogno anche di modificare il registro del sistema il quali è assolutamente inaccessibile in quanto dice che è stato disabilitato.

non so dove mettere le mani. cercate di aiutarmi. Ma credo che sono un caso raro.:muro:

[Chill-Out]

Il problema credo che sia più di quello che uno può immaginare.
Praticamente dopo aver beccato questo bel virus ho cercato si spurgare il più possibile il pc da eventuali file infetti ma per poter usare il pc dovrei avere la possibilità di accedere hai servizi tipo proprietà dello schero il task manager il pannello di controllo che non c'è più, l'hard disk ecc... e per poter correggere ciò averi bisogno anche di modificare il registro del sistema il quali è assolutamente inaccessibile in quanto dice che è stato disabilitato.

non so dove mettere le mani. cercate di aiutarmi. Ma credo che sono un caso raro.:muro:

Quello che non si capisce e se hai eliminato il Virus oppure no, per ripristinare Task Manager - Editor di Registro etc....scarica questo file
http://www.fileqube.com/shared/ikwPKAfc36916
tasto dx del mouse su Varestorepolicies e clicca su installa

NB: se sei ancora infetto questa operazione non ha alcun effetto, quindi prima bisogna procede alla disinfezione e poi sistemare tutti i parametri

[giona85]

Quello che non si capisce e se hai eliminato il Virus oppure no, per ripristinare Task Manager - Editor di Registro etc....scarica questo file
http://www.fileqube.com/shared/ikwPKAfc36916
tasto dx del mouse su Varestorepolicies e clicca su installa

NB: se sei ancora infetto questa operazione non ha alcun effetto, quindi prima bisogna procede alla disinfezione e poi sistemare tutti i parametri

ho fatto la scansione del pc con diversi programmi free che si trovano su internet e che sono stati segnalati nel primo messaggio di questa discussione. Teoricamente il virus non dovrebbe più esistere ma la scritta VIRUS ALERT! è rimasta li. Quindi non so più rendermi conto di questo, non capisco nemmeno se questo virus è in grado di rigenerare automaticamente dei file infetti.
Vi ringrazio tantissimo per l'attenzione che mi dedicate

[xcdegasp]

ho fatto la scansione del pc con diversi programmi free che si trovano su internet e che sono stati segnalati nel primo messaggio di questa discussione. Teoricamente il virus non dovrebbe più esistere ma la scritta VIRUS ALERT! è rimasta li. Quindi non so più rendermi conto di questo, non capisco nemmeno se questo virus è in grado di rigenerare automaticamente dei file infetti.
Vi ringrazio tantissimo per l'attenzione che mi dedicate

nel primo messaggio di questo thread c'è un link che appunto ti posizione nel messaggio che fornisce le indicazioni per togliere questo avviso (a lato c'è scritto "soluzione"), potrebbe essere necessario quindi seguire quelle indicazioni :)

[lucabondi]

ho fatto la scansione del pc con diversi programmi free che si trovano su internet e che sono stati segnalati nel primo messaggio di questa discussione. Teoricamente il virus non dovrebbe più esistere ma la scritta VIRUS ALERT! è rimasta li. Quindi non so più rendermi conto di questo, non capisco nemmeno se questo virus è in grado di rigenerare automaticamente dei file infetti.
Vi ringrazio tantissimo per l'attenzione che mi dedicate
La scritta Virus Alert è solo un fastidio, come ci siamo resi conto io e xcdegasp dopo diversi tentativi... :doh:

Vai al post #50 di questo topic è trovi il modo semplice di toglierlo.

Ma non è ancora detto che il virus sia eliminato... a me infatti si generavano da sole delle dll in Windows\System32. Prevx CSI è l'unico programma che le rileva. Se non trovi nulla, può darsi che sei a posto.

Cmq ti consiglio di fare tutte le scansioni come consigliato e di postare tutti i log necessari.

Tanto in ogni caso... c'è sempre Combo coso! :D

[Chill-Out]

La scritta Virus Alert è solo un fastidio, come ci siamo resi conto io e xcdegasp dopo diversi tentativi... :doh:

Vai al post #50 di questo topic è trovi il modo semplice di toglierlo.

Ma non è ancora detto che il virus sia eliminato... a me infatti si generavano da sole delle dll in Windows\System32. Prevx CSI è l'unico programma che le rileva. Se non trovi nulla, può darsi che sei a posto.

Cmq ti consiglio di fare tutte le scansioni come consigliato e di postare tutti i log necessari.

Tanto in ogni caso... c'è sempre Combo coso! :D

E' intanto Combo coso ha tolto le castagne da fuoco :D ;)

[xcdegasp]

E' intanto Combo coso ha tolto le castagne da fuoco :D ;)

evvabbhè ma qui sei pignolo :D

[Chill-Out]

evvabbhè ma qui sei pignolo :D

:D ;)

[giona85]

forse non avete capito che non mi fa accedere a nessuna delle impostazioni del sistema. NESSUNA!!! REGEDIT E' BLOCCATO DALL'AMMINISTRATORE!!! Quindi non riesco a fare più niente!!

[Chill-Out]

forse non avete capito che non mi fa accedere a nessuna delle impostazioni del sistema. NESSUNA!!! REGEDIT E' BLOCCATO DALL'AMMINISTRATORE!!! Quindi non riesco a fare più niente!!

Procedi cosi:

Scansione complete scan ovviamente dopo averlo installato ed aggiornato con SUPERANTISPYWARE ==> http://www.hwupgrade.it/forum/showthread.php?t=1567399

Scansione completa ovviamente dopo averlo installato e aggiornato con MalwareBytes' Antimalware (http://www.malwarebytes.org/mbam.php)

NB: gli eventuali malware rilevati vanno messi in quarantena e ricorda di allegare i log

[lucabondi]

forse non avete capito che non mi fa accedere a nessuna delle impostazioni del sistema. NESSUNA!!! REGEDIT E' BLOCCATO DALL'AMMINISTRATORE!!! Quindi non riesco a fare più niente!!
Ah scusa.. pensavo che la prima parte l'avessi risolta... io l'ho risolta con un paio di passate di Spybot.

[giona85]

Grazie 1000!! Un poco alla volta ce la sto facendo.
Ora come faccio per far riapparire i miei hard disk in risorse del computer?
E per rimettere il collegamento delle stampanti e pannello di controllo nel menu START sotto la voce impostazioni? la stessa cosa vale per la dicitura di disconnessione sotto al tasto di spegnimento è scomparsa... in sostanza vorrei ripristinare i collegamenti standard che si trovano sul menu Start... come faccio?? conoscete una giuda che mi permetta di farlo?

[Chill-Out]

Grazie 1000!! Un poco alla volta ce la sto facendo.
Ora come faccio per far riapparire i miei hard disk in risorse del computer?
E per rimettere il collegamento delle stampanti e pannello di controllo nel menu START sotto la voce impostazioni? la stessa cosa vale per la dicitura di disconnessione sotto al tasto di spegnimento è scomparsa... in sostanza vorrei ripristinare i collegamenti standard che si trovano sul menu Start... come faccio?? conoscete una giuda che mi permetta di farlo?

http://www.hwupgrade.it/forum/showpost.php?p=22667885&postcount=50

per il punto 1 scegli questa soluzione: alternativamente si può fare la stessa cosa da Pannello di Controllo -> Opzioni internazionali e della lingua e ripristinare i valori predefiniti.

2) [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion]

la voce ProductId dovrebbe essere qualcosa tipo Virus Alert!

cambiatene il valore con quello presente all'interno della stessa voce sotto [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion] (notare l'NT di differenza)

http://www.hwupgrade.it/forum/showpost.php?p=22799622&postcount=68

per il resto il file che ti ho allegato

magari ce lo alleghi un log :D

[giona85]

SIETE DEI GENI!!!
Grazie 10000000!! per adesso sembra essere tornato tutto alla normalità!!
Semplicemente GENIALI. Senza parole!!!!

[Chill-Out]

SIETE DEI GENI!!!
Grazie 10000000!! per adesso sembra essere tornato tutto alla normalità!!
Semplicemente GENIALI. Senza parole!!!!

Mi allegheresti i log di Superantispyware e MBAM

[xcdegasp]

sì infatti anche io sono curioso di leggere quei due log, solo per vedere come hanno lavorato :)

[sauzer80]

Ho eliminato la scritta virus alert e le varie scansioni non rilevano più niente, però non vedo ancora gli hard disk dentro risorse del computer, penso sia qualche modifica al registro, come li sistemo?
Grazie

[Chill-Out]

Ho eliminato la scritta virus alert e le varie scansioni non rilevano più niente, però non vedo ancora gli hard disk dentro risorse del computer, penso sia qualche modifica al registro, come li sistemo?
Grazie

Scarica questo file
http://www.fileqube.com/shared/ikwPKAfc36916
tasto dx del mouse su Varestorepolicies e clicca su installa

[nana89]

Anche io ho lo stesso problema. Non so come risolverlo. E' scomparsa la parte dei "Programmi" su Start. E' scomparsa la parte relativa al pannello di controllo, ecc. Così come Documenti e Risorse del computer, e ovviamente il disco locale. Ho la scritta "Virus Alert" accanto all'orologio e mi appare continuamente la finestra di "Windows Security Alert".

Questo è il log di Hjkackthis:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Microsoft Small Business\Business Contact Manager\BcmSqlStartupSvc.exe
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
c:\programmi\mcafee.com\agent\mcdetect.exe
c:\PROGRA~1\mcafee.com\agent\mctskshd.exe
c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
C:\Programmi\CyberLink\Shared Files\RichVideo.exe
c:\Programmi\Microsoft SQL Server\90\Shared\sqlwriter.exe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\PROGRA~1\mcafee.com\agent\mcagent.exe
C:\PROGRA~1\mcafee.com\vso\mcvsshld.exe
c:\progra~1\mcafee.com\vso\mcvsescn.exe
C:\Programmi\Hotbar\bin\10.2.217.0\OEAddOn.exe
C:\Programmi\Hotbar\bin\10.2.217.0\HotbarSA.exe
C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
C:\Programmi\DAEMON Tools Lite\daemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Hotbar\bin\10.2.217.0\Weather.exe
C:\WINDOWS\system32\sistray.exe
C:\Programmi\Google\Google Updater\GoogleUpdater.exe
c:\progra~1\mcafee.com\vso\mcvsftsn.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\File comuni\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Gabriele Spampinato\Documenti\aaw2008.exe
C:\WINDOWS\system32\MSIEXEC.exe
C:\WINDOWS\system32\msiexec.exe
C:\WINDOWS\system32\MsiExec.exe
C:\WINDOWS\system32\MsiExec.exe
C:\Documents and Settings\Gabriele Spampinato\Documenti\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=...6Ojg5&lid=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://it.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://it.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Hotbar - {90B8B761-DF2B-48AC-BBE0-BCC03A819B3B} - C:\Programmi\Hotbar\bin\10.2.217.0\HostIE.dll
O3 - Toolbar: qndsfmao - {3FCAEB7D-F8AE-4A67-AE6C-57EE1416BB6D} - C:\WINDOWS\qndsfmao.dll
O4 - HKLM\..\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent
O4 - HKLM\..\Run: [mmtask] c:\Program Files\MusicMatch\MusicMatch Jukebox\mmtask.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programmi\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] c:\PROGRA~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [VirusScan Online] c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [HotbarOE] C:\Programmi\Hotbar\bin\10.2.217.0\OEAddOn.exe
O4 - HKLM\..\Run: [HotbarSA] "C:\Programmi\Hotbar\bin\10.2.217.0\HotbarSA.exe"
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programmi\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WeatherDPA] "C:\Programmi\Hotbar\bin\10.2.217.0\Weather.exe" -auto
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: Google Updater.lnk = C:\Programmi\Google\Google Updater\GoogleUpdater.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: &Windows Live Search - res://C:\Programmi\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: Download all links using BitComet - res://C:\Programmi\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Download link using &BitComet - res://C:\Programmi\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} - C:\Programmi\ShoppingReport\Bin\2.5.0\ShoppingReport.dll
O9 - Extra button: ShopperReports - Compare travel rates - {C5428486-50A0-4a02-9D20-520B59A9F9B3} - C:\Programmi\ShoppingReport\Bin\2.5.0\ShoppingReport.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.olidata.com
O16 - DPF: CabBuilder - http://kiw.imgag.com/imgag/kiw/toolbar/dow...llerControl.cab
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/Solit...wn.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Messe...nt.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineS...er.cab56986.cab
O21 - SSODL: kvxqmtre - {85B24D27-FF72-4D46-9833-4B5A4BC2C5FA} - C:\WINDOWS\kvxqmtre.dll
O21 - SSODL: evgratsm - {AC85F5C3-BEA2-4E36-8625-4DF17145FD95} - C:\WINDOWS\evgratsm.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\programmi\mcafee.com\agent\mcdetect.exe
O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\PROGRA~1\mcafee.com\agent\mctskshd.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - Networks Associates Technology, Inc - c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programmi\CyberLink\Shared Files\RichVideo.exe

--
End of file - 9554 bytes

[nana89]

Log di prevx:

log rimosso, leggere le Regole di Sezione (http://www.hwupgrade.it/forum/showthread.php?t=1589984)

[neru]

Salve a tutti!
Inizio col dire che siete la mia unica speranza >.<''

Proseguo dicendo che il mio pc ha gli stessi sintomi detti nel primissimo post del topic, ho seguito passo passo la guida per gli "infetti" :P, ma con qualche problema e pochi risultati:

- Punto di ripristino disattivato
- ATF-cleaner --> FATTO
- PrevxCSI - non sono riuscito a scaricarlo, raramete mi fa scaricare gli .exe. e non sono riuscito a trovare il .rar.
- ADS --> FATTO
- A-Squared --> FATTO
- fSECURE ONLINe - non riesce ad eseguire la scansione, poichè la pagina viene reindirizzata sempre ad un certo "bastionantivirus.com ecc"
- DR. Web Cure it - nada, non riesco ad effettuare il download.
- ESET SysInspector --> FATTO
- Gmer - Scaricato, purtroppo non me lo esegue(gli .exe generalmente non li apre, cosi infatti fa con spybot, firefox ed altri)
- PrevxCSI - come prima
- Avenger - Nada.

Ho i log di Hijackthis, a-squared, SysInspector. Li posto nel prossimo ;)

[neru]

Eccoli:
hijackthis.log (http://wikisend.com/download/229706/hijackthis.log)
SysInspector-DOOM-080719-2359.xml (http://wikisend.com/download/518628/SysInspector-DOOM-080719-2359.xml)
a2scan_080719-224047.txt (http://wikisend.com/download/549634/a2scan_080719-224047.txt)


Aiutatemi >.<''

[neru]

In ogni caso, per riabilitare i vari tasti nello start basta cliccare col destro sulla tendina aperta dello start, proprietà, personalizza e avanzate... e da li riabilitare i vari collegamenti.
Il mio problema più grosso è che non mi fa partire gli exe, non tutti per lo meno, sono costretto a navigare con l'exploder, che tra l'altro si moltiplica in più finestre ogni tot di tempo, collegadosi a "bastioniantivirus" e ad altre pagine in cui tentano di vendere antispyware et simila.

Non vorrei formattare l'hd, sopratutto dopo aver visto che si può ripulire il tutto senza ricorrere alla formattazione.

Aggiugo:
Tramite la stringa
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
...ho sistemato il problema del task manager.

Tra le altre cose, Avg non riesce più a scaricare gli aggiornamenti...
Pc Tools Spyware Doctor non trova più niente, prima(ma l'avevo fatto con un altro utente di winzozz) mi trovava diverse cose con la costante del Adware.agent.bn...

[xcdegasp]

Eccoli:
hijackthis.log (http://wikisend.com/download/229706/hijackthis.log)
SysInspector-DOOM-080719-2359.xml (http://wikisend.com/download/518628/SysInspector-DOOM-080719-2359.xml)
a2scan_080719-224047.txt (http://wikisend.com/download/549634/a2scan_080719-224047.txt)


Aiutatemi >.<''

Fixa:

O2 - BHO: QXK Olive - {21461821-DED9-4D67-BE47-C9800C50B7FE} - C:\WINDOWS\wbxdpgfeovl.dll
O3 - Toolbar: sqvgnrpx - {6144ED4B-6800-4B95-8CB4-23ED98CB84B0} - C:\WINDOWS\sqvgnrpx.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1201172143562
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O20 - Winlogon Notify: ddcbaYSI - ddcbaYSI.dll (file missing)
O21 - SSODL: fdxbameg - {88553A99-C0D3-425C-AB39-5495000F5964} - C:\WINDOWS\fdxbameg.dll
O21 - SSODL: fsrpknov - {1FA6EB9E-FC91-47D2-9BA8-DB941BA9280D} - C:\WINDOWS\fsrpknov.dll


ora vai all'indirizzo www.virustotal.com e fai analizzare i due file:
C:\WINDOWS\wbxdpgfeovl.dll
C:\WINDOWS\sqvgnrpx.dll
a fine di ciasc'una scansione copia e salva l'url che è mostrato nel browser, se ti dicesse che sono già stati analizzati tu rifalli scansionare :)


poi scarica Avenger (http://swandog46.geekstogo.com/avenger.zip) che dovrai scompattare in una cartella che sarà esclusiva solo per lui. poi quando lo lanci ti chiederà di immettere uno script quindi scegli uno dei tre sistemi (ti consiglio il copia da qui e incolla nel txt suo) e immetti questo script:
Files to delete:
C:\WINDOWS\wbxdpgfeovl.dll
C:\WINDOWS\sqvgnrpx.dll

[neru]

...niente da fare, per tutti e due i link che mi hai passato(virus total, avenger) mi da "Impossibile visualizzare la pagina" -.-''

Comunque ho fixato con l'hijackthis le voci che mi hai detto...!

Grazie mille dell'aiuto!

[wjmat]

già provato a far girare i tool da mod. provvisoria?

[neru]

..si >.<'' gli exe non me li fa partire nemmeno da li......
Sono un po' scoraggiato <.<'''

[xcdegasp]

..si >.<'' gli exe non me li fa partire nemmeno da li......
Sono un po' scoraggiato <.<'''

allora zippali e uppali sul server che usi per pubblicare il log e mandami il link in pvt per scaricarli, poi riavvia il pc e da modalità provvisoria rifai la scansione DEEP con a-squared dr.web cureIT e kasperskytool ,se già li possiedi assicurati di aggiornarli prima di andare in modalitàprovvisoria :)

[nana89]

ah, comunque grazie per l'aiuto eh... -_-
Vabbè, ho già risolto da sola.

[xcdegasp]

ah, comunque grazie per l'aiuto eh... -_-
Vabbè, ho già risolto da sola.

sono contento che sia bastato leggere cio che abbiano fatto gli altri per farti risolvere perchè era proprio quello che si voleva ottenere, ossia scrivere le indicazioni 1 volta per far pulire 100 pc :)
non ti offendere, ma era proprio più veloce anche per te che attendee che uno ricopiasse le indicazioni e tu poi le leggessi... :)

ametto anche la colpa dinon avertelo detto ma il tempo scarseggia molto a me in questo periodo perchè devo anche pensare a far tornare sano un ginocchio quindi non era contro i tuoi riguardi :p

[nana89]

Sì vabbè però io avevo postato il mio log anche prima dell'utente che ha scritto dopo di me...quindi mi aspettavo che prima esaminaste il mio log di hjackthis.. invece hai esaminato l'altro..
Ma vabbè, ripeto, ho già risolto...più o meno. E' bastato solo far girare ComboFix che ha eliminato tutto... anche se prevx trova ancora un malware mentre a-squared, avg, e anche cercando il file nel registro di sistema, non trova nulla.

[xcdegasp]

Sì vabbè però io avevo postato il mio log anche prima dell'utente che ha scritto dopo di me...quindi mi aspettavo che prima esaminaste il mio log di hjackthis.. invece hai esaminato l'altro..
Ma vabbè, ripeto, ho già risolto...più o meno. E' bastato solo far girare ComboFix che ha eliminato tutto... anche se prevx trova ancora un malware mentre a-squared, avg, e anche cercando il file nel registro di sistema, non trova nulla.

ti chiedo scusa ma è evidente che non solo ilsolo ad aver commesso distrazioni, tipo leggere il primo messaggio di questo thread:
http://www.hwupgrade.it/forum/showpost.php?p=22633978&postcount=1
c'è scritto cosa dovresti fare come del resto ti posiziona correttamente il link inserito nella "guida alla disinfezione per infetti", probabilmente io non riesco a capire quale fosse la tua difficoltà a reperire le informazioni in merito... :(

[nana89]

ti chiedo scusa ma è evidente che non solo ilsolo ad aver commesso distrazioni, tipo leggere il primo messaggio di questo thread:
http://www.hwupgrade.it/forum/showpost.php?p=22633978&postcount=1
c'è scritto cosa dovresti fare come del resto ti posiziona correttamente il link inserito nella "guida alla disinfezione per infetti", probabilmente io non riesco a capire quale fosse la tua difficoltà a reperire le informazioni in merito... :(

Sì c'è scritto cosa dovrei fare, ed infatti è quello che ho fatto. Il problema è che io non capisco con hijackthis, o con altre cose, quali cose dovevo eliminare visto che non hanno lo stesso nome di quelli degli altri due casi...
Per il posizionamento dei log ho sbagliato, ma in casa abbiamo due computer e al momento non potevo utilizzare questo (quello buono) e in quello infettato andava tutto lento, si bloccava tutto, e quindi non ho potuto linkare i log o postarli per bene.
Per quanto riguarda il fatto "non capisco quale fosse la tua difficoltà a reperire le informazioni" beh, avrei da ridire...come non dovrei avere difficoltà io, non dovrebbe averle nemmeno l'utente neru (non ce l'ho con te, ti sto solo prendendo ad esempio) eppure a lui avete risposto... evidentemente una difficoltà c'è..ed è quella che ti ho spiegato all'inizio. Non sapevo cosa eliminare e cosa tenere, come eliminare totalmente dei file tolti dal registro di sistema (dato che ritornavano).
Mi è dispiaciuto solo il fatto che non mi abbiate completamente considerata, che se avessi avuto ancora il virus, probabilmente sarei stata un altro giorno ancora, se non di più, aspettando le vostre risposte che non arrivavano.
Sarà stata una dimenticanza, però vabbè dai....chiudiamo il discorso tanto ormai ho risolto :)

[wjmat]

..si >.<'' gli exe non me li fa partire nemmeno da li......
Sono un po' scoraggiato <.<'''
Prova con il rescue cd di avira
Tutte le info le trovi qui
http://www.hwupgrade.it/forum/showthread.php?t=1689812

vediamo se riesce a togliere qualcosa di fastidioso

[Chill-Out]

Scansione complete scan ovviamente dopo averlo installato ed aggiornato con SUPERANTISPYWARE ==> http://www.hwupgrade.it/forum/showthread.php?t=1567399

Scansione completa ovviamente dopo averlo installato e aggiornato con MalwareBytes' Antimalware (http://www.malwarebytes.org/mbam.php)

NB: gli eventuali malware rilevati vanno messi in quarantena e ricorda di allegare i log

[xcdegasp]

Sì c'è scritto cosa dovrei fare, ed infatti è quello che ho fatto. Il problema è che io non capisco con hijackthis, o con altre cose, quali cose dovevo eliminare visto che non hanno lo stesso nome di quelli degli altri due casi...
Per il posizionamento dei log ho sbagliato, ma in casa abbiamo due computer e al momento non potevo utilizzare questo (quello buono) e in quello infettato andava tutto lento, si bloccava tutto, e quindi non ho potuto linkare i log o postarli per bene.
Per quanto riguarda il fatto "non capisco quale fosse la tua difficoltà a reperire le informazioni" beh, avrei da ridire...come non dovrei avere difficoltà io, non dovrebbe averle nemmeno l'utente neru (non ce l'ho con te, ti sto solo prendendo ad esempio) eppure a lui avete risposto... evidentemente una difficoltà c'è..ed è quella che ti ho spiegato all'inizio. Non sapevo cosa eliminare e cosa tenere, come eliminare totalmente dei file tolti dal registro di sistema (dato che ritornavano).
Mi è dispiaciuto solo il fatto che non mi abbiate completamente considerata, che se avessi avuto ancora il virus, probabilmente sarei stata un altro giorno ancora, se non di più, aspettando le vostre risposte che non arrivavano.
Sarà stata una dimenticanza, però vabbè dai....chiudiamo il discorso tanto ormai ho risolto :)

giuse osservazioni e rinnovo le scuse :mano:

[Dwaine]

ciao, purtroppo ho beccato un virussone pure io... non so di che genere sia, mi è successo domenica scorsa, ho fatto varie scansioni con AVG, Spyware terminator e Spybot, tutto adesso sembra tranquillo ma accanto all orologio c'è ancora la voce VIRUS ALERT, qualcosa mi dice che nn ho risolto del tutto il problema...

mi potete aiutare? :rolleyes:

[wjmat]

ciao, purtroppo ho beccato un virussone pure io... non so di che genere sia, mi è successo domenica scorsa, ho fatto varie scansioni con AVG, Spyware terminator e Spybot, tutto adesso sembra tranquillo ma accanto all orologio c'è ancora la voce VIRUS ALERT, qualcosa mi dice che nn ho risolto del tutto il problema...

mi potete aiutare? :rolleyes:
http://www.hwupgrade.it/forum/showpost.php?p=22669034&postcount=53

[Dwaine]

http://www.hwupgrade.it/forum/showpost.php?p=22669034&postcount=53

ma quindi il fatto che rimanga ancora scritto virus alert, nn significa per forza che il virus sia ancora presente?

perchè ok togliere la scritta... ma se il problema virus rimane nn serve a gran che ....

[wjmat]

ma quindi il fatto che rimanga ancora scritto virus alert, nn significa per forza che il virus sia ancora presente?

perchè ok togliere la scritta... ma se il problema virus rimane nn serve a gran che ....
se ci fai vedere i log richiesti dalla guida alla disinfezione possiamo verificare che il pc sia pulito ;)

[Onya]

Salve ragazzi, ho lo stesso problema del virus alert di fianco all'orologio.
Ora sto facendo la scansione con ADS Scanner. Se dopo vi postassi i log in ordine che avete chiesto all'inizio, qualcuno potrebbe darmi una mano?
A presto.


[Grazie ragazzi con combofix sembra esser tornato tutto apposto.]

[wjmat]

posta i log che diamo un occhio ;)

[xcdegasp]

novità?

[neru]

..scusate se sono scomparso, ma sono stato fuori casa fino a ieri sera.
Sto provvedendo a procurarmi alcuni software scaricati da altri computer, non appena li avrò procederò con le scansioni di SuperAntiSpyware e MalwareBytes' Antimalware... e successivamente con un rescue cd...

Grazie ancora, vi farò sapere.

[xcdegasp]

preferisco a-squared perchè è pronto all'uso cosa che invece non succede per susperantispyware che richiede l'aggiornamento post installazione perchè altrimenti ha il database molto limitato e vecchio :)

[pagno76]

salve a tutti anche io mi sono beccato questa m....a ma dopo svariate scansioni sono riuscito ad eliminare tutto!
Solo non sono riuscito a far riapparire il disco primario in risorse del computer....
potreste diri che chiave di reg. devo modificare per farlo tornare?

[Chill-Out]

salve a tutti anche io mi sono beccato questa m....a ma dopo svariate scansioni sono riuscito ad eliminare tutto!
Solo non sono riuscito a far riapparire il disco primario in risorse del computer....
potreste diri che chiave di reg. devo modificare per farlo tornare?

Ciao prima fai una scansione con MBAM come indicato qui http://www.hwupgrade.it/forum/showthread.php?t=1789446
mi raccomando ricorda di allegare il log, se il problema persiste risolviamo in altro modo.

[neru]

...superantispyware non aggiorna(lo fa anche con avg per esempio), mbam non riesco ad eseguirlo(vedi problema .exe), ora sto facendo un'altra scansione con 2a-squared...

..proverò con il rescue cd di avira... non si rischia nulla, no?

[neru]

2A-Squared:

Scansionati

Files: 11504
Tracce: 430066
Cookies: 307
Processi: 42

Rilevato

Files: 0
Tracce: 0
Cookies: 19
Processi: 0
Chiavi registro: 0

Solo cookie -.-''

Bwa >.<'''

[xcdegasp]

...superantispyware non aggiorna(lo fa anche con avg per esempio), mbam non riesco ad eseguirlo(vedi problema .exe), ora sto facendo un'altra scansione con 2a-squared...

..proverò con il rescue cd di avira... non si rischia nulla, no?

pubblicaci un log di gmer e hijackthis e sysinspector :)

[neru]

Gmer non me lo fa installare.

SysInspector-DOOM-080820-2234.xml (http://wikisend.com/download/782000/SysInspector-DOOM-080820-2234.xml)
hijackthis.log (http://wikisend.com/download/517788/hijackthis.log)

[xcdegasp]

è un semplice exe nonc'è nulla da installare :)
comunque se a-squared ti ha trovato i cookies è perchènon hai fatto la pulizia con atf-cleaner che èrichiesta primadi procedere con la guida..

riesegui HiJackThis optando per l'opzione "Scan Only", al termine il pulsante in basso a sinistra si chiamerà "Fix Checked", quindi seleziona le righe da fixare e premi tale tasto.
fixa:
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Orb] "C:\Programmi\Winamp Remote\bin\OrbTray.exe" /background
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

poi riavvia e riprova a vedere se riesci a rieseguire i programmi che prima non riuscivi :)

[mauricio shogun]

Anche io ho lo stesso messaggio di virus al posto dell'orologio, solo che non so se è lo stesso tipo di virus. Io ho una particolarità; anche a voi sullo sfondo del desktop compare una schermata che ricopre lo sfondo dove cliccando da qualunque parte, porta a pagine web pre-impostate. Volevo solo sapere se il tipo di virus era quello e potevo usare le vs indicazioni per eliminarlo.

P.S. Ho installato successivamente avast, mi ha fatto la scansione prima di entrare in windows eliminando diversi file, ma la schermata iniziale con lo sfondo tarocco che porta a collegamenti pagine web non è andato via! Help!

[Chill-Out]

Anche io ho lo stesso messaggio di virus al posto dell'orologio, solo che non so se è lo stesso tipo di virus. Io ho una particolarità; anche a voi sullo sfondo del desktop compare una schermata che ricopre lo sfondo dove cliccando da qualunque parte, porta a pagine web pre-impostate. Volevo solo sapere se il tipo di virus era quello e potevo usare le vs indicazioni per eliminarlo.

P.S. Ho installato successivamente avast, mi ha fatto la scansione prima di entrare in windows eliminando diversi file, ma la schermata iniziale con lo sfondo tarocco che porta a collegamenti pagine web non è andato via! Help!

Segui questa Guida
http://www.hwupgrade.it/forum/showthread.php?t=1789446

[omega86]

Ciao a tutti!
scrivo dal pc di un amico che si è preso questo virus. ho cercato di seguire le indicazioni che avete dato ma non ho i dati di accesso come amministratore del sistema. c'è un modo di recuperare l'id e la pw di accesso o devo rassegnarmi a formattare?

[Chill-Out]

Ciao a tutti!
scrivo dal pc di un amico che si è preso questo virus. ho cercato di seguire le indicazioni che avete dato ma non ho i dati di accesso come amministratore del sistema. c'è un modo di recuperare l'id e la pw di accesso o devo rassegnarmi a formattare?

Riesce ad accedere in modalità provvisoria, se si segui questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1789446

[Dwaine]

Rieccomi posto i log con un po di ritardo :D

li ho rarrati insieme e uploadati dove avete consigliato, speriam bene :mbe:

http://www.mediafire.com/?jadzw0awmea

Questa è l img di DrWeb

http://img371.imageshack.us/img371/7130/immaginedrwebth4.jpg

[omega86]

Riesce ad accedere in modalità provvisoria, se si segui questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1789446

sono riuscito ad accedere come administrator, non ho seguito quella guida ma mi sono perso in altre discussioni nei meandri del forum ed eccomi qua :D

tanto per cominciare vorrei segnalarvi che già come administrator il pc non presenta i sintomi dell'infezione, in altre parole, loggandomi come admin è tutto ok quindi la parte infetta riguarda solo l'account utente che il mio amico utilizza (per fortuna)

tornando a noi, ho disabilitato il ripristino di sistema, fatta la pulizia con ATFCleaner e con ADS Scanner

posto il log di a squared e procedo intanto f-secure online :D

[Chill-Out]

sono riuscito ad accedere come administrator, non ho seguito quella guida ma mi sono perso in altre discussioni nei meandri del forum ed eccomi qua :D

tanto per cominciare vorrei segnalarvi che già come administrator il pc non presenta i sintomi dell'infezione, in altre parole, loggandomi come admin è tutto ok quindi la parte infetta riguarda solo l'account utente che il mio amico utilizza (per fortuna)

tornando a noi, ho disabilitato il ripristino di sistema, fatta la pulizia con ATFCleaner e con ADS Scanner

posto il log di a squared e procedo intanto f-secure online :D

Segui questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1789446

[omega86]

allora interrompo f-secure online? lascio stare di qua...

[Chill-Out]

allora interrompo f-secure online? lascio stare di qua...

ormai portalo a termine male non fà :)

NB: dal log di A-square si evince che le tracce rilevate non sono state passete in quarante, ti consiglio di ripetere la scnsione dopo aver utilizzato MBAM come da Guida

[omega86]

purtroppo ho già interrotto f-secure per iniziare MBAM, dopo MBAM rifarò a square stando attento di mettere la rona in quarantine. a presto nuove news :D

[xcdegasp]

basta clickare su elimina a fine scansione :)

[omega86]

allego log di mbam :)

[omega86]

ecco il log di a squared :)

[Chill-Out]

I malware rilevati sia da MBAM che da A-Squared devono essere passati in quarantena, dai log che hai allegato si evince che ciò non è stato fatto

Esempio

Moduli della memoria infetti:
C:\WINDOWS\system32\msliksurdns.dll (Rootkit.Agent) -> No action taken.

Value: HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run --> adiras rilevati: Trace.Registry.Suspicious
Value: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run --> Antivirus rilevati: Trace.Registry.Vista AntiVirus 2008 (Vav)
c:\documents and settings\all users\menu avvio\programmi\antivirus xp 2008 rilevati: Trace.Directory.Antivirus XP 2008
c:\documents and settings\all users\menu avvio\programmi\antivirus xp 2008\how to register antivirus xp 2008.lnk rilevati: Trace.File.Antivirus XP 2008
C:\Documents and Settings\Administrator\Cookies\[email protected][1].txt rilevati: Trace.TrackingCookie
C:\Documents and Settings\Administrator\Dati applicazioni\Mozilla\Firefox\Profiles\jg7nodge.default\cookies.txt:16 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Administrator\Dati applicazioni\Mozilla\Firefox\Profiles\jg7nodge.default\cookies.txt:17 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Administrator\Dati applicazioni\Mozilla\Firefox\Profiles\jg7nodge.default\cookies.txt:46 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Administrator\Dati applicazioni\Mozilla\Firefox\Profiles\jg7nodge.default\cookies.txt:51 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Administrator\Dati applicazioni\Mozilla\Firefox\Profiles\jg7nodge.default\cookies.txt:52 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Administrator\Dati applicazioni\Mozilla\Firefox\Profiles\jg7nodge.default\cookies.txt:53 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Administrator\Dati applicazioni\Mozilla\Firefox\Profiles\jg7nodge.default\cookies.txt:54 rilevati: Trace.TrackingCookie
C:\Documents and Settings\Administrator\Dati applicazioni\Mozilla\Firefox\Profiles\jg7nodge.default\cookies.txt:55 rilevati: Trace.TrackingCookie

[omega86]

ho fatto i log prima di mettere in quarantena il tutto. è un problema? :muro:

[Chill-Out]

ho fatto i log prima di mettere in quarantena il tutto. è un problema? :muro:

Si :) ripeti le scansioni ed allega i log prestando più attenzione ;)

[omega86]

scansione MBAM

[xcdegasp]

scansione MBAM

ottimo,prosegui con le scansioni :)

[Dwaine]

qualcuno può dirmi qualcosa sui miei log? :stordita:

[omega86]

scansione a squared

un rinnovato grazie a voi :D

[omega86]

cureIT non ha trovato nulla pertanto non crea neanche il log.

vado avanti con hijackthis

eccovi il log di hijackthis. attendo fiducioso :D

[xcdegasp]

non è assolutamente vero che non crea il log!

manca anche f-secure/kaspersky-tool..

non so se tis ei reso conto ma malwarebytes ti ha estirpato un rootkit forse qualcosa significa e dovresti essere preoccupato della salute del tuo pc...

riesegui HiJackThis optando per l'opzione "Scan Only", al termine il pulsante in basso a sinistra si chiamerà "Fix Checked", quindi seleziona le righe da fixare e premi tale tasto.
fixa:

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: (no name) - {DB73C233-FD5B-4766-B835-B7BB4A33B40C} - C:\WINDOWS\system32\qoMEwutS.dll (file missing)
O2 - BHO: QXK Olive - {DF6C9A95-CDD0-4EFC-9C2A-B6CA365F7396} - C:\WINDOWS\wnlmdakqlag.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: bgrqfetx - {892B88A3-DC94-4A1F-A75A-9AA50061A683} - C:\WINDOWS\bgrqfetx.dll (file missing)
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [9xadiras] 9xadiras.exe
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKCU\..\Run: [Nokia.PCSync] C:\Programmi\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - HKLM\..\Policies\Explorer\Run: [FNTkrJlOSH] C:\Documents and Settings\All Users\Dati applicazioni\rglafips\hubodevu.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: DSLMON.lnk = ?
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{5B7159BF-D2C9-41C1-BC7E-AADDDAF91DCE}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{92439FD8-CA6E-45FD-AD3B-571C44FC9047}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{5B7159BF-D2C9-41C1-BC7E-AADDDAF91DCE}: NameServer = 192.168.1.1
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 192.168.1.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{5B7159BF-D2C9-41C1-BC7E-AADDDAF91DCE}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 192.168.1.1
O22 - SharedTaskScheduler: delayingly - {e89fa8e9-5c0b-45f6-a70e-f7b177bcd193} - (no file)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe

HiJackthis non rimuove nessun file pertanto i programmi continueranno a funzionare come al solito solo che ho colto l'occasione per farti risparmiare un po' di risorse oltre a farti stoppare cose riconducibili all'infezione :)

[omega86]

sto rifacendo la scansione con cureIT per riportare il log, ho fixato quelle voci di hijackthis...

credi che abbia incasinato tutto e debba ricominciare da capo o finisco cureIT e passo a f-secure online?

grazie per la pazienza :cry:

ma il log di cureIT è enorme: 22MB :/

CureIt.txt (http://wikisend.com/download/640654/CureIt.txt) :D

[xcdegasp]

prosegui facendo cureit e f-secure... :)
usando il parserloglo scremi infatti riportandolo a dimensioni contenute, devi solo legegre e fare cio che hai letto nulla di più facile...
il pc è tuo ma senza la tua collaborazione non si va da nessuna parte ;)

[omega86]

link log scremato con parserlog (www.hwupgrade.helloweb.eu/ParserLog/log/output4184702561.txt)

allego log f-secure :D

[Chill-Out]

link log scremato con parserlog (www.hwupgrade.helloweb.eu/ParserLog/log/output4184702561.txt)

allego log f-secure :D

Dovremmo essere OK allega un nuovo log di HijackThis

[omega86]

ecco l'ultimo log di hijackthis :)

[Chill-Out]

ecco l'ultimo log di hijackthis :)

Ma il tuo antivirus che dovrebbe essere AVG è funzionante?

[omega86]

si, ho avg ed è funzionante.

ultimi aggiornamenti. tutte le operazioni eseguite finora sono state fatte dall'account administrator mentre il virus/trojan o quello che è si manifestava solamente sotto l'account utente. questa mattina, verificando, ho potuto notare che l'account utente era ancora afflitto dai malfunzionamenti dovuti all'amico.

a questo punto ho rifatto in sequenza atfcleaner, ads scanner e mbam ed il grosso sembra essere andato via.

ci sono alcune quisquilie, tipo il fatto che il tutto è ancora in quarantena mentre io vorrei, se fosse possibile, eliminarlo definitivamente dal computer. Inoltre sostituendo lo sfondo, c'è la parte in alto a sinistra del monitor (1/4) che resta a sfondo bianco anche impostando gli sfondi predefiniti di xp

di buono c'è che la scritta virus alert è scomparsa e sono tornate le iconcine di programmi in background di fianco all'orologio, è tornato a posto il menu start (in pratica sono tornate risorse del computer & co.) ed il task manager è di nuovo mio!!! :D

intanto allego i prodotti della mattinata :D

[Chill-Out]

si, ho avg ed è funzionante.

ultimi aggiornamenti. tutte le operazioni eseguite finora sono state fatte dall'account administrator mentre il virus/trojan o quello che è si manifestava solamente sotto l'account utente. questa mattina, verificando, ho potuto notare che l'account utente era ancora afflitto dai malfunzionamenti dovuti all'amico.

a questo punto ho rifatto in sequenza atfcleaner, ads scanner e mbam ed il grosso sembra essere andato via.

ci sono alcune quisquilie, tipo il fatto che il tutto è ancora in quarantena mentre io vorrei, se fosse possibile, eliminarlo definitivamente dal computer. Inoltre sostituendo lo sfondo, c'è la parte in alto a sinistra del monitor (1/4) che resta a sfondo bianco anche impostando gli sfondi predefiniti di xp

di buono c'è che la scritta virus alert è scomparsa e sono tornate le iconcine di programmi in background di fianco all'orologio, è tornato a posto il menu start (in pratica sono tornate risorse del computer & co.) ed il task manager è di nuovo mio!!! :D

intanto allego i prodotti della mattinata :D

Scansione con A-Squared - DrWeb CureIt - HijackThis ed allega i log

Per il problema del Desktop fai questa prova Start -> Pannello di controllo -> Schermo - Desktop - Personalizza desktop - Web all'inteno del box bianco denominato Pagine Web: elimina tutte le eventuali voci tipo:

# Security Info
# Warning Message
# Security Desktop
# Warning Homepage
# Privacy Protection
# Desktop Uninstall

a parte Pagina iniziale corrente

poi togli il segno di spunta da Blocca oggetti del desktop e clicca su OK, al termine doppio click su Schermo e vedi se riesci a cambiare le impostazioni del Desktop (sfondo....etc)

[omega86]

ecco il log di a squared

e quello di drweb (www.hwupgrade.helloweb.eu/ParserLog/log/output7838563839.txt)

[omega86]

allego ultimo log di hijackthis

[neru]

è un semplice exe nonc'è nulla da installare :)
comunque se a-squared ti ha trovato i cookies è perchènon hai fatto la pulizia con atf-cleaner che èrichiesta primadi procedere con la guida..

riesegui HiJackThis optando per l'opzione "Scan Only", al termine il pulsante in basso a sinistra si chiamerà "Fix Checked", quindi seleziona le righe da fixare e premi tale tasto.
fixa:
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Orb] "C:\Programmi\Winamp Remote\bin\OrbTray.exe" /background
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

poi riavvia e riprova a vedere se riesci a rieseguire i programmi che prima non riuscivi :)

O.ò Ma adesso io ho fatto soltanto quella scansione che mi hai detto tu, mica ho rifatto tutta la guida...! E da quando invece avevo provato la guida è passato del tempo, ho navigato, è normale che io abbia nuovi cookies... ò.o

In ogni caso, per quanto riguarda gmer, che sia un programma da installare o meno è sempre un exe e non me lo fa partire.
Ho fixato le voci che mi dicevi, riavviato e... niente.

:(

[xcdegasp]

@ neru:
forse è il caso di ripartire da zero visto il tempo trascorso e come affermi hai continuato a usare il cp quindi è del tutto lecito pensare si sia rigenerata anche l'infezione... :muro:

[Chill-Out]

allego ultimo log di hijackthis

Riesegui HJT e fixa le seguenti voci:

O24 - Desktop Component 0: Privacy Protection - (no file)
O4 - HKCU\..\Run: [mkwcq] "c:\documents and settings\canegallo\impostazioni locali\dati applicazioni\mkwcq.exe" mkwcq

allega nuovo log, il problema del Desktop è stato risolto?

[peppeb]

Ciao a ttti! sono nuovo del forum, potreste darmi una mano conil virus alert?

non so dove mettere mano..in poche parole i dischi rigidi non ci sono,
il task manager disattivato.


vi posto il log di hijack...


grazie millleeee:)

[xcdegasp]

Ciao a ttti! sono nuovo del forum, potreste darmi una mano conil virus alert?

non so dove mettere mano..in poche parole i dischi rigidi non ci sono,
il task manager disattivato.


vi posto il log di hijack...


grazie millleeee:)
riesegui HiJackThis optando per l'opzione "Scan Only", al termine il pulsante in basso a sinistra si chiamerà "Fix Checked", quindi seleziona le righe da fixare e premi tale tasto.
fixa:

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O2 - BHO: QXK Olive - {E350B1C6-A8DC-4EEF-90DB-61DCAE9D1B67} - C:\WINDOWS\rodqgpvlkoa.dll (file missing)
O2 - BHO: D - {F6A65A3F-8BE9-3A93-AF4A-A1049E1B613C} - C:\WINDOWS\kx94640.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: qalkfxor - {18C388BB-5014-4906-AE38-E62BA5AA7387} - C:\WINDOWS\qalkfxor.dll (file missing)
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O17 - HKLM\System\CCS\Services\Tcpip\..\{660F2C7C-523E-4EF8-A40B-3EAE3CFB113B}: NameServer = 212.216.172.62,212.216.172.162
O17 - HKLM\System\CCS\Services\Tcpip\..\{C82230B9-5BC4-4D00-BBED-B7D354BB990A}: NameServer = 212.216.172.62,212.216.172.162
O17 - HKLM\System\CS1\Services\Tcpip\..\{660F2C7C-523E-4EF8-A40B-3EAE3CFB113B}: NameServer = 212.216.172.62,212.216.172.162
O17 - HKLM\System\CS2\Services\Tcpip\..\{660F2C7C-523E-4EF8-A40B-3EAE3CFB113B}: NameServer = 212.216.172.62,212.216.172.162
O17 - HKLM\System\CS3\Services\Tcpip\..\{660F2C7C-523E-4EF8-A40B-3EAE3CFB113B}: NameServer = 212.216.172.62,212.216.172.162
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: MobilePre Installer (MobilePreInstallerService) - Unknown owner - C:\Programmi\M-Audio\MobilePre\Install\MPInst.exe (file missing)


poi leggi qui:
http://www.hwupgrade.it/forum/showpost.php?p=22669034&postcount=53

[Chill-Out]

Segui questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1789446 ed allega i log per il controllo come indicato nella stessa

[peppeb]

GRANDE!!!

tutto risolto in poche mosse! grazie millle stavo impazzendo!!
:D :D :cool: :D :D

[peppeb]

un ultima cosa, il pc sembra pulito e funzionante, unica cosa è che non mi appare il disco c in risorse di computer.

cosa puo essere?

[Chill-Out]

un ultima cosa, il pc sembra pulito e funzionante, unica cosa è che non mi appare il disco c in risorse di computer.

cosa puo essere?

http://www.hwupgrade.it/forum/showthread.php?t=1789446 hai fatto le scansioni indicate in questa Guida? Se si allega i log

[xcdegasp]

un ultima cosa, il pc sembra pulito e funzionante, unica cosa è che non mi appare il disco c in risorse di computer.

cosa puo essere?

non è detto che abbiamo finito con quelle due mosse, certo la speranza è che sia pulito così velocemente però ora prova a fare le altre scansioni di quella guida linkata da Chill-Out..
non vorrei che tu abbia altre cosette che malwarebytes e hijackthis da soli non vedono :)

e per il disco fisso dai un occhio qui a vedere se trovi qualcosa di utile:
http://www.hwupgrade.it/forum/showthread.php?t=1599603

[peppeb]

questo è il log di A-squared

:)

[peppeb]

questo invece il log d Malware..

[Chill-Out]

questo invece il log d Malware..

Dal log di MBAM si evince che non hai messo in quarantena i malware rilevati

Chiavi di registro infette:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VSPlugin (Trojan.FakeAlert) -> No action taken.

Apri MBAM il file di log da allegare per il controlo si trova nel Tab File di log, cercalo nell'eventualità non fosse presente devi ripetere la scansione e mettere in quarantena i malware rilevati

[peppeb]

ok, ecco cosa ho trovato nella tap ke dici tu.

[wjmat]

così è ok, procedi pure

[peppeb]

cosa devo fare?:) :D

[wjmat]

cosa devo fare?:) :D
mi pare tu stia seguendo qui no?
http://www.hwupgrade.it/forum/showpost.php?p=22669034&postcount=53

[peppeb]

sto seguando http://www.hwupgrade.it/forum/showthread.php?t=1789446

l'allert l ho sistemato.

il pc mi sembra molto meglio ora..sebra normale.


altri suggerimenti per concludere?

[wjmat]

sto seguando http://www.hwupgrade.it/forum/showthread.php?t=1789446

l'allert l ho sistemato.

il pc mi sembra molto meglio ora..sebra normale.


altri suggerimenti per concludere?
se stai seguendo li manca cureit e hijackthis

[peppeb]

ho fatto la scansione con cureit, ha trovato alcuni trojan e li ho curati.

il pc è tornato come prima, c'è tutto.

ora faccio una scansione con hijack e vi posto il log .

[peppeb]

eccolo. ci sono ankora cose da sistemare secondo voi?

ma questi finti antivirus come fanno ad entrare? cerco sempre di tenere il pc pulito, ho tolto anke emule.

[peppeb]

log

[wjmat]

log

La tua versione di Hijackthis non è aggiornata....scarica da qui (http://www.trendsecure.com/portal/en-US/threat_analytics/HiJackThis.zip) l'ultima versione di Hijackthis e mettila in una sua cartella dedicata, rifai la scansione e carica il nuovo log secondo le modalità (http://www.hwupgrade.it/forum/showthread.php?t=1751598)

[peppeb]

presa, non so proprio come è successo ma il pc è di nuovo a terra.

ti posto il log, ho cercato di eliminare le voci che la prima volta mi avevate detto di eliminare( qualke post fa) ma appena le fixo mi dice che non regedit è disabilitato.

cosi sono andato nella modalita provvisoria ma quelle voci con la scansione non ci sono...help...

:muro:

[wjmat]

presa, non so proprio come è successo ma il pc è di nuovo a terra.

ti posto il log, ho cercato di eliminare le voci che la prima volta mi avevate detto di eliminare( qualke post fa) ma appena le fixo mi dice che non regedit è disabilitato.

cosi sono andato nella modalita provvisoria ma quelle voci con la scansione non ci sono...help...

:muro:

Lancia HiJackThis
Clicca Do a scan only
Metti la spunta a fianco delle righe che ti segnalo qui sotto
Clicca su Fix Checked
Riavvia il pc
Lancia HiJackThis
Do a system scan and save a logfile
Carica il nuovo log con la funzione gestisci allegati


Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ecc.) disinstallale pure se non le usi.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programmi\DNA\btdna.exe"
O4 - HKCU\..\Run: [Run] "C:\Documents and Settings\Peppe\Dati applicazioni\Adobe\Manager.exe"
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O21 - SSODL: rqbmvpso - {323D5072-7D58-4F32-ADAC-1079DCFA5C8B} - C:\WINDOWS\rqbmvpso.dll
O21 - SSODL: pdoskegl - {CEB125A9-D409-4BB7-9DCF-29F924904E1C} - C:\WINDOWS\pdoskegl.dll

[peppeb]

fatto, alcune cose si sono risolte, m non mi compare ancora il disco c. e gli aggiornamenti sono disabilitati e non me li fa attivare. mi dice "impossibile attivare gli aggiornamenti"


ecco il log come mi hai chiesto:)

[Chill-Out]

fatto, alcune cose si sono risolte, m non mi compare ancora il disco c. e gli aggiornamenti sono disabilitati e non me li fa attivare. mi dice "impossibile attivare gli aggiornamenti"


ecco il log come mi hai chiesto:)

http://www.hwupgrade.it/forum/showpost.php?p=23818282&postcount=2

[peppeb]

fatto, risolto con il disco c e il menu di windows.

ma gli aggiornamenti automatici sono disattivati e non riesco ad attivarli, vado in amministrazione e li trovo disabilitati,
li abilito ma mi esce l'errore.

inoltre , ma non so se dipende dal virus, ogni volta che apro internet explorer 7 trovo le impostazione pryvacy a livello basso di sicurezza...

:confused:

[Dwaine]

errore

[Dwaine]

errore

[Dwaine]

errore

[Chill-Out]

Ti suggerisco di aprire una nuova discussione dopo aver rieseguito con le dovute modalità
Guida alla disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1599737) allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

Ogni singolo log, esclusivamente in formato txt a parte SynInspector e nell'ordine indicato in Guida, deve essere hostato su Wikisend, clicca qui per raggiungere Wikisend (http://wikisend.com/), pubblicando, nella discussione, singolarmente, per ogni log, il link che verrà rilasciato per il download

*** REGOLE di SEZIONE - obbligatoria la lettura!! *** (http://www.hwupgrade.it/forum/showthread.php?t=1751598)

PS: dai tuoi log risulta più di un problema

[xcdegasp]

@ Dwaine:
ti ho spostato qui: http://www.hwupgrade.it/forum/showthread.php?p=23875766
così possiamo disinfettarti bene :)

[xcdegasp]

ci si sposta qui:
Guida alla rimozione dei Falsi Antispyware - Antivirus - Utility (Antivirus2008/AntivirXP08/ecc) (http://www.hwupgrade.it/forum/showthread.php?t=1789446)