Sistema rallentato

[Black_Pearl]

Salve a tutti! Sono nuova di queste parti, mi ha suggerito il link un amico dicendomi che questo sito è una bibbia online.
Ho questo problema: l'altro giorno, essendomi accorta di avere un virus (improvvisamente tutto si era rallentato, la CPU lavorava al 100%, spariva la barra delle applicazioni di Windows Vista) ho prontamente installato una serie di Antivirus, Antispyware e programmi di pulizia. Ho fatto varie scansioni e rimosso un centinaio di files infetti da trojan e vari, ho cancellato tutte le cache, i files temporanei, ecc., ho fatto analizzare il log di Hijackthis e non da' più nulla di sospettoso eppure il computer continua ad essere lento.
Ci vogliono 3 minuti per arrivare alla scelta dell'utente, e più o meno altri 3 minuti perché scelto l'utente carichi tutte le impostazioni. Poi è lento a lavorare e ogni tanto le finestre di risorse del computer si bloccano con (non risponde).
Avete qualche suggerimento? Preciso che alla fin fine non so quale virus ha colpito il mio pc, perché ne ho rimossi almeno una quindicina!

[wjmat]

Ciao benvenuta nel pronto soccorso di HU.
Leggi le regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598) e poi segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui tutte le scansioni ed il caricamento dei relativi log nelle modalità e nell'ordine indicato.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner e cancellato gli asd con ADS Scanner, vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):

log di A-squared scansione deep aggiornato ad oggi
log di F-Secure OnLine oppure di Kaspersky Virus Removal Tool scaricato oggi
log di Dr.Web CureIT scaricato ed aggiornato ad oggi
log di ESET SysInspector
log di HiJackThis
log di Gmer
log di PrevxCSI


Con la pulizia files inutili, ads e le scansioni lunghe di antispyware (1) ed antivirus (2 e 3) avrai un pc già parzialmente ripulito, con le restanti scansioni veloci noi avremo le informazioni necessarie per i restanti interventi.


Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

Questa (http://www.hwupgrade.it/forum/showthread.php?t=1779308) è una brevissima guida alla pubblicazione dei log
Questo (http://www.hwupgrade.it/forum/showpost.php?p=22872366&postcount=1) è un esempio preciso ed ordinato di come vorremmo tu caricassi i log

link utili per il caricamento log ed immagini
caricamento log wikisend.com (http://wikisend.com/), mediafire.com (http://www.mediafire.com/index.php)
caricamento immagini fileqube (http://fileqube.com/)

[Black_Pearl]

Allego i vari log richiesti:
1) A-squared: http://wikisend.com/download/476894/a2scan_080717-221436.txt
2) F-Secure Online si è chiuso automaticamente mentre cercava di rimuovere i files infetti
3) Dr Web: http://wikisend.com/download/473568/CureIt.zip
4) ESED SysInspector: http://wikisend.com/download/570338/SysInspector-PC-JESSICA-080720-1831.xml
5) HijackThis: http://wikisend.com/download/502242/hijackthis.log
6) Gmer: http://wikisend.com/download/486626/gmer.log
7) PrevxCSI: http://wikisend.com/download/208610/prevx.log

Dopo tutte queste scansioni è sempre lento all'avvio, e occasionalmente si blocca. Da' poi il seguente errore al caricamento dell'utente: file mancante users\jessica\appdata\local\temp\nydqswkq.dll

[wjmat]

la scansione di f-secure era importante, avresti dovuto fare quella con kaspersky invece che continuare ;)

Lancia HiJackThis → clicca Do a scan only → metti la spunta a fianco delle righe che ti segnalo qui sotto → clicca su Fix Checked
_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia6300\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [outlook] C:\Program Files\outlook\outlook.exe /auto
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\awttRHYR.dll,#1
O4 - HKLM\..\Run: [runner1] C:\Windows\mrofinu1000106.exe 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661AA4EBD86D67C56389B284534F310
O4 - HKLM\..\RunOnce: [MyWebSearch bar Uninstall] rundll32 C:\PROGRA~1\UNINST~1.DLL,O -3
O4 - HKCU\..\Run: [a8e10f81] rundll32.exe "C:\Users\JESSICA\AppData\Local\Temp\nydqswkq.dll",b
O4 - HKCU\..\Run: [MSServer] rundll32.exe C:\Users\JESSICA\AppData\Local\Temp\vtUmJbcA.dll,#1
O4 - HKCU\..\Run: [cmds] rundll32.exe C:\Users\JESSICA\AppData\Local\Temp\wvUlifDU.dll,c



Scarica Avenger da qui (http://swandog46.geekstogo.com/avenger.zip)
Lancialo → Clicca Ok → Incolla TUTTO il codice, che ti ho segnalato qui sotto, nel riquadro bianco del programma → Clicca su Execute
Attendi riavvio del pc. Se non si riavvia da solo fallo manualmente.
Al riavvio verrà salvato un log di Avenger. Postalo per vedere se la procedura ha funzionato.

Files to delete:
C:\Users\JESSICA\AppData\Local\Temp\mcxqomwd.dll
C:\Users\JESSICA\AppData\Local\Temp\cqqumrun.dll
C:\Users\JESSICA\AppData\Local\Temp\ddcBrOed.dll
C:\Windows\SkVTU0lDQQ\command.exe


al riavvio anche nuovo log di hijackthis

tutto questo per cercare di agevolare la scansione completa che farai poi con kaspersky che mancava prima

[monkey island]

Salve a tutti! Sono nuova di queste parti, mi ha suggerito il link un amico dicendomi che questo sito è una bibbia online.
Ho questo problema: l'altro giorno, essendomi accorta di avere un virus (improvvisamente tutto si era rallentato, la CPU lavorava al 100%, spariva la barra delle applicazioni di Windows Vista) ho prontamente installato una serie di Antivirus, Antispyware e programmi di pulizia. Ho fatto varie scansioni e rimosso un centinaio di files infetti da trojan e vari, ho cancellato tutte le cache, i files temporanei, ecc., ho fatto analizzare il log di Hijackthis e non da' più nulla di sospettoso eppure il computer continua ad essere lento.
Ci vogliono 3 minuti per arrivare alla scelta dell'utente, e più o meno altri 3 minuti perché scelto l'utente carichi tutte le impostazioni. Poi è lento a lavorare e ogni tanto le finestre di risorse del computer si bloccano con (non risponde).
Avete qualche suggerimento? Preciso che alla fin fine non so quale virus ha colpito il mio pc, perché ne ho rimossi almeno una quindicina!

In futuro cerca di loggarti sempre come utente semplice :)

[xcdegasp]

Allego i vari log richiesti:
1) A-squared: http://wikisend.com/download/476894/a2scan_080717-221436.txt
2) F-Secure Online si è chiuso automaticamente mentre cercava di rimuovere i files infetti
3) Dr Web: http://wikisend.com/download/473568/CureIt.zip
4) ESED SysInspector: http://wikisend.com/download/570338/SysInspector-PC-JESSICA-080720-1831.xml
5) HijackThis: http://wikisend.com/download/502242/hijackthis.log
6) Gmer: http://wikisend.com/download/486626/gmer.log
7) PrevxCSI: http://wikisend.com/download/208610/prevx.log

Dopo tutte queste scansioni è sempre lento all'avvio, e occasionalmente si blocca. Da' poi il seguente errore al caricamento dell'utente: file mancante users\jessica\appdata\local\temp\nydqswkq.dll

dopo aver fatto quello che ti ha consigliato wjmat facci un nuovo log con f-secure,dr.web cureit,hijackthis, sysinspector e prevxcsi :)

[Black_Pearl]

Dopo un inutile tentativo con Kaspersky ("il programma ha smesso di funzionare") ho ritentato la scansione con F-Secure e stavolta ha funzionato fino alla fine, per qui allego i vari log:

Avenger: http://wikisend.com/download/960974/avenger.txt
HijackThis: http://wikisend.com/download/609742/hijackthis.log
F-Secure: http://wikisend.com/download/473550/f-secure.txt

E ora? Procedo con un'altra serie di scansioni come suggerito da xcdegasp?

[wjmat]

mi sembra già molto meglio...
carica i nuovi log di sysinspector e prevxcsi

[Black_Pearl]

Ecco le ultime analisi appena sfornate dal laboratorio! :read:

1) Sys Inspector: http://wikisend.com/download/570564/SysInspector-PC-JESSICA-080723-1628.zip
2) PrevxCSI: http://wikisend.com/download/557764/prevx csi.log

[wjmat]

come ti sembra il pc?

[Black_Pearl]

Mi sembra normale come velocità e funzionamento generale, l'unica cosa che è rimasta lenta è il caricamento degli utenti, da quando all'avvio selezioni l'utente con cui entrare ci mette diversi minuti per caricare il desktop e tutte le impostazioni, mentre prima non era così. Poi ad esempio facendo partire l'ultima scansione di SysInspector è andato in crash, schermata blu con una serie di scritte per il recupero dal crash dump... Se provassi a cancellare gli utenti attuali e ricrearne di nuovi?

[wjmat]

Lancia HiJackThis → clicca Do a scan only → metti la spunta a fianco delle righe che ti segnalo qui sotto → clicca su Fix Checked → Riavvia il pc
Lancia HiJackThis → Do a system scan and save a logfile → Carica il nuovo log
_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKCU\..\Run: [updateMgr] "C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AdobeUpdateManager.exe" AcStd7_0_7 -reboot 1
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-18\..\Run: [Nokia.PCSync] C:\Program Files\Nokia6300\Nokia PC Suite 6\PcSync2.exe /NoDialog (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Nokia.PCSync] C:\Program Files\Nokia6300\Nokia PC Suite 6\PcSync2.exe /NoDialog (User 'Default user')
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab


rimuovi le inutili toolbar
avast comincia a farlo sparire per l'ottimo e free antivir

[Black_Pearl]

Allego ultimo log eseguito con HijackThis:
http://wikisend.com/download/498330/hijackthis.log

Devo dire che dopo l'ultimo riavvio la situazione è notevolmente peggiorata, ci ha messo una vita ad avviare il mio utente. Ho fatto anche un tentativo creando un nuovo utente, e sembra che la situazione sia migliore, lo carica molto più velocemente. Non potrebbero essersi danneggiati dei files relativi agli utenti esistenti? Ho visto che molti virus si trovavano appunto nelle cartelle users\appdata...

[Black_Pearl]

Rettifico: è uguale per tutti gli utenti. Praticamente selezioni l'utente, vai a farti un caffè, torni, te lo bevi davanti al monitor, e finalmente ha caricato tutto. Poi cerchi di aprire Internet Explorer e lì puoi tranquillamente fumarti una sigaretta, se non fosse che io non fumo.
Fra un po' vola dal 4° piano... :muro:

[wjmat]

Fai una scansione completa con Malwarebytes' Anti-Malware (http://www.malwarebytes.org/mbam.php)
Lancialo e sotto la scheda " Aggiornamento" clicca su "Controlla aggiornamenti" fallo aggiornare, o riavviare e reinstallare se trova una nuova versione.
Una volta aggiornato sotto la scheda "Scansione" seleziona "Effettua una scansione completa"
Clicca su scansiona, seleziona tutti i dischi ed unità e seleziona "Avvia scansione"

A fine scansione seleziona tutte le voci trovate e metti tutto in quarantena.

Si aprirà il log che dovrai caricare, lo recuperi o dal programma sotto la scheda "Files di log" oppure più comodo Start -> Esegui -> Copia ed incolla il testo rosso
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs (invio)

solamente dopo
Disattiva eventuali protezioni in realtime di antivirus, antispyware, firewall.
Scarica da qui (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) Combofix
Scollegati da internet → Chiudi ogni altra finestra o programma
Lancialo → Aspetta che appaia una finestra in cui ti chieda di digitare 1 per continuare → Digita 1 → Attendi la scansione evitando di fare qualsiasi altra operazione → Dai conferma nel caso ti chieda di rimuovere alcuni driver → Attendi pazientemente senza toccare nulla → Al termine verrà mostrato il log che si trova in C:\ComboFix.txt. → Carica il log

[Black_Pearl]

Ecco gli ultimi log:

Malwarebytes: http://wikisend.com/download/565308/mbam-log-7-24-2008 (13-43-48).txt
Combofix: http://wikisend.com/download/965214/ComboFix.txt

La situazione non è migliorata, 5'20" dalla pressione del pulsante power alla piena operatività, e spesso si blocca, soprattutto utilizzando Risorse del Computer.

[wjmat]

Ecco gli ultimi log:

Malwarebytes: http://wikisend.com/download/565308/mbam-log-7-24-2008 (13-43-48).txt
Combofix: http://wikisend.com/download/965214/ComboFix.txt

La situazione non è migliorata, 5'20" dalla pressione del pulsante power alla piena operatività, e spesso si blocca, soprattutto utilizzando Risorse del Computer.

13.43.48 24/07/2008
mbam-log-7-24-2008 (13-43-48).txt

Tipo di scansione: Scansione rapida
Elementi scansionati: 42926
Tempo trascorso: 3 minute(s), 51 second(s)
ti avevo detto completa...

[Black_Pearl]

Un attimo di distrazione... :ave:
Ecco qui il log di Malwarebytes: http://wikisend.com/download/522348/mbam-log-7-24-2008 (21-37-06).txt
Devo rifare anche Combofix?

[giofio]

Quali sono le caratteristiche del sistema? (soprattutto quanta ram hai?)
Da hijackthis fixa anche:
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe"
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background (User 'Default user')
O4 - Global Startup: Avvio veloce di Adobe Acrobat.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
Poi vai in msn clicca dove puoi cambiare il tuo stato personale e seleziona "opzioni"--> "Generale"--> togli la spunta da "esegui automaticamente windows live messenger all'accesso di Windows"

[xcdegasp]

io ho ancora dei dubbi sulla reale pulizia... proviamo in questo modo:
1) imposta i dns di www.opendns.cominquestomodo evitiamo che si verifichino dei collegamenti a siti malevoli

2) pulizia con atf-cleaner usando tutte le funzioni! mi sembra strano che ogni volta hai spazzatura tra i temporanei

3) a-squared con scansone dee,chiedo specificcatamente a-squared perchè proviene da nuovo installer quindi sicuramente non compromesso

4) dr.web cureIT con scansione completa

5) prevxcsi

6) hijackthis

7) sysinspector


per favore mantieni questo ordine di esecuzione :)