Internet funziona ma FF e IE non aprono nessun sito [Archivio]

View Full Version : Internet funziona ma FF e IE non aprono nessun sito

R3D.Kn16h7

29-07-2008, 10:34

Ho un bel grosso problema. Premetto che ho Win XP SP3 aggiornato con antivirus Avast! e Cerio Personal Firewall. Il mio problema è che ne Firefox ne Ie7 aprono alcun sito, mentre internet è connesso (eMule, MSN, mIRC, Hamachi, ...): va tutto tranne il browser.

SpyBot non trova niente, Avast! nemmeno e non so proprio cosa sia.

Ho trovato che terminando Svchost.exe (quello che usa RPCSS.dll [remote procedure call]) torna tutto alla normalità (anche se XP mi dice che deve assolutamente riavviare).

Aggiungo anche che il Ripristino Configurazione non ha effetto.
Avast! mi ha appena trovato un visurs chiamato ckdisk o simili, non so se centra qualcosa.

Inoltre appena faccio partire GEMR, il PC si riavvia inesorabilmente. Sarebbe bello non dover formattare.

Ecco qui il mio post di Hjt (non trovo nulla di strano):
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:28:17, on 29.07.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\COMODO\Firewall\cfp.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe
C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\Programmi\Picasa2\PicasaMediaDetector.exe
C:\Programmi\filehippo.com\UpdateChecker.exe
C:\Programmi\Logitech\SetPoint\SetPoint.exe
C:\Programmi\COMODO\Firewall\cmdagent.exe
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Logitech\khalshared\KHALMNPR.EXE
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programmi\File comuni\Logitech\LComMgr\Communications_Helper.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\File comuni\Logitech\LComMgr\LVComSX.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Mozilla Firefox 3 Beta 2\firefox.exe
C:\Programmi\Spybot - Search & Destroy\SpybotSD.exe
C:\Documents and Settings\Filippo\Desktop\procexp.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.ch/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = http://go.microsoft.com/fwlink/?LinkId=54843
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost;*.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Programmi\COMODO\Firewall\cfp.exe" -h
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [StartCCC] "C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [ATICustomerCare] "C:\Programmi\ATI\ATICustomerCare\ATICustomerCare.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Picasa Media Detector] C:\Programmi\Picasa2\PicasaMediaDetector.exe
O4 - HKCU\..\Run: [filehippo.com] "C:\Programmi\filehippo.com\UpdateChecker.exe" /background
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [DWQueuedReporting] "C:\PROGRA~1\FILECO~1\MICROS~1\DW\dwtrig20.exe" -t (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programmi\Logitech\SetPoint\SetPoint.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Append to existing PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Wireless Service - C:\Programmi\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: COMODO Firewall Pro Helper Service (CmdAgent) - Unknown owner - C:\Programmi\COMODO\Firewall\cmdagent.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Programmi\File comuni\Logitech\Bluetooth\LBTServ.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe
O23 - Service: Servizio di condivisione in rete Windows Media Player (WMPNetworkSvc) - Unknown owner - C:\Programmi\Windows Media Player\WMPNetwk.exe (file missing)

--
End of file - 9862 bytes

wizard1993

29-07-2008, 10:41

allora segui questa procedura http://www.hwupgrade.it/forum/showthread.php?t=1599737 allegando i log dopo averli caricati su wikisend, salta l'eset Sysinspector che per lo meno io non sono in grado di interpretare

R3D.Kn16h7

29-07-2008, 10:53

Provvedo

giofio

29-07-2008, 10:56

Hai provato a disabilitare o disinstallare comodo firewall e vedere se va?

wizard1993

29-07-2008, 10:57

Hai provato a disabilitare o disinstallare comodo firewall e vedere se va?

che finalità avrebbe tale affermazione?

giofio

29-07-2008, 10:59

che finalità avrebbe tale affermazione?

Il firewall potrebbe bloccargli l'accesso ad internet dei browser.

wizard1993

29-07-2008, 11:03

Il firewall potrebbe bloccargli l'accesso ad internet dei browser.

e non degli altri? sarebbe come dire che blocca solo quello che non deve bloccare: le trasmissioni sulla porta 80

giofio

29-07-2008, 11:06

e non degli altri? sarebbe come dire che blocca solo quello che non deve bloccare: le trasmissioni sulla porta 80

Gli altri non li blocca, può essere che per errore ha negato l'accesso ad internet ai browser. Possono capitare problemi del genere con i firewall.

wizard1993

29-07-2008, 11:08

Gli altri non li blocca, può essere che per errore ha negato l'accesso ad internet ai browser. Possono capitare problemi del genere con i firewall.

è da una vita che ne uso e nei installo e mai sentito una cosa del genere, sai fosse stato un errore di programmazione, ma addirittura (se non sbaglio) comdo ha già un trusted list con i browser inseriti

R3D.Kn16h7

29-07-2008, 11:12

Non può essere CPF, l'ho disabilitato e l'ho anche terminato. So che a volte CPF da problemi di compatibilità con altri programmi ma stavolta non è lui, anche perchè non l'ho toccato.

Per ora cmq Dr.Web CureIT non da riscontri, ESET SysInspector nemmeno, GMER fa crashare il PC, HiJackThis sembra a posto, PrevxCSI non da problemi.

All'appello mancano Kaspersky Virus Removal Tool, A-Squared Free v3.x e ADS Scanner 2.0.

Cosa può bloccare la porta 80?

R3D.Kn16h7

29-07-2008, 11:16

Rettifico, PrevCSI ha trovato in Win32 dombho.dll e domie.dll, non possiedo la licenza per eliminarli e ora provo manualmente.

EDIT: Li ho eliminati manualmente con successo, ma non sembrano la causa del problema.

R3D.Kn16h7

29-07-2008, 11:38

Ora sono riuscito a connettermi con il PC infetto dopo aver terminato tutti gli Svchost.exe (sono praticamente senza PC e non è cambiato nulla) e l'updater FileHippo, ne deduco che il problema non è RPCSS.dll ma FileHippo. Molto strano però.

Sysinspector riferisce i seguenti problemi:
cmuda.sys -> credo sia il driver audio

A dire il vero il resto non ci capisco molto :p

Per chiu avesse tempo di guardare ecco il log:
http://wikisend.com/download/938904/SysInspector-FILIPPO-50QUJB0-080729-1128.zip

AGGIORNAMENTO:
Sarà che prima non me ne sono accorto ma ora non mi lascia nemmeno spostare le Icone di Explorer °_° Non è possibile...

Toori

29-07-2008, 12:30

wizard1993

29-07-2008, 12:46

voglio tutti i log, altrimenti non me ne faccio di nulla

R3D.Kn16h7

29-07-2008, 13:10

Scusate se mi intrometto, ma anche io ho questo problema ...

Giorni fa il mio SpyBot mi ha trovato Virtumonde.dll e grazie ai vostri consigli l'ho eliminato (almeno spero) ... adesso però il problema è che non riesco a far funzionare Google nè con IE nè con Mozilla Firefox ...

Ho installato WinXp Sp2, Nod32 e SpyBot ...

Nell'avvio automatico, SpyBot mi rileva una dll Bc....dll e qualche cosa che non riesco ad eliminare nel senso che appena lo disabilito, subito dopo riappare come per magia ...

Consigli ???

Se è solo Google puoi provare con i file degli Host (guarda in SpyBot), oppure con Hijack vedi subito se è bloccato.

Per i log:
Sysinspector -> http://wikisend.com/download/938904/SysInspector-FILIPPO-50QUJB0-080729-1128.zip
HJT -> http://wikisend.com/download/489428/hijackthis.log
A2Free -> http://wikisend.com/download/936946/a2scan_080729-125536.txt (per ora solo scanzione Normale non Deep)
Dr.WEB -> http://wikisend.com/download/549816/kasper.txt (Si è bloccato 2 volte al 80%)
Kaspersky Virus Rem. -> http://wikisend.com/download/586226/CureIt.log
PrevxCSI -> Solo dombho.dll e domie.dll
GMER -> Causa il riavvio di XP

Aggiungo che sembra che ogni volta è un processo diverso che mi iMpedisce di connettermi con FF o IE.

giofio

29-07-2008, 14:31

Aggiungo che sembra che ogni volta è un processo diverso che mi iMpedisce di connettermi con FF o IE.

Ma sono processi di sistema o sconosciuti? Se i secondi dovresti dirci almeno in che cartella si trovano e che estensione hanno.

Io comunque la prova di disinstallare comodo(non disattivare) la farei.

R3D.Kn16h7

29-07-2008, 15:04

Sono tutti conosciuti, ma sempre diversi (programmi della Logitech, svchost, ...), provo sempre a terminarli in ordine diverso, ma... ogni volta FF va quando ne termino uno diverso.

Cmq provo a disistallarlo, tenta non nuoce...

wizard1993

29-07-2008, 15:06

Ma sono processi di sistema o sconosciuti? Se i secondi dovresti dirci almeno in che cartella si trovano e che estensione hanno.

Io comunque la prova di disinstallare comodo(non disattivare) la farei.

e rimanere senza l'unica protezione all'integrità strutturale del sistema, visto che al 75% precvedo rootkit? se prima installa prosecurity o eqsecure va bene altrimenti, meglio lasciarlo un attimino stare

R3D.Kn16h7

29-07-2008, 15:13

Non riesco più nemmeno a copiare da Mozilla, cioè faccio ctrl + c o copia ma non copia nulla, stessa cosa per incollare mentre con altri programmi funziona... IE non si avvia più... La CPU continua a skizzare perchè i processi impazziscono °_° Eddai...

Abbè al massimo formatto e buona notte (la mia no, perchè passerò il tempo a reinstallare...)

Ho messo su EQ secure, ora vedo...

giofio

29-07-2008, 15:39

Scarica systemscan www.suspectfile.com/systemscan , non usare altre applicazioni, avvialo, controlla che tutte le caselle siano spuntate ed inizia la scansione.

NB:Potrebbe sembrare che il programma non sta lavorando o si blocchi: è normale. Dagli tutto il tempo di cui necessita.:)

wizard1993

29-07-2008, 15:55

allora visto che gmer crasha e prevxcsi hai detto non trova niente (mi fido)
l'unica cosa che sincermante non avevo mai visto è questo coso
C:\Programmi\filehippo.com\UpdateChecker.exe

ce l'hai messo tu?

R3D.Kn16h7

29-07-2008, 16:47

Ora l'ho tolto perchè pensavo fosse quello a causare problemi, invece no. Il programma semplicemente controlla se sono disponibili alcuni aggiornamenti per i software istallati, ce l'avevo messo per provare come funzionava.

http://www.suspectfile.com/systemscan => sinceramente Avast! me lo segnala virus.

Ora per connettermi ho dovuto terminare SetPoint, quale sarà il prossimo processo???

EDIT: Uhm... mi viene un dubbio, la causa potrebbe essere il servizio Bonjour di Apple? Perchè a quanto ricordo ieri mi è venuto il pallino anti-itunes-e-quick-time e o tolto tutto il software apple incluso bonjour. Vedendo però che alcuni programmi poi mi hanno dato problemi (non ricordo quali) bonjour ce l'ho rimesso. Forse il problema è dato da una scorretta istallazione del servizio (che a qualcosa a che fare coi DNS)....

EDIT2: Non è Comodo il problema comunque...

EDIT3: Provato anche con AVG anti rootkit (non si sa mai), nessun riscontro.

wizard1993

29-07-2008, 17:31

cosa cavolo è setpoint?

R3D.Kn16h7

29-07-2008, 17:52

Il programma delle tastiere Logitech (lo uso solo perchè non è bello premere il tasto start quando giochi a Dow => il programma lo disabilita)

wjmat

29-07-2008, 19:41

R3D.Kn16h7 le tue scansioni non sono complete...
cureit Durata scansione: 00:04:10
kasp Duration: 00:39:36
a-squared Tempo scansione: 0:05:26
vediamo di farle complete altrimenti non risolviamo più ;)

intanto carica correttamente il log di prevx che facciamo fuori subito quella robaccia che ha trovato....

se vanno tutti i programmi per web tranne i browser solitamente è per colpa dei dns...
Fai Start -> Esegui -> Digita cmd (invio)
Nella finestra dos che si apre digita
ipconfig /all
poi click sx in alto a sinistra sul simbolo c:\ della finestra dos -> modifica -> seleziona tutto -> batti INVIO
apri il blocco note, incolla, salva il file e allegalo con il comando Gestisci allegati"

wjmat

29-07-2008, 19:46

giofio

29-07-2008, 20:07

http://www.suspectfile.com/systemscan => sinceramente Avast! me lo segnala virus.

E' un falso positivo, mi ero dimenticato di dire che molti antivirus sbagliano:)

wizard1993

29-07-2008, 20:22

mi ero dimenticato di dire che molti antivirus sbagliano:)

colpa anche mia, anche io ne ero conoscenza ma non l'ho citato, mea culpa

Toori

30-07-2008, 08:44

Ragazzi ieri ho usato F-secure scan da internet e ComboFix ... a quanto pare mi hanno rilevato decine tra virus e altro ... purtroppo ho sbagliato ad inviarmi il file a lavoro, e invece del log ho inviato i files messi in quarantena da Combofix.

Per ora vi allego quelli, stasera o domattina allego il resto.

Grazie ancora.

wjmat

30-07-2008, 08:53

R3D.Kn16h7

30-07-2008, 10:17

giofio

30-07-2008, 10:29

wjmat

30-07-2008, 10:32

Allora il rtisultato di IpConfig è allegato, ora riprovo con a2 e prevx.

EDIT: Ora anche PrevX CSI, non riesce a connettersi a internet, quindi non scansiona. A2 non si connette, invece Firefox e IE vanno. È troppo strano....

Non so che dire, forse è davvero comodo, ora mi cerco un buon firewall per rimpiazzarlo.
leggi il trattamento che ho in firma ed installa online armor, è free, è uno dei migliori ed è il più facile da configurare

poi Start → Impostazioni → Pannello di Controllo → Rete e connessioni internet → Doppio click Connessione di rete → Doppio click su Protocollo Internet TCP/IP → Metti la spunta su Utilizza i Seguenti DNS → Inserisci
208.67.222.222
208.67.220.220

poi ci risentiamo

R3D.Kn16h7

30-07-2008, 10:46

Bene, li ho cambiati (anche se sembra andare tutto un po' strano (alcune pagine non si vedono bene oppure firefox mi dice "File non trovato")).

Di preciso cos'è che fanno i DNS?

Ora provvedo a scaricare online armor.

Non so se c'entra ma FireFox si sta mangiando la mia RAM, ora arriva a 144 mega e continua ad aumentare °_°

wjmat

30-07-2008, 11:03

http://it.wikipedia.org/wiki/DNS

firefox ciuccia molto ma così mi sembra troppo, dopo vediamo anche questo...

R3D.Kn16h7

30-07-2008, 11:16

Allora io ho istallato il firewall ma inesorabilmente FireFox e IE hanno smesso di volersi connettee ad Internet.

giofio

30-07-2008, 11:22

Allora io ho istallato il firewall ma inesorabilmente FireFox e IE hanno smesso di volersi connettee ad Internet.
Puoi usare systemscan?

R3D.Kn16h7

30-07-2008, 11:26

Provo, anche lui però non riesce a connettersi ad internet.

wjmat

30-07-2008, 11:28

rifammi il nuovo log con
C:\Documents and Settings\Filippo>ipconfig /all

dimenticavo......
http://www.hwupgrade.it/forum/showpost.php?p=23516651&postcount=25
le scansioni non erano complete
carica il log di prevx che hai già

systemscan non è contemplato in questa sezione, lascialo stare per ora

giofio

30-07-2008, 11:30

Provo, anche lui però non riesce a connettersi ad internet.

Mi sembra che non gli serve la connessione:)

R3D.Kn16h7

30-07-2008, 11:35

Purtroppo i log non li ho. Ed ora la scansione non la fanno più quegli imbecilli °_° Mi dice:
PrevX CSI could not connect to the Internet to detect the newest therears... Please etabilish a working Internet connection and press OK to continmue. In you wish to configure Proxy settings, click Cancel.

Ora sto provando con suspectfile, spero almeno che trovi qualcosa (gli serve la connesione per aggiornarsi ma comunque funziona).

giofio

30-07-2008, 11:38

Purtroppo i log non li ho. Ed ora la scansione non la fanno più quegli imbecilli °_°

Ora sto provando con suspectfile, spero almeno che trovi qualcosa (gli serve la connesione per aggiornarsi ma comunque funziona).

No, non gli serve per aggiornarsi:)

R3D.Kn16h7

30-07-2008, 11:42

Comuqnue systemscan si è impallato e non risponde -__-

giofio

30-07-2008, 11:43

Comuqnue systemscan si è impallato e non risponde -__-

é normale, mi sembra di avertelo scritto. Non svolgere altre operazioni e abbi pazienza.

Edit: http://www.hwupgrade.it/forum/showpost.php?p=23513419&postcount=20

wjmat

30-07-2008, 11:46

disabilita il dhpc e imposta un ip fisso

sotto la scheda di rete imposta manualmente
Indirizzo IP. . . . . . . . . . . . . : 192.168.2.xx
Subnet mask . . . . . . . . . . . . . : 255.255.255.0
Gateway predefinito . . . . . . . . . : 192.168.2.1

al posto di xx metti un indirizzo che sai sia vuoto

R3D.Kn16h7

30-07-2008, 11:51

Ho messo l'ip manuale ma non trovo niente che riguarda il DHCP.

wjmat

30-07-2008, 11:58

devi disabilitarlo nel router
in un browser vai all'indirizzo 192.168.2.1
entrerai nel menù del browser, cerca e disabilità il dhpc

avrai bisogno di login e password per entrarci, le trovi nelle istruzioni

dopo che lo fai, riavvia e nuovo log delle impostazioni

R3D.Kn16h7

30-07-2008, 12:05

Ho credo di averlo fatto, ma pensi sia per questo che le connesioni vengono bloccate?

wjmat

30-07-2008, 12:25

sei sempre connesso con cavo ethernet vero?
non vengono bloccate le connessioni, bisogna che le configurazioni di pc e router sia corrette

il dhpc a volte crea casini, quindi con ip fissi prima si cerca di far funzionare correttamente il tutto e poi se necessario si reimposta il dhpc.

ora come sei messo?

R3D.Kn16h7

30-07-2008, 13:28

Allora, io sono connesso tramite Ethernet, disabilitanto il DHCP PrevxCSI non si connette ancora.

wjmat

30-07-2008, 13:35

le impostazione del tuo provider sono corrette nel router?
posta elettronica e msn funzionano?

R3D.Kn16h7

30-07-2008, 14:26

Le impostazioni le ho controllate e sono OK. MSN va e con thunderbird non c'è nessun problema.

wjmat

30-07-2008, 14:42

i browser hanno ancora problemi?
carica un nuovo log della configurazioe ed uno di hijackthis

R3D.Kn16h7

30-07-2008, 16:06

I browser non hanno più problemi, eppure Prevx ed altri tools non si connettono ad internet. Inoltre sto senza Firewall.

Diciamo che se prima erano i Browser a non andare ora sono i software di aggiornamento automatico (MSN, Thunderbird, Aggiornamento di Avast!, eMule e torrent funzionano).

Questo il risultato di Ipconfig:
Microsoft Windows XP [Versione 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\Filippo>ipconfig /all

Configurazione IP di Windows

Nome host . . . . . . . . . . . . . . : filippo-50qujb0
Suffisso DNS primario . . . . . . . :
Tipo nodo . . . . . . . . . : Sconosciuto
Routing IP abilitato. . . . . . . . . : No
Proxy WINS abilitato . . . . . . . . : No

Scheda Ethernet Connessione rete senza fili 10:

Suffisso DNS specifico per connessione:
Descrizione . . . . . . . . . . . . . : D-Link AirPlus DWL-G520 Wireless
PCI Adapter(rev.B)
Indirizzo fisico. . . . . . . . . . . : 00-15-E9-33-87-12
DHCP abilitato. . . . . . . . . . . . : No
Indirizzo IP. . . . . . . . . . . . . : 192.168.2.100
Subnet mask . . . . . . . . . . . . . : 255.255.255.0
Gateway predefinito . . . . . . . . . : 192.168.2.1
Server DNS . . . . . . . . . . . . . : 208.67.222.222
208.67.220.220

Scheda Ethernet Hamachi:

Suffisso DNS specifico per connessione:
Descrizione . . . . . . . . . . . . . : Hamachi Network Interface
Indirizzo fisico. . . . . . . . . . . : 7A-79-05-39-77-18
DHCP abilitato. . . . . . . . . . . . : Sì
Configurazione automatica abilitata . : No
Indirizzo IP. . . . . . . . . . . . . : 5.57.119.24
Subnet mask . . . . . . . . . . . . . : 255.0.0.0
Gateway predefinito . . . . . . . . . : 5.0.0.1
Server DHCP . . . . . . . . . . . . . : 5.0.0.1
Lease ottenuto. . . . . . . . . . . . : mercoledì, 30. luglio 2008 12:03
:15
Scadenza lease . . . . . . . . . . . : mercoledì, 30. luglio 2008 12:07
:30

C:\Documents and Settings\Filippo>

wjmat

30-07-2008, 16:23

Lancia HiJackThis → clicca Do a scan only → metti la spunta a fianco delle righe che ti segnalo qui sotto → clicca su Fix Checked → Riavvia il pc
Lancia HiJackThis → Do a system scan and save a logfile → Carica il nuovo log
_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programmi\DAEMON Tools Lite\daemon.exe" -autorun
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O20 - AppInit_DLLs:

comodo risulta ancora caricato e se contiene settaggi non ok quei software non si collegheranno..

avast e comodo rimpiazzali con antivir e online armor, ottimi ed entrambi free
i dettagli li trovi nel trattamento che ho in firma

devi ancora rifare tutte le scansioni che ti avevo segnalato, vedo ancora infezioni

R3D.Kn16h7

30-07-2008, 16:39

Ok, ora riavvio, ma quali scansioni mancano, perchè PrevX e A2 non partono nemmeno e kaspersky si blocca a metà, GMER crasha.

wjmat

30-07-2008, 16:51

queste erano quelle incomplete
cureit Durata scansione: 00:04:10
kasp Duration: 00:39:36
a-squared Tempo scansione: 0:05:26

R3D.Kn16h7

30-07-2008, 18:17

OK vedo se partono, comuqnue ecco l'ultimo log di HJT (ci mancava solo il temporale che fa cadere internet ogni 2 minuti +_+).

Cmq da quello che vedo il presunto virus attacca spesso SetPoint (o altri processi Logitech) oppure i Firewall, vedo di togliere anche SetPoint.

devi ancora rifare tutte le scansioni che ti avevo segnalato, vedo ancora infezioni

Dove vedi le infezioni?

wjmat

30-07-2008, 18:29

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

queste restrizioni sono solitamente generate da virus
prevx aveva trovato qualcosa che hai ancora dentro o sbaglio?

R3D.Kn16h7

30-07-2008, 19:02

Dombho.dll e Domie.dll, che ho provveduto ad eliminare manualmente. Le voci le ho fixate ma non se ne vogliono andare.

La scansione completa di Cureit ci mette due secoli.

Ma le restrizioni di IE non posssono essere quelle di SpyBot? Tutto quello che potevo bloccarlo di IE l'ho bloccato.

OK CureIt ha finito ecco il log (2 mega +_+)

http://wikisend.com/download/211876/CureIt.txt

WOW sono riuscito a far partire PrevX, fra poco il log. --> Scansione Completa, nessun riscontro, tutto pulito.

wjmat

30-07-2008, 19:51

ti ho detto che le scansioni devono essere complete.....

R3D.Kn16h7

30-07-2008, 19:57

°_° riprovo, ma CureIT aveva finito...

wjmat

30-07-2008, 20:00

°_° riprovo, ma CureIT aveva finito...
era la scansione breve iniziale

R3D.Kn16h7

30-07-2008, 20:10

No, era una che andava avanti da 40 minuti...

wjmat

30-07-2008, 20:12

manca a-squared e kasp
e magari subito quella veloce di prevx

R3D.Kn16h7

30-07-2008, 20:15

Quella di PrevX non ho visto che poteva salvare il LOG, la rifaccio, cmq non ha trovato nulla di strano.

effetivamente ora mi ha trovato Trojan StartPage 1505 nella cartella di SpyBot, che sia quello?

wjmat

30-07-2008, 20:47

Con prevx a fine scansione, qualunque sia il suo esito, clicca su Options>> -> Salva un file di log

Aspettiamo kasp e a-squared completi, senza di quelli non si va avanti ;)

R3D.Kn16h7

30-07-2008, 21:53

Quelli che ho fatto fino ad ora:
Prevx -> http://wikisend.com/download/485724/prevX.txt
Kasper -> http://wikisend.com/download/546236/Kasper.txt

wjmat

31-07-2008, 08:41

aspettiamo anche a-squared

R3D.Kn16h7

31-07-2008, 10:49

Sta andando da stamattina ed è a un terzo del lavoro, la scanzione è bella apporfondita °_° :sofico:

R3D.Kn16h7

31-07-2008, 14:05

Finalmente a2free ha finito rivelando sei problemi (di cui 4 pericolosi) che ho provveduto a rimuovere:
http://wikisend.com/download/682634/a2scan_080731-084848.txt

giofio

31-07-2008, 14:12

Finalmente a2free ha finito rivelando sei problemi (di cui 4 pericolosi) che ho provveduto a rimuovere:
http://wikisend.com/download/682634/a2scan_080731-084848.txt

Purtroppo erano nel ripristino di sistema e quindi non la causa dei tuoi problemi.

A proposito, non si sono ancora risolti?

R3D.Kn16h7

31-07-2008, 14:41

No, capita ancora che all'accensione i browser non vanno, terminando l'applicazione giusta riesco a farli andare.

Ora sto porvvedendo con un'altra scansione di CureIt, magari trova dell'altro (dubito anche perchè tutti gli altri tools non rilevano niente).

Ma qualcuno sa quale può essere la causa che fa riavviare il PC quando avvio GMER?

giofio

31-07-2008, 15:07

Visto che le hai provate tutte tanto vale che fai anche systemscan che è forse quello più completo per vedere se c'è qualcosa.

Ma qualcuno sa quale può essere la causa che fa riavviare il PC quando avvio GMER?

E' un bug. Molti utenti l'hanno riscontrato.

wizard1993

31-07-2008, 15:40

Visto che le hai provate tutte tanto vale che fai anche systemscan che è forse quello più completo per vedere se c'è qualcosa.

E' un bug. Molti utenti l'hanno riscontrato.

allorase questa è la lista di quello che fa

- chiavi di avvio del registro (recuperate direttamente dagli hives) ->gmer/hijckthis
- lista degli utenti-> drweb cureit(lo vedi dalle cartelle in documents and settings o user che vengon ocreate automaticamente dalle api di sistema per o ogni utente)

- lista dei Browser helper objects (BHO) (hijackthis
- urlsearchhooks (gmer)
- componenti attivi installati (gmer)
- processi in esecuzione con le dll richiamate (gmer)
- elenco dei servizi e drivere di sistema attivi (gmer)
- lista dei servizi e dei driver di sistema non attivi (gmer)
- processi contenuti in svchost.exe (gmer)
- ricerca degli Alternate Data Streams (ads scanner)
- oggetti nascosti (file. servizi, processi) (gmer)
- presenza del kernel rootkit Rustock B (gmer)
- possibilit� di includere il log di Hijackthis (se trovato sul PC)
rimane quindi che fra tutti gli strumetni usati non fanno

- EFS dumping (rku)
- elenco dei file recenti (60 giorni) (ma le che vado uso combofix ma non serve)
- lista degli specialaccounts (come se serivsse a qualcosa)
- shared task scheduler (idem come sopra)
- ricerca file compressi con Upx, FSG, Polycrypt, Upack e altri (servisse a qualcosa)
puoi spiegare a un profano come me, a cosa servono queste ultime 5 fasi?

R3D.Kn16h7

31-07-2008, 15:49

Il fatto è che tutto ciò che dici viene rimpiZZato da GMER, che a me non funziona...

giofio

31-07-2008, 16:13

puoi spiegare a un profano come me, a cosa servono queste ultime 5 fasi?

1- non lo so :D
2- E' importante per vedere se ci sono dei file creati dal malware e magari ancora sconosciuti
3- Anche questo può essere utile, alcuni account posso essere stati creati da malintenzionati o sempre malware ed anche per vedere la configurazione dell'utente.
4- Forse è il menu utile
5- Forse il più importante. Sono spesso le compressioni tipiche dei malware (è da qui di solito che si riesce a riconoscerli).

Detto questo non puoi certo dirmi che Systemscan è inutile.

R3D.Kn16h7

31-07-2008, 16:14

Credo si sia sistemato tutto, quando ho iravviato per vedere se le pagine internet si aprivano quando inserivo il loro IP e non il dominio, il problema non è più comparso e spero sia stato misteriosamente eliminato, vi farò sapere se cambierà qualcosa. Strano... in fondo non ho fatto poi niente.

Cmq vi ringrazio molto per il dempo dedicatomi che mi ha risparmiato dal dover formattare tutto.

wizard1993

31-07-2008, 16:24

1- non lo so :D
2- E' importante per vedere se ci sono dei file creati dal malware e magari ancora sconosciuti
3- Anche questo può essere utile, alcuni account posso essere stati creati da malintenzionati o sempre malware ed anche per vedere la configurazione dell'utente.
4- Forse è il menu utile
5- Forse il più importante. Sono spesso le compressioni tipiche dei malware (è da qui di solito che si riesce a riconoscerli).

Detto questo non puoi certo dirmi che Systemscan è inutile.

1- nemmeno io
2- basta usare il ben più giovane ed efficente combofix
3- si vedono dalle cartelle in documents and settings
4- quoto
5- io i miei programmi li distribuisco tutti in upx, ma non sono certo malware

wjmat

31-07-2008, 19:09

R3D.Kn16h7

31-07-2008, 20:28

Ecco gli ultimi log:
PrevX http://wikisend.com/download/590828/prevx.txt
SysInspector http://wikisend.com/download/579014/SysInspector-FILIPPO-50QUJB0-080731-2008.xml
HJT http://wikisend.com/download/883150/hijackthis.txt

GMER come al solito crasha.

A dire il vero oggi, pensavo fosse passato, ma appena ho aperto non so più cosa per 2 min i browser non hanno funzionato, ho provato a digitare l'IP http://64.233.167.99/ e ha funzionato.

wjmat

31-07-2008, 21:11

rimuovi ad-aware e spyware doctor
dai un occhio al trattamento che ho in firma e rimuovi avast per antivir

Fai l'ultima scansione completa con Malwarebytes' Anti-Malware (http://www.malwarebytes.org/mbam.php)
Installalo e fallo aggiornare.
Se già l'hai installato lancialo e sotto la scheda " Aggiornamento" clicca su "Controlla aggiornamenti" fallo aggiornare, o riavviare e reinstallare se trova una nuova versione.
Una volta aggiornato sotto la scheda "Scansione" seleziona "Effettua una scansione completa"
Clicca su scansiona, seleziona tutti i dischi ed unità e seleziona "Avvia scansione"

A fine scansione seleziona tutte le voci trovate e clicca "Rimuovi elementi selezionati"

Si aprirà il log che dovrai caricare secondo le modalità (http://www.hwupgrade.it/forum/showthread.php?t=1779308)
Lo recuperi dal programma sotto la scheda "Files di log" oppure più comodo Start -> Esegui -> Copia ed incolla il testo rosso
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs (invio)

R3D.Kn16h7

31-07-2008, 21:27

rimuovi ad-aware e spyware doctor ---> a dire il vero non ce li ho °_°

wjmat

31-07-2008, 21:33

allora sono solo rimaste tracce nel registro...

R3D.Kn16h7

31-07-2008, 21:36

Li avevo tempo fa, eppure ho fatto "pulizia" del registro...

wjmat

31-07-2008, 21:46

ora devo scappare poi ti sistemo anche quelli