MICROSOFT UPDATE!

[levriero]

Da alcuni gg NON riesco a controllare gli aggiornamenti su Microsoft Update...
A volte raggiungo la pagina ma ricevo errore e se chiudo iE in anticipo...crasha! A volte finisco sulla pagina di prova di MicrosoftUpdate...http://www.update.microsoft.com/microsoftupdate/v6/muoptdefault.aspx?returnurl=http://www.update.microsoft.com/microsoftupdate&ln=it ......come se NON fosse installato e mi verifica il contratto licenza(che ovviamente ho)poi va in erroreNumero errore 0x80070715.
I miei log sono puliti..NON trovo info utili su Microsoft.
Ho già resettato i settaggi di Ie
soft: XP sp3 il Pc in questione è di recente installazione.
Per assurdo la VM sul Pc aggiorna senza problemi...:muro:

[Gle89]

Benvenuto in questa sezione:)

Se dici che i tuoi log sono puliti (e noi li abbiamo visti,quindi non possiamo dartene una conferma) perchè pensi che sia un virus?

Ad ogni modo ti consiglio di seguire la Guida alla Disinfestazione (http://www.hwupgrade.it/forum/showthread.php?t=1599737) passo passo e alla fine allega tutti i log richiesti (nelle modalità espresse nelle regole di sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)) cosi potremo darti una mano!;)

[levriero]

Innanzitutto grazie per la disponibilità^^
Ti confermo che i logs sono puliti^^(ho già pulito il registro, file temp....ads...scansioni varie...esaminato il pc con Gmer, IceSwarsd,RootRepeal...scansioni onlinee tool vari ecc...ecc...niente da segnalare). Si tratta poi d'un pc fresco fresco...ed io NON sono un novizio^^eheheh
Nelle ultime ore ho fatto ricerche: si tratta d'un problema con Microsoft Update(e NON è la prima volta che mi capita....quindi forse sono nella sezione sbagliata)
La situazione un po' è cambiata...il sito d'aggiornamento lo raggiungo anche se con grande difficoltà...dal log.dell'update ho riscontrato fatal error.
Il sito mi demanda alla verifica contratto licenza(che viene verificata)e poi va in timeout. Ho reinstallato(forzando) Windows Update V.3 da Microsoft...il tipo d'errore è cambiato...NON riconosce come certificate delle dll e dei file necessari per winzozz update. Fatto in manuale..ma NON ho risolto.(Preciso che anche reinstallando il file Host originale NON risolvo)
Mi sa che sp3 sta facendo sentire i suoi limiti...ora faccio un backup e reinstallo brutalmente winzozz.Faccio sapere. L'errore attualmente riscontrato è (Numero errore: 0x8024D007...in rete NON c'è un granché).
Arrivo a questa pagina:http://www.updatexp.com/0x8024d007.html
Sono ancora lontano dalla soluzione.

[levriero]

Posto lo stesso log di GmerGMER 1.0.14.14536 - http://www.gmer.net
Rootkit scan 2008-08-19 11:13:06
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.14 ----

SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwAssignProcessToJobObject [0xBA46BEE8]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwConnectPort [0xA906D0D2]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwCreateFile [0xA906F302]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwCreateKey [0xBA46BC77]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwCreatePort [0xA906D02C]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwCreateSection [0xA906DAAE]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwCreateThread [0xBA46BD71]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwDebugActiveProcess [0xBA46BE84]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwDeleteFile [0xA906ECB0]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwDeleteKey [0xBA46BCC2]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwDeleteValueKey [0xBA46BCA9]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwLoadDriver [0xBA46BD3F]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwLockVirtualMemory [0xBA46BE52]
SSDT \??\C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.sys ZwOpenProcess [0xBA78A8AC]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwOpenSection [0xBA46BD8A]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwOpenThread [0xA906DCB0]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwProtectVirtualMemory [0xBA46BE39]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwQueryValueKey [0xBA46BECF]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwQueueApcThread [0xBA46BE07]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwReadVirtualMemory [0xBA46BE20]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwRenameKey [0xBA46BCDB]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwRequestWaitReplyPort [0xBA46BEB6]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwRestoreKey [0xBA46BD0D]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwSetContextThread [0xBA46BDD5]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwSetInformationFile [0xA906EDE0]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwSetSecurityObject [0xBA46BCF4]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwSetSystemInformation [0xBA46BE6B]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwSetValueKey [0xBA46BC90]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwShutdownSystem [0xA906DFA0]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwSuspendProcess [0xBA46BDEE]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwSuspendThread [0xBA46BDBC]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwSystemDebugControl [0xBA46BE9D]
SSDT \??\C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.sys ZwTerminateProcess [0xBA78A812]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwTerminateThread [0xBA46BDA3]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwWriteFile [0xA906F14A]
SSDT \SystemRoot\System32\DRIVERS\cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.) ZwWriteFileGather [0xA906EFB4]
SSDT \SystemRoot\system32\drivers\HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.) ZwWriteVirtualMemory [0xBA46BD58]

---- Kernel code sections - GMER 1.0.14 ----

.text ntkrnlpa.exe!ZwCallbackReturn + 2FB8 80504844 12 Bytes [ EE, BD, 46, BA, BC, BD, 46, ... ]
.text win32k.sys!EngAcquireSemaphore + 2642 BF8089B6 5 Bytes JMP 88D664D0
.text win32k.sys!EngCreateBitmap + D9AD BF845875 5 Bytes JMP 88D66610
.text win32k.sys!EngGradientFill + 5121 BF8B3D3F 5 Bytes JMP 88D66570
.text win32k.sys!PATHOBJ_bCloseFigure + 19D0 BF8ED993 5 Bytes JMP 88D667F0
? C:\WINDOWS\system32\Drivers\PAGEDFRG.SYS Impossibile trovare il file specificato. !

---- User code sections - GMER 1.0.14 ----

.text C:\Programmi\Comodo\Firewall\CPF.exe[2224] ntdll.dll!LdrLoadDll 7C9263A3 3 Bytes [ FF, 25, 1E ]
.text C:\Programmi\Comodo\Firewall\CPF.exe[2224] ntdll.dll!LdrLoadDll + 4 7C9263A7 2 Bytes [ 05, 5F ]
.text C:\Programmi\Comodo\Firewall\CPF.exe[2224] kernel32.dll!LoadLibraryExW 7C801AF5 6 Bytes JMP 5F070F5A

---- Kernel IAT/EAT - GMER 1.0.14 ----

IAT \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisCloseAdapter] [BA0FB6D0] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisOpenAdapter] [BA0FB730] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisDeregisterProtocol] [BA0FB950] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\ndiswan.sys[NDIS.SYS!NdisRegisterProtocol] [BA0FB910] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRegisterProtocol] [BA0FB910] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisOpenAdapter] [BA0FB730] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisCloseAdapter] [BA0FB6D0] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisDeregisterProtocol] [BA0FB950] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisDeregisterProtocol] [BA0FB950] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRegisterProtocol] [BA0FB910] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisOpenAdapter] [BA0FB730] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisCloseAdapter] [BA0FB6D0] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRegisterProtocol] [BA0FB910] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisDeregisterProtocol] [BA0FB950] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisCloseAdapter] [BA0FB6D0] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisOpenAdapter] [BA0FB730] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisCloseAdapter] [BA0FB6D0] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisOpenAdapter] [BA0FB730] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRegisterProtocol] [BA0FB910] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisDeregisterProtocol] [BA0FB950] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRegisterProtocol] [BA0FB910] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisOpenAdapter] [BA0FB730] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisCloseAdapter] [BA0FB6D0] inspect.sys (Comodo Personal Firewall Stateful Inspection Engine/COMODO)

---- Devices - GMER 1.0.14 ----

Device \FileSystem\Ntfs \Ntfs HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \FileSystem\Fastfat \FatCdrom HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \Driver\CmdMon \Device\ComodoRawIpFilter HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)

AttachedDevice \Driver\Tcpip \Device\Ip cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.)
AttachedDevice \Driver\Tcpip \Device\Ip HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)

Device \Driver\CmdMon \Device\ComodoUdpFilter HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)

AttachedDevice \Driver\Tcpip \Device\Tcp cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.)
AttachedDevice \Driver\Tcpip \Device\Tcp HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)

Device \FileSystem\Rdbss \Device\FsWrap HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \Driver\CmdMon \Device\ComodoTcpFilter HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \Driver\CmdMon \Device\ComodoIpFilter HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)

AttachedDevice \Driver\Tcpip \Device\Udp cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.)
AttachedDevice \Driver\Tcpip \Device\Udp HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
AttachedDevice \Driver\Tcpip \Device\RawIp cmdmon.sys (Comodo Application Engine driver/Comodo Research Lab., Inc.)
AttachedDevice \Driver\Tcpip \Device\RawIp HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)

Device \FileSystem\MRxSmb \Device\LanmanDatagramReceiver HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \FileSystem\MRxSmb \Device\LanmanRedirector HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \FileSystem\Fastfat \Fat HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)

AttachedDevice \FileSystem\Fastfat \Fat fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

Device \FileSystem\Fs_Rec \FileSystem\UdfsCdRomRecognizer HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \FileSystem\Fs_Rec \FileSystem\CdfsRecognizer HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \FileSystem\Fs_Rec \FileSystem\FatCdRomRecognizer HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \FileSystem\Fs_Rec \FileSystem\FatDiskRecognizer HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \FileSystem\Fs_Rec \FileSystem\UdfsDiskRecognizer HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)
Device \FileSystem\Cdfs \Cdfs HOOKHELP.sys (HookHelp/Beijing Rising Information Technology Co., Ltd.)

---- Registry - GMER 1.0.14 ----

Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Setup\ServiceStartup\wuapi.dll@TargetFile C:\WINDOWS\system32\wuapi.dll
Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Setup\ServiceStartup\wuapi.dll@CacheFile C:\WINDOWS\system32\SoftwareDistribution\Setup\ServiceStartup\wuapi.dll\7.0.6000.381\wuapi.dll
Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Setup\ServiceStartup\wuapi.dll@RegistrationFlags 1

---- EOF - GMER 1.0.14 ----

[xcdegasp]

sulmio winxp quando chiedo a IE di andare su windows-update che ogni volta non mi fa accedere perchè segnala la mancanza di activeX mi basta trasformare l'url da http:// in https:// e poi va lisciocome l'olio fino al prossimo reboot :D

[levriero]

sulmio winxp quando chiedo a IE di andare su windows-update che ogni volta non mi fa accedere perchè segnala la mancanza di activeX mi basta trasformare l'url da http:// in https:// e poi va lisciocome l'olio fino al prossimo reboot :D
Provato..nada..:cry:
Ci mette una vita a raggiungere la pagina...mi reindirizza sul controllo soft...poi m'informa che devo ri-registrare delle componenti..ed infine mi riconferma Terrore emmm..errore
:help:

[xcdegasp]

le hai riregistrate quelle dll ?

[levriero]

le hai riregistrate quelle dll ?

Zi,zi...RI-registrate sia sull'account che sull'admin da regedit
(specifico: le dll in questione sono quelle che ho trovato segnalate in Microsoft.com..e vari..non escludo possano essercene altre...misteri dello zio Bill..
Inoltre selezionando su Winzozz Update registra file(scelta consigliata)NON va a buon fine).

[xcdegasp]

l'unica è andare a prendere uno dei tool per aministratori per vedere se si bypassa il problema

[levriero]

Casomai proseguo qui...ok?

[xcdegasp]

per ora si poi semmai vediamo di spostarti in area windows :)

[levriero]

Proseguo qui come d'accordo.
Ho pulito ed installato Antivir.
A scansione completa mi beccaquesto:
C:\Programmi\Internet Explorer\iexplore.exe.tmp
[DETECTION] Contains recognition pattern of the SPR/FireWallPass program
Eliminato e riavviato...allego i nuovi log di gmer e hijack.
Per il resto ho passato al setaccio.
Anomalia solo in SpywareBlaster che non immunizza tutti gli activex e i cokie.
Windows Update ovviamente ha comportamento anomalo.
Gmer:GMER 1.0.14.14536 - http://www.gmer.net
Rootkit scan 2008-08-19 19:40:12
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.14 ----

log rimosso, leggere le Regole di Sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)


---- EOF - GMER 1.0.14 ----


HijackThis2:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18.38.45, on 19/08/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

log rimosso, leggere le Regole di Sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)


--
End of file - 6183 bytes


già che ci sono RootRepeal:
ROOTREPEAL (c) AD, 2007-2008
==================================================
Scan Time: 2008/08/19 18:56
Program Version: Version 1.0.2.0
Windows Version: Windows XP SP3
==================================================

Drivers
-------------------
log rimosso, leggere le Regole di Sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)



Attendo consigli...NON so + che pesci pigliare..sto già backuppando...:cry:

[levriero]

Allego anche un'immagine di IceSward...c'è questo unknow che non mi quadra..che ne dite? Qui ci vorrebbe NV25...

[xcdegasp]

logs rimossi, leggere le Regole di Sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)

[levriero]

logs rimossi, leggere le Regole di Sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)
OKY, ragione...log troppo corposi...ero di fretta e mi sono lasciato un po' andare^^
Tra l'altro fileqube è irraggiungibile...e wikisend mi da'continuamente errore...
Che ne pensi dell'immagine di IceSward?
Può essere rootkit?

[levriero]

risolto anch'io con mediafire:
http://www.mediafire.com/?sharekey=94ee2a688249ecbdd2db6fb9a8902bda

[Chill-Out]

Fai questa verifiva da Start - Esegui digita services.msc controlla che i seguenti servizi sia settati così:

Aggiornamenti automatici ->> automatico
RPC (Remote Procedure Call) ->> automatico
Servizi di crittografia ->> automatico
Servizio Ripristino configurazione di sistema ->> automatico
Servizio trasferimento intelligente in background ->> manuale

[levriero]

Fai questa verifiva da Start - Esegui digita services.msc controlla che i seguenti servizi sia settati così:

Aggiornamenti automatici ->> automatico
RPC (Remote Procedure Call) ->> automatico
Servizi di crittografia ->> automatico
Servizio Ripristino configurazione di sistema ->> automatico
Servizio trasferimento intelligente in background ->> manuale

In effetti avevo già dato un'occhiata ai servizi..
Tutto ok tranne il Servizio trasferimento intelligente che proprio NON compare

[Chill-Out]

In effetti avevo già dato un'occhiata ai servizi..
Tutto ok tranne il Servizio trasferimento intelligente che proprio NON compare

Servizio trasferimento intelligente in background mancante
Per reinstallare il Servizio trasferimento intelligente in background, attenersi alla seguente procedura:
1. Fare clic sul pulsante Start, scegliere Esegui, digitare il comando che segue e scegliere OK:
%windir%\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %windir%\inf\qmgr.inf
2. Se viene richiesto di inserire il CD del sistema operativo, digitare il seguente percorso nella casella Copia file da, quindi scegliere OK:
%windir%\ServicePackFiles\i386
Nota Questo percorso contiene i file del service pack aggiornati più di recente. Se non è possibile utilizzare questo percorso per copiare i file necessari, inserire il CD del sistema operativo, quindi scegliere OK.

[levriero]

Servizio trasferimento intelligente in background mancante
Per reinstallare il Servizio trasferimento intelligente in background, attenersi alla seguente procedura:
1. Fare clic sul pulsante Start, scegliere Esegui, digitare il comando che segue e scegliere OK:
%windir%\System32\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %windir%\inf\qmgr.inf
2. Se viene richiesto di inserire il CD del sistema operativo, digitare il seguente percorso nella casella Copia file da, quindi scegliere OK:
%windir%\ServicePackFiles\i386
Nota Questo percorso contiene i file del service pack aggiornati più di recente. Se non è possibile utilizzare questo percorso per copiare i file necessari, inserire il CD del sistema operativo, quindi scegliere OK.

Caspita...il file lo trovo nel cd(il mio è XP sp2)quindi mi sa che ci sarà qualche problemino...infatti:
bitsprx4.dll NON presente sul disco...
L'ho trovato nella cartella di Winzozz System32...spero NON sia infetto..(almeno VirusTotal NON lo rileva)
Completo la scansione...riavvio e posto i risultati^^
(interessante l'argomento bits...leggevo anche sul forum di Microsoft in inglese..ma li' NON avevano risolto)

[levriero]

Nada...servizio installato ma sito di update sempre in timeout..
Qualcosa forse ho trovato...
Credo che Iexplorer sia stato infettato...
Ci sto lavorando....Antivir aveva trovato ed eliminato ieri un file che definiva per bypassaggio firewall...
Adesso noto che l'eseguibile si chiama Iexplore.exe...faccio un po' di verifiche e torno. Thnks^^

[xcdegasp]

eventualmente lo reinstalli IE7 :)
http://www.microsoft.com/downloads/details.aspx?FamilyId=9AE91EBE-3385-447C-8A30-081805B2F90B&displaylang=it

[levriero]

Infatti^^
Per ora ho disinstallato ie7
Si è ripristinato ie6 ma Update è semre distante..Provo a reinstallare ie7 e vediamo.

[Chill-Out]

Nada...servizio installato ma sito di update sempre in timeout..
Qualcosa forse ho trovato...
Credo che Iexplorer sia stato infettato...
Ci sto lavorando....Antivir aveva trovato ed eliminato ieri un file che definiva per bypassaggio firewall...
Adesso noto che l'eseguibile si chiama Iexplore.exe...faccio un po' di verifiche e torno. Thnks^^

Infatti^^
Per ora ho disinstallato ie7
Si è ripristinato ie6 ma Update è semre distante..Provo a reinstallare ie7 e vediamo.

Bene il servizio è stato ripristinato, leggendo il tuo primo post si intuisce che i problemi derivano da una presunta infezione, dal momento che dici di aver seguito la Guida alla disinfezione, se avessi allegato i log sarebbe stato molto più facile.

[levriero]

Non sono certo d'infezione...potrei aver preso qualcosa in rete cercando info...
(I log ci sono..ehm qualcuno^^)
Comunque: Windows Update è raggiungibile...ma moooooooolto rallentato..
Esplorando la situazione con IceSward vedo che adesso ci sono una marea di connessioni in TimeWait..linko l'immagine:http://www.mediafire.com/?sharekey=94ee2a688249ecbdab1eab3e9fa335ca0df39ab01eac9d78
La situazione è stabile. Winzozz Update mi chiede di registrare nuovamente dei files..e poi restituisce pagina d'errore...impossibile procedere..ecc..ecc.
Scansiono nuovamente con i tool e posto i log

[levriero]

Posto il primo log.Stavolta ho utilizzato anche Hijackv1.99 perchè vede qualcosa in + della2:
O10 - Broken Internet access because of LSP provider 'avsda.dll' missing
La v1.99 NON mi permette di fixare...demanda a Spybot...sono in scansione linko i due log poi procedo con gmer
http://www.mediafire.com/?sharekey=94ee2a688249ecbdab1eab3e9fa335ca4330c69fe47cee3a

[levriero]

Ecco...quella voce l'ho fixata ma ho dovuto reinstallare il protocollo tcp/ip in questa maniera:How to fix a corrupt or deleted Winsock:

To resolve this issue, delete the corrupted registry keys, and then reinstall of the TCP/IP protocol.


Step 1: Delete the corrupted registry keys

1. Click Start, and then click Run.

2. In the Open box, type regedit
and then click OK.

3. In Registry Editor, locate the following keys, right-click each key, and then click Delete:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Winsock

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Winsock2

4. When you are prompted to confirm the deletion, click Yes.

Note: Restart the computer after you delete the Winsock keys. Doing so causes the Windows XP operating system to create new shell entries for those two keys. If you do not restart the computer after you delete the Winsock keys, the next step does not work correctly.


Step 2: Install TCP/IP

1. Right-click the network connection, and then click Properties.

2. Click Install.

3. Click Protocol, and then click Add.

4. Click Have Disk.

5. Type C:\Windows\inf
and then click OK.

6. On the list of available protocols, click Internet Protocol (TCP/IP), and then click OK.

7. Restart the computer.
(tutto da Wilders^^). Voce fixata ma update di Winzozz sempre distante.
A questo punto propendo per virus o rootkit.
Procedo con gmer.

[levriero]

Posto i log di Gmer e RootRepeal
Attendo consigli
Grazie
http://www.mediafire.com/?sharekey=94ee2a688249ecbdab1eab3e9fa335ca8fa0623aaf92de8c

[levriero]

Chill^^ i log a me sembrano a posto...più che infezione mi sembra di vedere che XP è un po' messo male(forse dovuto alle porcherie che ho già eliminato...)
Ho provato a fare il check dal boot e mi ha trovato diversi errori...che ne pensi? Vale la pena provare il ripristino?

[xcdegasp]

la funzione ripristino di windows non ripristina i file, solo quelli indispensabilissimi di windows, chiavi di registro e servizi di windows il resto non èmonitorato :)
nel tuo casonon avresti nessun beneficio.

puttosto inserisci il cd di windows, riavvia il pc e fai "ripristina installazione di windows" :)

[levriero]

la funzione ripristino di windows non ripristina i file, solo quelli indispensabilissimi di windows, chiavi di registro e servizi di windows il resto non èmonitorato :)
nel tuo casonon avresti nessun beneficio.

puttosto inserisci il cd di windows, riavvia il pc e fai "ripristina installazione di windows" :)

Già tentato questa strada..infatti ci sto lavorando un po' su...winzozz infatti crea qualche problemino dovuto al fatto che essendo installato il sp3 non concede ripristino dal sp2....azz:muro:
Ci sto provando da ieri...

[xcdegasp]

devi operare dal cd non dal ripristino di windows!

[levriero]

Avevo capito^^ scusa mi sono espresso male...
intendevo che a reinstallazione effettuata mi ha dato errori strani...indicando dei file del sp3...sto eliminando un po' di files temporanei...ultima scansione per precauzione(ma forse è inutile)poi provo la connessione a Update e posto il risultato.
Comunque adesso sono certo..un malware s'è infiltrato attraverso ie(che per assurdo NON uso mai...Operafans^^),ha creato un file che bypassa Comodo 2.4(rilevato solo da Antivir)e ad ogni tentativo di raggiungere Update faceva entrare robaccia...TUTTO in barba all'Hips di Rising che forse è stato infettato o comunque ha fatto cilecca. Con Antivir&co ho segato quasi tutto..ma alcune dll di winzozz(in particolare quelle relative ad utilizzo di Update tipo anche cert.ecc..sono rimaste dann.te o le ho dovute segare.
Il pc sembra pulito ma il protocollo tcp\ip equalche activex(admin NON connette addirittura)sono rimasti prob.dann.ti. e forse ancora qualcosa di nascosto che blocca gli agg.c'è.
Adesso si tratta di capire cosa è che ha provocato il casino spero NON un rootkit se no sono da capo. Ad ogni modo adesso mi sa che mi getto su ProSecurity o Eqs che potrebbero intervenire se il processo NON è già avviato o comunque potrebbero rilevarlo.
Temo che il Malware sia entrato mentre visitavo delle pagine made in china ecc...sai, prevedo ferie all'est...e dopo questa mi sa che ho ancora + voglia di partire! Posto appena possibile i risultati^^

[xcdegasp]

io punterei più che verso un hips ad un cips come prevx2.0 che potrebbe fare la differenza nel tuo caso :)
certo che è bella complessa sta pulizia :(

[levriero]

VITTORIA^^
Grazie a tutti.
Adesso ProSecurity e via^^

[levriero]

io punterei più che verso un hips ad un cips come prevx2.0 che potrebbe fare la differenza nel tuo caso :)
certo che è bella complessa sta pulizia :(

Ho sudato 7 camicie per due gg...cavolaccio..
Adesso sto pensando di passare ad OA e completare tutta sta serie di cambiamenti(Comodo 2.4 è stato bypassato..).Prevx l'avevo già provato..mi appesantiva un po' troppo mentre ThreadFire lo sto ancora testando(ma nella vecchia v.cioè FireHawck mi aveva già piantato un portatile). Interessante Mysecurer...comunque per ora quoto NV25^^
In SandBox mi ha aiutato anche VirIt che ha trovato una dll infetta nella system32...(ho provato anche sysclean,tool di Kaspersky in provvisoria ma nada e neppure BitDefender rescue cd riusciva a connettersi per l'aggiornamento). Reinstallare XP su se'stesso è stato inevitabile...quindi a maggior ragione bisogna prevenire^^
Buona giornata a tutti, qui fa caldo...mooolto caldo^^

[xcdegasp]

non fare troppo affidamente a ThreadFire ;)
cerca un altro antispyware free con realtime :)