ho paura di essere infetta!

[kiarettina]

da circa una settimana la connessione che utilizzo (chiavetta onda con alice mobile di tim) è rallentata di tantissimo; inoltre, sempre durante la connessione, continuano ad aprirsi finestre indesiderate - solitamente proponenti chat on line o acquisti.
purtroppo non è la prima volta che mi capita, anche se uso piùdi un antivirus. la scorsa volta il vostro aiuto mi era stato preziosissimo. spero di poter contare ancora sui vostri suggerimenti
grazie e aspetto una vostra risposta
chiara

[wjmat]

Ciao benvenuta nel pronto soccorso di HU.
Segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui tutte le scansioni ed il caricamento dei relativi log nelle modalità (http://www.hwupgrade.it/forum/showthread.php?t=1779308) e nell'ordine indicato.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner, vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):

log di Malwarebytes Anti-Malware aggiornato ad oggi
log di A-squared scansione deep aggiornato ad oggi
log di Kaspersky Virus Removal Tool scaricato oggi oppure di F-Secure OnLine
log di Dr.Web CureIT scaricato ed aggiornato ad oggi
log di ESET SysInspector
log di HiJackThis
log di Gmer
log di PrevxCSI


Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già parzialmente ripulito, con le restanti scansioni veloci noi avremo le informazioni necessarie per i restanti interventi.


Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

Questa (http://www.hwupgrade.it/forum/showthread.php?t=1779308) è una brevissima guida alla pubblicazione dei log
Questo (http://www.hwupgrade.it/forum/showpost.php?p=22872366&postcount=1) è un esempio preciso ed ordinato di come vorremmo tu caricassi i log

link utili per il caricamento log ed immagini
caricamento log fileqube.com, (http://fileqube.com/) wikisend.com (http://wikisend.com/), mediafire.com (http://www.mediafire.com/index.php)
caricamento immagini fileqube (http://fileqube.com/)

[kiarettina]

questo è tutto quello che ho ottenuto dopo aver seguito la guida alla disinfezione per infetti:
http://www.fileqube.com/shared/mBceNJAcG87458
http://www.fileqube.com/shared/fhRjQr87459
http://www.fileqube.com/shared/XJaVDYUMD87460
http://www.fileqube.com/shared/nXJgfE87462
http://www.fileqube.com/shared/DJTzm87463

[wjmat]

mancano i primi 4 che sono quelli + importanti....
1 log di Malwarebytes Anti-Malware aggiornato ad oggi
2 log di A-squared scansione deep aggiornato ad oggi
3 log di Kaspersky Virus Removal Tool scaricato oggi oppure di F-Secure OnLine
4 log di Dr.Web CureIT scaricato ed aggiornato ad oggi

prevx (lanciato prima del dovuto) rileva C:\documents and settings\chiara .1\impostazioni locali\dati applicazioni\aaiukuc.exe
oltre a parti di mbam

[xcdegasp]

questo è tutto quello che ho ottenuto dopo aver seguito la guida alla disinfezione per infetti:
http://www.fileqube.com/shared/mBceNJAcG87458 -> prevx
http://www.fileqube.com/shared/fhRjQr87459 -> contratto di licenza per sysinspector
http://www.fileqube.com/shared/XJaVDYUMD87460 -> gmer
http://www.fileqube.com/shared/nXJgfE87462 -> hijackthis
http://www.fileqube.com/shared/DJTzm87463 -> sysinspector

prevxCSI:
questa è l'unica segnalazione corretta:

C:\Documents and Settings\chiara .1\Impostazioni locali\Temp\is-QCENO.tmp\mbam-setup.tmp InMem: 0 Det [G<R1>] PX5: 7CABF2D30064C37174CF0A561A0FFB000AC4F780

quando hai fatto la scansione con prevxCSI ti sei accertata che la connessione internet funzionasse?


per gmer: rootkit-like behavior

hijackthis:
riesegui HiJackThis optando per l'opzione "Scan Only", al termine il pulsante in basso a sinistra si chiamerà "Fix Checked", quindi seleziona le righe da fixare e premi tale tasto.
fixa:

R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O2 - BHO: eBay Toolbar Helper - {22D8E815-4A5E-4DFB-845E-AAB64207F5BD} - C:\Programmi\eBay\eBay Toolbar2\eBayTB.dll (file missing)
O2 - BHO: NOW!Imaging - {9AA2F14F-E956-44B8-8694-A5B615CDF341} - C:\Programmi\Web Accelerator\components\NOWImaging.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - C:\Programmi\eBay\eBay Toolbar2\eBayTB.dll (file missing)
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup
O4 - HKLM\..\Run: [LanzarL2007] "C:\DOCUME~1\CHIARA~1.1\IMPOST~1\Temp\{58722A64-C93A-491C-8D49-20E9AB0F2498}\{D1DA2BA7-2592-4036-9BB2-DCCABDE8DC1A}\..\..\L2007tmp\Setup.exe" /SETUP:"/l0x0010"
O4 - HKCU\..\Run: [aaiukuc] "c:\documents and settings\chiara .1\impostazioni locali\dati applicazioni\aaiukuc.exe" aaiukuc
O4 - Global Startup: Adobe Gamma.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Ricerca - res://C:\Programmi\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O23 - Service: Norman API-hooking helper (NipSvc) - Unknown owner - C:\Norman\Nvc\BIN\nipsvc.exe (file missing)
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/CHIARA~1.1/IMPOST~1/Temp/msohtml1/01/clip_image001.gif

ovviamente servono anche le scansioni che ti ha notificato wjmat e una nuova di prevxcsi con la linea funzionante e attiva ;)

[kiarettina]

ecco, ieri non ero riuscita ad ottenere risultati da alcuni passaggi, ma oggi sembra di si e questo dovrebbe essere tutto
grazie
chiara
http://www.fileqube.com/shared/uKYqb87753 prevx
http://www.fileqube.com/shared/ERNaEpi87754 hijackthis secondo log
http://www.fileqube.com/shared/zVToLGizH87755 malwarebytes
http://www.fileqube.com/shared/YgjHkea87756 dr.web cureit
http://www.fileqube.com/shared/fTXjvTtbL87757 EEchiara_.1@com[1].txt.dat (non si sa cosa sia)
http://www.fileqube.com/shared/hfzZve87758 FFesi-eula.txt (inutile file)
http://www.fileqube.com/shared/MBPtzKWb87759 F-Secure Online Scanner 3_3_1 - 131840.mht
http://www.fileqube.com/shared/pMEwo87761 gmer

[wjmat]

accanto ai link, indica anche il log caricato ;)
con malwarebytes devi riscansionare ed eliminare tutto quello che hai trovato
mi pare a-squared non ci sia
cureit hai fatto solo lo scan veloce, fai scansione completa e per il log usa il parser

[kiarettina]

questo è quello che ho ottenuto - scusa ma ho provato a usare il parser ma... non ottengo nulla...

drweb cureit http://www.fileqube.com/shared/MLggmQ87894
a-squared http://www.fileqube.com/shared/FBwivZSE87893

[wjmat]

rifai la scansione con prevx e carica il log

[kiarettina]

eccolo:

prevx http://www.fileqube.com/shared/sccOyydrL88055

[wjmat]

bene, rifammi l'ultimo di hijackthis

[kiarettina]

log di HiJackThis: http://www.fileqube.com/shared/vOZAHIq88116

[xcdegasp]

ora se puoi rifacci un nuovo log con malwarebyte eseguendo l'azione elimina prima di salvare il log ;)

[kiarettina]

log con malwarebyte: http://www.fileqube.com/shared/zXmmDMXMD88137

[xcdegasp]

log con malwarebyte: http://www.fileqube.com/shared/zXmmDMXMD88137

bravissima, log perfetto :)

[kiarettina]

bravissimi a voi che mi avete seguita con tanta pazienza.
GRAZIE
ma.....posso sapere cosa c'era che non quadrava???

[wjmat]

dai un'occhiata al trattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide

c'erano schifezze di vario genere, purtroppo pare che al momento fileqube sia bloccato e non posso recuperare i tuoi log per vedere meglio che avevi...