View Full Version : Aiuto, il mio pc parla in cinese!!
Ragazzi non so piu' cosa fare...
penso che il problema sia iniziato quando ho visto 1 file video di uno spot cinese. Non pensavo che i file multimediali potessero caricare virus/script o quel che e'.
Questo e' quello che succede da ieri:
ogni tot minuti flashget si apre da solo e mi dice di voler scaricare un collegamento, il link che mi da' e' questo:
h**p://www.zhenip.com/buyip_reload_url.html?url_id=14046&to_url=http%3A%2F%2Fstock.hexun.com%2F%3Fb28NONAPRIRMI
Senza "NONAPRIRMI", ovviamente non l'ho mai visto il collegamento.
Se gli do' "Annulla", subito dopo si apre il processo "iexplore.exe" e dalle casse si sente uno spot cinese, se killo da Task Manager Explorer (di cui non si vede la finestra ma e' caricato), ricomincia ad aprirsi Flashget, e così via in loop.
Ho cercato in internet e l'unica cosa che ho trovato e' questo link:
http://answers.yahoo.com/question/index?qid=20081124055446AASbJzV
Dove un'altra persona ha lo stesso identico problema, uno gli dice così:
I had this exact same virus yesterday (and I still have no idea how I got it), and it almost drove me nuts with IE mysteriously appearing in my task manager every two minutes and playing those chinese ads.
I managed to solve the problem by googling 'zhenip.com', and apparently the troublemaker is SkypeComm.dll (C:\WINDOWS\system32\SkypeComm.dll), which has been cleverly named as such to avoid virus detection and pass off as a legitimate file. I deleted it from the System32 folder and it seems to have solved the problem.
I hope this answers your question!
* 6 days ago
Source(s):
Followed the instructions on this website:
http://hi.baidu.com/lcdbbs/blog/item/9d118e1818d2a6b24aedbcd3.html
and it worked for me.
Il problema e' che il link e' tutto in cinese!!
Cercando di capire il testo ho visto che si ricrea ogni volta una chiave di registro in:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
http://img516.imageshack.us/img516/1510/anonimoxg2.jpg
Ecco la chiave:
http://img516.imageshack.us/img516/2894/anonimo2pp9.jpg
Se la cancello si ricrea ogni volta da sola.
Aiutatemi per favore che non so piu' che fare... :cry:
Ciao
Per ripulire completamente il pc segui la guida alla disinfezione per infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post, e secondo le modalità (http://www.hwupgrade.it/forum/showthread.php?t=1779308).
Leggi bene tutto questo post, e salvo problemi gravi, arriverai in fondo alla guida in perfetta autonomia
Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.
Ricapitolando, dopo aver disabilitato il ripristino di sistema (http://www.hwupgrade.it/forum/showpost.php?p=24113221&postcount=23), fatto la pulizia dei file inutili con ATFCleaner (http://www.hwupgrade.it/forum/showpost.php?p=24033021&postcount=2), vogliamo necessariamente in ordine e anche se non è stato rilevato nulla mettendo il nome della scansione a fianco del link (http://www.hwupgrade.it/forum/showpost.php?p=24073905&postcount=3):
log di Malwarebytes Anti-Malware (http://www.hwupgrade.it/forum/showpost.php?p=24033097&postcount=9) aggiornato ad oggi
log di A-squared (http://www.hwupgrade.it/forum/showpost.php?p=24033085&postcount=8) scansione deep aggiornato ad oggi
log di Kaspersky Virus Removal Tool (http://www.hwupgrade.it/forum/showpost.php?p=24033078&postcount=7) scaricato oggi oppure di F-Secure OnLine (http://www.hwupgrade.it/forum/showpost.php?p=24033058&postcount=6)
log di Dr.Web CureIT (http://www.hwupgrade.it/forum/showpost.php?p=24033048&postcount=5) scaricato oggi
log di ESET SysInspector (http://www.hwupgrade.it/forum/showpost.php?p=24033155&postcount=12)
log di HiJackThis (http://www.hwupgrade.it/forum/showpost.php?p=24033212&postcount=13)
log di Gmer (http://www.hwupgrade.it/forum/showpost.php?p=24033143&postcount=11)
log di PrevxCSI (http://www.hwupgrade.it/forum/showpost.php?p=24033225&postcount=14)
Se il pc dovessse essere molto compromesso (es. riavvii frequenti, schermate blu) oppure hai problemi con internet per aggiornare i programmi leggi qui (http://www.hwupgrade.it/forum/showpost.php?p=24315070&postcount=27)
Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione, in questo modo eviti di reinfettarti ancora dopo che hai ripulito il pc.
Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...
link utili per il caricamento log ed immagini
caricamento log fileqube.com, (http://fileqube.com/) wikisend.com (http://wikisend.com/), mediafire.com (http://www.mediafire.com/index.php)
caricamento immagini fileqube.com, imageshack (http://fileqube.com/)
Sto facendo come indicato. Mi sono un attimo bloccato con Karspersky, mi ha trovato qualcosa e dice che al prossimo riavvio verra' cancellato, quando pero' chiudo il programma mi chiede se voglio disinstallarlo, se gli dico di sì cmq al riavvio mi viene cancellato il suddetto file o devo aspettare il riavvio e poi posso cancellarlo?
Chill-Out
02-12-2008, 12:08
Sto facendo come indicato. Mi sono un attimo bloccato con Karspersky, mi ha trovato qualcosa e dice che al prossimo riavvio verra' cancellato, quando pero' chiudo il programma mi chiede se voglio disinstallarlo, se gli dico di sì cmq al riavvio mi viene cancellato il suddetto file o devo aspettare il riavvio e poi posso cancellarlo?
Non disinstallare, alcuni files per essere eliminato necessitano un riavvio.
Alla fine ho riavviato e poi disinstallato.
Ho disattivato la protezione di sistema e pulito con AFT-Cleaner poi ho scansionato con:
Malwarebytes log> http://www.fileqube.com/file/cOOWzKt155471
A-Squared log> http://www.fileqube.com/file/tcoULhb155475
Kaspersky log> http://www.fileqube.com/file/lhveVosS155488
Dr. Web CureIT log> http://www.fileqube.com/file/ZPeIYkoj155512
ESET Sys log> http://www.fileqube.com/file/yHYGJsQxq155533
HiJackThis log> http://www.fileqube.com/file/bKCqCLce155534
Gmer log> http://www.fileqube.com/file/CjKaFU155536
PrevxCSI log> http://www.fileqube.com/file/BQGAEIlXX155537
PrevxCSI screenshot> http://www.fileqube.com/file/CzlFRBcE155538
:muro:
Chill-Out
02-12-2008, 13:53
Ciao prima di procedere verifica su http://www.virustotal.com/it/ e http://virscan.org il seguente file taskmagr.exe in questo percorso C:\WINDOWS\system32\ per i risultati basta riportare nel prossimo post l'URL rilasciata a fine scansione.
Mi sembra strano che nè Kaspersky nè DrWeb l'abbiano visto
http://www.virustotal.com/it/reanalisis.html?c8dd6668bca7f47e64e1fc1806599905
http://virscan.org/report/f2eac0c1657a7497bf92aa64c8fd55b6.html
Il secondo link una volta uppato mi ha dato un mess in inglese che non ho capito, potevo scegliere tra "ReScan" e "Scan Result" e ho cliccato il secondo.
Chill-Out
02-12-2008, 14:24
http://www.virustotal.com/it/reanalisis.html?c8dd6668bca7f47e64e1fc1806599905
http://virscan.org/report/f2eac0c1657a7497bf92aa64c8fd55b6.html
Il secondo link una volta uppato mi ha dato un mess in inglese che non ho capito, potevo scegliere tra "ReScan" e "Scan Result" e ho cliccato il secondo.
Il primo forse in ogni caso devi fare Rescan
Questo dicevo:
http://img150.imageshack.us/img150/5283/anonimozt5.th.jpg (http://img150.imageshack.us/img150/5283/anonimozt5.jpg)
Facendo ReScan: http://virscan.org/report/f2eac0c1657a7497bf92aa64c8fd55b6.html
Chill-Out
02-12-2008, 14:43
Questo dicevo:
http://img150.imageshack.us/img150/5283/anonimozt5.th.jpg (http://img150.imageshack.us/img150/5283/anonimozt5.jpg)
Facendo ReScan: http://virscan.org/report/f2eac0c1657a7497bf92aa64c8fd55b6.html
Perlo di VT non vedo i risultati, in ogni caso il file e sempre bene riscansionarlo
Perlo di VT non vedo i risultati, in ogni caso il file e sempre bene riscansionarlo
Spero vada bene: http://www.virustotal.com/it/analisis/d2bc259f25e9e4d231f23f810bca3670
Chill-Out
02-12-2008, 15:16
1 Esegui HJT clicca su Do a system scan only e metti il segno di spunta nella casella bianca a sx delle sotto indicata voce:
O23 - Service: Application Driver Auto Removal Service (01) (appdrvrem01) - Protection Technology - C:\WINDOWS\System32\appdrvrem01.exe
clicca su Fix cheked
2 Da Start - Esegui - dgita cmd
nella finestra DOS digita:
sc stop appdrvrem01 -->> e batti invio
sc delete appdrvrem01 -->> e batti invio
sc stop 01 -> batti invio
sc delete 01 -> batti invio
Exit per uscire
3 Scarica Avenger da qui http://swandog46.geekstogo.com/avenger2/download.php scompatta l'archivio compresso, avvia Avenger copia ed incolla il seguente script nel box bianco
Files to delete:
C:\WINDOWS\system32\msfontsbm.dll
C:\WINDOWS\system32\UsbPadCP.dll
C:\WINDOWS\system32\taskmagr.exe
C:\WINDOWS\System32\appdrvrem01.exe
clicca su Execute, al termine il Pc si dovrebbe riavviare se no riavvia tu manualmente ed allega il log che trovi in C:\Avenger.txt
Riepilogo log da allegare:
Avenger
HJT
Prevx
Chill-Out
02-12-2008, 15:37
Scusa ho editato il post sopra al Punto 2 avevo dimenticato una parte, chiedo venia.
2 Da Start - Esegui - dgita cmd
nella finestra DOS digita:
sc stop appdrvrem01 -->> e batti invio
sc delete appdrvrem01 -->> e batti invio
sc stop 01 -> batti invio
sc delete 01 -> batti invio
Exit per uscire
Questo e' il risultato:
http://img61.imageshack.us/img61/7594/anonimoje6.jpg
Riepilogo log da allegare:
Avenger
HJT
Prevx
Avenger: http://www.fileqube.com/file/txzRmNjDW155720
HJT: http://www.fileqube.com/file/MXOckfF155721
Prevx: http://www.fileqube.com/file/HOuoeKPJW155723
Prevx screenshot:
http://img148.imageshack.us/img148/5324/anonimoll1.jpg
HJT e Prevx sono stati riusati dopo aver fatto tutti i procedimenti che mi hai indicato, non prima.
Chill-Out
02-12-2008, 20:31
Ok nel frattempo che controllo il log di HJT facciamo la stessa verifica fatta in precedenza su VirusTotal e Virscan per il file C:\Programmi\HFS\HFS v2.2d.exe, se non vado errato dovrebbe appartenere a portablefreeware, però per scrupolo lo controlliamo. :)
In HJT fixa questa voce
O4 - HKCU\..\Run: [Any Wallpaper] "C:\Programmi\Any Wallpaper\AnyWallpaper.exe" "hide"
Ok nel frattempo che controllo il log di HJT facciamo la stessa verifica fatta in precedenza su VirusTotal e Virscan per il file C:\Programmi\HFS\HFS v2.2d.exe, se non vado errato dovrebbe appartenere a portablefreeware, però per scrupolo lo controlliamo. :)
In HJT fixa questa voce
Ho fixato la voce.
Ecco i due link:
http://www.virustotal.com/it/analisis/a59a16f04851f43e74362adbe3b8ce21
http://virscan.org/report/adccc25512cba6595213439869b43877.html
HFS cmq serve per fare un veloce server http.
La voce che mi hai fatto fixare e' di anywallpaper, per far rotare i wallpaper del desktop.
Chill-Out
02-12-2008, 21:34
Ho fixato la voce.
Ecco i due link:
http://www.virustotal.com/it/analisis/a59a16f04851f43e74362adbe3b8ce21
http://virscan.org/report/adccc25512cba6595213439869b43877.html
HFS cmq serve per fare un veloce server http.
La voce che mi hai fatto fixare e' di anywallpaper, per far rotare i wallpaper del desktop.
Perfetto infatti era solo uno scrupolo, anywallpaper è inutile in avvio, direi che siamo a posto, adesso segui attentamente questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1726383 aggiorna il sistema al SP3 e soprattutto installa l'antivirus :)
Ciao, grazie per tutto l'aiuto, sei stato veramente gentile e veloce.
Per ora non e' ricomparso il problema, anche se quando compariva cmq veniva a periodi. Vedremo nei prossimi giorni.
Per l'antivirus mi sai consigliare qualcosa in particolare? Tu che cosa usi?
Ho letto che con AVG ci sono stati problemi ultimamente, e gli altri non li ho mai usati.
come già indicato nel trattamento, qui consigliamo l'ottimo e free antivir
Ringrazio anche te per l'aiuto.
Speriamo di non aver piu' problemi. Ciao. :)
Chill-Out
03-12-2008, 12:35
Ringrazio anche te per l'aiuto.
Speriamo di non aver piu' problemi. Ciao. :)
Ciao nella Guida che ti ho linkato c'è tutto il necessario, comunque Avira Antivir ;)
vBulletin® v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.