Malware nel registro del sistema

[SpecialD]

Salve a tutti,
allora dopo varie volte che Google Chrome mi dava questo errore nel caricamento di alcuni siti: Errore 101 (net::ERR_CONNECTION_RESET): Errore sconosciuto. , ho fatto qualche ricerca in internet sul possibile motivo, che mi ha messo la pulce nell'orecchio. :(
Ho dunque istallato Malwarebytes e CCleaner e ho fatto fare una scansione.
Il secondo non mi ha trovato nulla, il primo mi ha appena trovato alcuni file infetti, in varie posizioni, principalmente nel registro del sistema.
Ora siccome non voglio fare danni, volevo chiedere consiglio...posso cancellarli attraverso il programma?
Vi metto la schermata che mi da il programma? O il percorso dei file?


Insomma che faccio?
Grazie a chi può aiutarmi.

[Chill-Out]

Salve a tutti,
allora dopo varie volte che Google Chrome mi dava questo errore nel caricamento di alcuni siti: Errore 101 (net::ERR_CONNECTION_RESET): Errore sconosciuto. , ho fatto qualche ricerca in internet sul possibile motivo, che mi ha messo la pulce nell'orecchio. :(
Ho dunque istallato Malwarebytes e CCleaner e ho fatto fare una scansione.
Il secondo non mi ha trovato nulla, il primo mi ha appena trovato alcuni file infetti, in varie posizioni, principalmente nel registro del sistema.
Ora siccome non voglio fare danni, volevo chiedere consiglio...posso cancellarli attraverso il programma?
Vi metto la schermata che mi da il programma? O il percorso dei file?


Insomma che faccio?
Grazie a chi può aiutarmi.

Ciao, usando IE non dovresti avere problemi di navigazione attendo tua conferma.

CCleaner non è un antimalware ma solo un tool per pulire i files temporanei ed altri residui, se ne sconsiglia l'uso per correggere eventuali problemi al registro.

[SpecialD]

Ciao, grazie della risposta.
No, anche IE (8) mi da lo stesso problema.
Volevo visualizzare un sito in particolare, per prendere l'indirizzo di un'azienda (eppure con Chrome mi fa anche vedere l'anteprima), ma nemmeno IE lo carica.
Ho avuto lo stesso problema cercando di accedere qui, sia con Chrome che con IE.

[Chill-Out]

Ciao, grazie della risposta.
No, anche IE (8) mi da lo stesso problema.
Volevo visualizzare un sito in particolare, per prendere l'indirizzo di un'azienda (eppure con Chrome mi fa anche vedere l'anteprima), ma nemmeno IE lo carica.
Ho avuto lo stesso problema cercando di accedere qui, sia con Chrome che con IE.

Quindi il problema è riconducibile solo ad alcuni siti

[SpecialD]

Quindi il problema è riconducibile solo ad alcuni siti

A questo punto credo di si.
Stamattina lo ha fatto anche con Facebook, ma in quel caso ho chiuso Chrome e poi l'ho riaperto. Il problema si è risolto così.

Boh...ora sto facendo una scansione on line con F-secure, ma non sono sicura serva a qualcosa.

[Chill-Out]

A questo punto credo di si.
Stamattina lo ha fatto anche con Facebook, ma in quel caso ho chiuso Chrome e poi l'ho riaperto. Il problema si è risolto così.

Boh...ora sto facendo una scansione on line con F-secure, ma non sono sicura serva a qualcosa.

Male no fa, attendiamo il respsonso, poi vediamo come procedere.

[SpecialD]

Male no fa, attendiamo il respsonso, poi vediamo come procedere.

Allora ha rilevato 2 file infetti e ora mi chiede cosa fare: se pulire automaticamente /scelta consigliata), oppure desidero scegliere file per file.

Nella mia ignoranza fare in automatico,ma....meglio attendere consiglio da chi è più esperto.

[Chill-Out]

Allora ha rilevato 2 file infetti e ora mi chiede cosa fare: se pulire automaticamente /scelta consigliata), oppure desidero scegliere file per file.

Nella mia ignoranza fare in automatico,ma....meglio attendere consiglio da chi è più esperto.

Pulisci automaticamente ed allega il log.

[SpecialD]

Pulisci automaticamente ed allega il log.

Fatto...ma quale log?? :eek:
Cos'è? Non dirmi che ho sbagliato a chiudere la finestra...:cry:

Ci ho pensato dopo........:cry:

Comunque il sito non lo apre ugualmente.

Ha trovato 2 spyware, a quanto ho capito erano una specie di cookie...

[xcdegasp]

esatto hai fatto male a chiudere la finestra, ad ogni modo dovresti averla ancora nella cache.. in firefox puoi usare il menù cronologia per riaprire le schede chiuse di recente, ovviamente se non hai chiuso completamente il browser.

[SpecialD]

esatto hai fatto male a chiudere la finestra, ad ogni modo dovresti averla ancora nella cache.. in firefox puoi usare il menù cronologia per riaprire le schede chiuse di recente, ovviamente se non hai chiuso completamente il browser.

Ciao...grazie per la risposta!
lo sapevo di aver fatto un danno! :(

Comunque uso Google Chrome no firefox.
In ogni caso i browser l'ho dovuto chiudere per forza ieri sera.

Al limite posso rilanciare Malwarebytes e postare quello che mi dice.

Spero possiate ancora consigliarmi.

[xcdegasp]

intannto pubblica i log fino a dove sei arrivato, rifai la scansione con f-secure indicando che si tratta della seconda.. e poi prosegui come indica la guida :)

[SpecialD]

Ciao! Allora ho rifatto la scansione con f-secure, ho seguito le indicazioni di Chill-Out.
Ma questo log è il rapporto completo? :eek:
Comunque allego il rapporto completo, anche perché non posso fare altro.

Non ho ancora chiuso nessuna schermata.

Attendo che finisca la scansione con Malwarebytes e posto tutto.





PS: sono una Lei.

[SpecialD]

Aggiunta del log (stavolta l'ho visto) dato da Malwarebytes.

[Chill-Out]

Aggiunta del log (stavolta l'ho visto) dato da Malwarebytes.

Chiavi di registro infette:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D} (PUP.Dealio) -> No action taken.

Valori di registro infetti:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\ForceClassicControlPanel (Hijack.ControlPanelStyle) -> Value: ForceClassicControlPanel -> No action taken.

Aggiorna MBAM ripeti scansione completa ed elimina i valori infetti.

[SpecialD]

Aggiorna MBAM ripeti scansione completa ed elimina i valori infetti.

Ciao, grazie. Ho fatto tutto, ma il problema non l'ho risolto.

Oggi lo ha fatto anche con facebook, senza contare che il collegamento è anche un po' lento. :eek:

Mah non so, finché non mi crea molti problemi spero solo che la cosa non si estenda a tutti i siti che suo frequentare.

[xcdegasp]

ok :flower: , ero rimasto che avevi perso il log di f-secure.. se riesci a pubblicare gli altri log ci fai un bel favore :)

[SpecialD]

Allora l'altro log (quello dato da f-secure dopo la pulizia) non posso allegarlo, è troppo pesante, non posso nemmeno zipparlo perchè non è consentito (Chill lo ha giustamente rimosso).
Provo a copiarlo qui. Ho messo gli asterischi al nome computer, perchè c'è il mio nome vero.
Questo malware trovato è lo stesso di quando ho perso il log l'altra sera.

Rapporto scansione

lunedì, febbraio 7, 2011 17:05:52 - 17:52:12

log rimosso, leggere le Regole di Sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598)

Utilizza euristica avanzata

[xcdegasp]

potresti per cortesia leggere le Regole di Sezione (http://www.hwupgrade.it/forum/showthread.php?t=1751598), così sarà tutto più facile.. per te e per noi.
è preferibile usare i server perchè così dopo tot tempo i log automaticamente vengono rimossi, inoltre la discussione rimane più flluida (scorrevole sia nella lettura che nella ricerca) anche per chi eventualmente avesse una linea ballerina o particolarmente lenta..

[SpecialD]

Salve, scusate, altro guaio ho combinato, davvero scusate. Ora questo lo posto qui, altrimenti credo si capisca ancora meno. :(

Allora questo è il precedente log da F-secure, dopo la pulizia.
http://www.mediafire.com/?epa01h919ex3ucw

Il problema non è ancora risolto.
Non so se può essere utile ma io ho un collegamento wireless in casa.
Proprio poco fa windows mi ha mandato un avviso di errore sull'ip, una specie di errore sull'identificazione (una sorta di conflitto), ma non ho fatto in tempo perché l'avviso si è tolto praticamente subito.
Può essere utile?

[xcdegasp]

perfetto ora il log è pubblicato correttamente ;)


per quanto riguarda l'errore si è utilissimo al fine di risolvere il problema di rete, ti sta dicendo che hai immesso un ip già in uso all'interno del tuo appartamento.
probabilmente se entri nelle proprietà della scheda di rete e poi nelle prorpietà tcp/ip potrai controllare se sia abilitata la rilevazione via dhcp (impostazioni auutomatiche di windows) o se siano stati inseriti dei valori. probabilmente è proprio questa seconda ipotesi che è attiva nel tuo pc pertanto clicka sul pallino per il dhcp, salvi e attendi e il pc sarà correttamente in rete :)

però poi prosegui con le scansioni perchè delle infezioni c'erano..

[SpecialD]

Allora per quanto riguarda l'ip (un quarto d'ora solo per trovarlo XD), comunque è tutto già impostato su: ottieni automaticamente un indirizzo ip, ottieni indirizzo server DNS automaticamente, indirizzo ip privato automatico.
Dunque non ho modificato nulla.


Ora faccio partire avast, vediamo che mi dice.
Poi più tardi faccio ripartire malwarebytes.

[SpecialD]

Salve a tutti, riuso questa mia vecchia discussione perché ho un problema simile.
Da un po' di giorni quando clicco in qualche parte su un sito, google chrome mi apre una pagina (in un'altra scheda), pur non visualizzandola.
Vi do di nuovo le specifiche del mio sistema:
Windows xp
Versione 2002
Service pack 3
Pentium(R) Dual Core
CPU E5300 @ 2.60GHz
2.60GHz, 1.99Gb di RAM

Collegamento ad internet in wireless NETGEAR. (non so cosa altro dovrei dirvi su questo.

Il punto è che sto seguendo la procedura che consigliate e non ho problemi in questo (almeno spero..).
Ho fatto una scansione don Malwarebites, che non ha trovato nulla.
Ho istallato e lanciato Emisisoft Anti-Malware che mi ha trovato 66 file sospetti, di cui due ad alto rischio.
A questo punto che faccio? Posso sia metterli in quarantena che procedere, in questo caso il passo successivo non so cosa mi aspetterebbe.
Non ho idea di cosa siano questi file, tranne uno, per cui non so come muovermi.
Vi allego il log di Emisisoft: http://www.filedropper.com/a2scan120404-184236

Vi devo allegare anche quello di Malwarebites?

Spero di non aver fatto danni e di aver seguito correttamente le regole. ^^
Grazie a tutti

[xcdegasp]

segui la semplice procedura descritta in Guida alla Disinfezione per Infetti (http://www.hwupgrade.it/forum/showthread.php?t=1599737) e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti :)

[SpecialD]

Ore e ore d'interminabili scansioni. -.-''
Ecco i vari log, in sequenza così come dice la guida, tranne per housecall (il settimo) che non ha trovato nulla e non sono riuscita a salvare nulla. :(

http://www.filedropper.com/mbam-log-2012-04-0415-19-31
http://www.filedropper.com/a2scan120404-184236_1
http://www.filedropper.com/logfsecure
http://www.filedropper.com/drweb
http://www.filedropper.com/sysinspector-dea-120405-1512
http://www.filedropper.com/gmer
http://www.filedropper.com/prevx

Dunque dovrebbero esserci tutti.
Scusatemi fin da ora se non ho seguito bene le regole.:)

[xcdegasp]

in questo momento non riesco a scaricarli, proverò domani o nei prossimi giorni :)

[SpecialD]

in questo momento non riesco a scaricarli, proverò domani o nei prossimi giorni :)

Ok grazie! :cool:

[xcdegasp]

per emsisoft l'unico falso positivo è questo:
C:\Documents and Settings\Utente\desktop\hfs.exe rilevati: Riskware.Server-FTP.Win32.SFH.AMN!E1
visto che non compare l'azione svolta nel log, hai messo tutto in quarantena?


potresti far scansionare su virustotal.com questo file?
c:\programmi\tracker software\pdf viewer\pdfxcviewax.dll
se ti dicesse che è già presente in memoria tu fallo riscansionare lo stesso, quando ti compaiono i risultati nella tabella copia l'indirizzo mostrato nel browser e incollalo qui :)

[SpecialD]

per emsisoft l'unico falso positivo è questo:
C:\Documents and Settings\Utente\desktop\hfs.exe rilevati: Riskware.Server-FTP.Win32.SFH.AMN!E1
visto che non compare l'azione svolta nel log, hai messo tutto in quarantena?


potresti far scansionare su virustotal.com questo file?
c:\programmi\tracker software\pdf viewer\pdfxcviewax.dll
se ti dicesse che è già presente in memoria tu fallo riscansionare lo stesso, quando ti compaiono i risultati nella tabella copia l'indirizzo mostrato nel browser e incollalo qui :)
Ciao, scusa se rispondo solo ora ma non mi sono collegata in questi giorni (non ho proprio acceso il pc).
Ho appena controllato, tutti i file trovati da emsisoft sono in quarantena, anche quello da te quotato.

Per il secondo file ecco l'indirizzo: https://www.virustotal.com/file/44b7f7c6db9efcda5a1fd7f59e730fc3df08385900f7e72e9916bed64175ded4/analysis/1334051542/

[xcdegasp]

puoi ripristinare hfs.exe, direi che abbiamo finito :)

[SpecialD]

puoi ripristinare hfs.exe, direi che abbiamo finito :)

Grazie!
Ma allora di tutti i file in quarantena che ne devo fare? Li lascio li?:confused:

[xcdegasp]

sì, è fdatta proprio per quello :)

[SpecialD]

sì, è fdatta proprio per quello :)

Ok, grazie! :)

[SpecialD]

Salve, sto facendo la scansione del pc come indicato dalla guida. ATF eseguito, mbam eseguito (mi sa che al riavvio mi leverà in automatico un file), solo che quando cerco d'istallare emsisoft, mi compare questa scritta:
http://img193.imageshack.us/img193/2980/emiv.jpg
Ho provato a scaricare anche quello che può essere usato senza istallazione, ma quando lo lancio il programma mi dice che è stato integrato nella nuova versione del software (che è quella che non mi parte). Così torno al punto di partenza.
Vorrei evitare quello a linea di comando...cioè temo di far danni con quello. :(

Ho un acer aspire con windows 7 (64bit). Boh, eppure sul sito mi dice che la versione è free, quella completa si ottiene la licenza e che a scadenza della stessa si passa automaticamente alla versione free (Can be unlocked to a full version by purchasing a license. Switches to freeware scanner mode on license expiry).
Che faccio, proseguo con le scansioni con f-secure?


P.S. Scusatemi sempre se combino pasticci. Vi giuro che m'impegno sempre per evitarli. Grazie a tutti.:)


Aggiornamento: ho provato a scaricare e far partire quello a linea di comando, ma si chiude da solo appena compare il terminale.

[SpecialD]

Sono andata a avanti senza emisoft.
Dunque a ripetizione, così come dalla guida:
http://www.filedropper.com/mbam-log-2012-06-3014-10-53
http://www.filedropper.com/fsecurelog
http://www.filedropper.com/cureit
http://www.filedropper.com/sysinspector-xxx-pc-120702-1040
http://www.filedropper.com/hijackfree
http://www.filedropper.com/gmerlog
http://www.filedropper.com/prevxlog

Grazie dell'aiuto! :-))))