View Full Version : files sospetti...
occhiodifalco
04-05-2005, 00:10
Ciao amici
Mi hanno velocizzato alice da 700 a 1500.
Ho notato dopo questo Up (può essere una coincidenza) che all'avvio
il pc tenta di collegarsi ad internet (cosa che prima non aveva mai fatto) con un programma:
rundl32.exe (Da non confondersi con rundll.exe!)
Ovviamente lo blocco con zone alarm.....
lo trovo nella cartella c:\documents and setting
lo cancello e quando riavvio 'sto strnz è di nuovo lì
Ho scansionato l'hd ma l'antivirus (aggiornato) non mi dice nulla...
Inoltre ho notato nello start up del registro un eseguibile della
svcSystem denominato irdsvr.exe
se provo a cancellarlo lui dopo 3 secondi riappare...
Ho provato con le scansioni antivirus trovate in rete della Symantec, Mcafee
e altre due che non ricordo
(oltre che col mio AntiVir Guard)
ma non ho segnalazioni di virus (anche se in rete trovo info poco rassicuranti sui suddetti files)
Ne sapete qualcosa?
Consigli?
Grazie per chi vorrà rispondermi
Ciao a tutti
Penso che se non posti un log di Hijackthis è praticamente impossibile darti un suggerimento
ciao
occhiodifalco
04-05-2005, 00:52
Ciao Bluepix
Grazie per la velocità :)
Ecco quello che mi hai chiesto
(ma siete dei maghi! Come fate a racapezzarvi da un file log così intricato?
Beati voi!!!) :bsod:
Logfile of HijackThis v1.99.1
Scan saved at 0.48.36, on 04/05/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\AVPersonal\AVGUARD.EXE
C:\Programmi\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\crypserv.exe
C:\Programmi\Executive Software\Diskeeper\DkService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\DeltTray.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\lrdsvr.exe
C:\WINDOWS\System32\devldr32.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Sandro\Desktop\Ivan Graziani\Sys Clean\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\Programmi\DAP\DAPIEBar.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [DeltTray] DeltTray.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [AdwareAlert] C:\Programmi\AdwareAlert\AdwareAlert.Exe -boot
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [AVGCtrl] C:\Programmi\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [NBJ] "C:\Programmi\Ahead\Nero BackItUp\nbj.exe"
O4 - HKCU\..\Run: [svcSystem] C:\WINDOWS\System32\lrdsvr.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Windows Update.hta
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {120E090D-9136-4b78-8258-F0B44B4BD2AC} - C:\WINDOWS\System32\ms.exe (file missing)
O9 - Extra 'Tools' menuitem: MaxSpeed - {120E090D-9136-4b78-8258-F0B44B4BD2AC} - C:\WINDOWS\System32\ms.exe (file missing)
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)
O16 - DPF: {2359626E-7524-4F87-B04E-22CD38A0C88C} (ICSScannerLight Class) - http://download.zonelabs.com/bin/free/cm/ICSCM.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/SSC/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://E:\content\include\XPPatchInstaller.CAB
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1093556709461
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader_sp1/imloader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{8FBA1590-64DB-40B4-8799-EB103ABEA71F}: NameServer = 217.141.108.202 151.99.125.1
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programmi\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programmi\AVPersonal\AVWUPSRV.EXE
O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Programmi\Executive Software\Diskeeper\DkService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
Ancora GRAZIE!
da fixare:
C:\WINDOWS\System32\lrdsvr.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKCU\..\Run: [svcSystem] C:\WINDOWS\System32\lrdsvr.exe
O4 - Global Startup: Windows Update.hta
O9 - Extra button: (no name) - {120E090D-9136-4b78-8258-F0B44B4BD2AC} - C:\WINDOWS\System32\ms.exe (file missing
O9 - Extra 'Tools' menuitem: MaxSpeed - {120E090D-9136-4b78-8258-F0B44B4BD2AC} - C:\WINDOWS\System32\ms.exe (file missing)
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE
O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)
oltre all'antivirus non hai fatto scansioni con degli antispyware?
cmq secondo hai almeno un virus o spyware che sarebbe sto lrdsvr.exe e poi anche sto rundll32.exe stmctrl.dll nn va bene cmq fixa le voci riportate ;)
BravoGT83
04-05-2005, 09:43
Penso che se non posti un log di Hijackthis è praticamente impossibile darti un suggerimento
ciao
ben detto ;)
BravoGT83
04-05-2005, 09:47
tutti quelli che ha detto 3dsst
O17 - HKLM\System\CCS\Services\Tcpip\..\{8FBA1590-64DB-40B4-8799-EB103ABEA71F}: NameServer = 217.141.108.202 151.99.125.1
molto sospetto conosci l'ip?.
tutmosi3
04-05-2005, 10:10
tutti quelli che ha detto 3dsst
O17 - HKLM\System\CCS\Services\Tcpip\..\{8FBA1590-64DB-40B4-8799-EB103ABEA71F}: NameServer = 217.141.108.202 151.99.125.1
molto sospetto conosci l'ip?.
Anche io starei all'erta su quegli IP.
Ciao
tutti quelli che ha detto 3dsst
O17 - HKLM\System\CCS\Services\Tcpip\..\{8FBA1590-64DB-40B4-8799-EB103ABEA71F}: NameServer = 217.141.108.202 151.99.125.1
molto sospetto conosci l'ip?.
volevo solo segnalare a tutti gli amici che la riga sopra indicata contiene i riferimenti al proprio provider Internet.
In questo caso 217.141.108.202 è Telcom Italia (rete Interbusiness), il secondo(credo) sia l'indirizzo del server DHCP.
volevo solo segnalare a tutti gli amici che la riga sopra indicata contiene i riferimenti al proprio provider Internet.
In questo caso 217.141.108.202 è Telcom Italia (rete Interbusiness), il secondo(credo) sia l'indirizzo del server DHCP.
;) ;)
crypserv.exe = sospetto
sembra un programma regolare
http://www.neuber.com/taskmanager/process/crypserv.exe.html
deve essere installato un prodotto di crypting :confused:
occhiodifalco
05-05-2005, 22:20
Ho fatto come mi avete detto e pare che sua andato tutto a buon fine! :mano:
Grazie di cuore!
Questo "Crypserv.exe" io non lo conosco..... e non ho installato nessun prog. di crittografia.... che mi consigliate? Lo butto?
Baci
:)
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE
Anche questa linea a mio parere non rappresenta un pericolo (Download Accelerator)....
occhiodifalco
05-05-2005, 23:54
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE
Anche questa linea a mio parere non rappresenta un pericolo (Download Accelerator)....
Bravo Dëck†... è proprio lui! :)
e questo.... Crypserv.exe lo butto?
mi fremono le mani.... lo butto?
allora.... posso buttarlo? :stordita:
prova a cambiargli nome....... se vedi che questo non da fastidio al PC....
buuuuuuuuuuuuutttttttttaaaaaaaaaaaaalllllllllllooooooooooooo ahahahah
Bravo Dëck†... è proprio lui! :)
e questo.... Crypserv.exe lo butto?
mi fremono le mani.... lo butto?
allora.... posso buttarlo? :stordita:
Come già detto da Bluepix fa parte di un prodotto per criptare dati. Ho anche però trovato qualche possibile relazione con w32/Dyfuca.l spyware...Il mio consiglio quindi, se non hai mai installato questo programma, è di rimuoverlo.
prova a cambiargli nome....... se vedi che questo non da fastidio al PC....
buuuuuuuuuuuuutttttttttaaaaaaaaaaaaalllllllllllooooooooooooo ahahahah
:wtf:
Come già detto da Bluepix fa parte di un prodotto per criptare dati. Ho anche però trovato qualche possibile relazione con w32/Dyfuca.l spyware...Il mio consiglio quindi, se non hai mai installato questo programma, è di rimuoverlo.
;)
occhiodifalco
07-05-2005, 22:36
Ho buttato Crypserv.exe e tutto il resto.
Ho solo tenuto la stringa relativa a download accelerator plus con relativo programma (anche se un programma cercavermi e cercatrojan [ :p ] me lo ha indicato come un "cattivone".....)
Devo dire che ora tutto và che è una meraviglia..... anzi, mi sembra più veloce di prima!
Grazie a tutti voi che mi avete gentilmente risposto
Devo a voi se il mio PC è guarito.
Vi offro una bella bevuta virtuale :cincin:
Baci e buone cose.
juninho85
07-05-2005, 23:30
Ho buttato Crypserv.exe e tutto il resto.
Ho solo tenuto la stringa relativa a download accelerator plus con relativo programma (anche se un programma cercavermi e cercatrojan [ :p ] me lo ha indicato come un "cattivone".....)
.
e infatti lo è;)
Grazie a tutti voi che mi avete gentilmente risposto
Devo a voi se il mio PC è guarito.
Vi offro una bella bevuta virtuale :cincin:
Baci e buone cose.
:ubriachi: alla tua ;)
BravoGT83
08-05-2005, 10:14
volevo solo segnalare a tutti gli amici che la riga sopra indicata contiene i riferimenti al proprio provider Internet.
In questo caso 217.141.108.202 è Telcom Italia (rete Interbusiness), il secondo(credo) sia l'indirizzo del server DHCP.
purtroppo gli indirizzi dei vari provider non ne so :mc:
vBulletin® v3.6.4, Copyright ©2000-2026, Jelsoft Enterprises Ltd.