prima di dargli fuoco!!! [Archivio] - Hardware Upgrade Forum

ILIOSIS

04-05-2005, 22:54

salve a tutti, sono un nuovo iscritto non particolarmente esperto (diciamo per niente!) e mi auguro di riuscire a risolvere un grosso problema che ho da qualche settimana col mio pc. mi è istallato Windows XP che ho aggiurnato via Microsoft update, ho AntiVir e firewall di microsoft più ad-aware. nonostante questo credo di essermi preso un worm. in pratica mi compaiono continui pop up sullo schermo che mi avvertono della presenza di worm, trojan etc. malgrado tutte le scansioni coi suddetti sistemi di sicurezza e la cancellazione continua dei file infetti continuo ad avere questo problema (alcuni file vengono definiti come non cancellabili). prendendo spunto da quanto letto su questo forum ho scaricato Hijackthis il quale mi ha fornito il seguente scritto:

Logfile of HijackThis v1.99.1
Scan saved at 23.43.58, on 04/05/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\System32\kernels32.exe
C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programmi\Analog Devices\SoundMAX\Smax4.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\fefewme.exe
C:\WINDOWS\System32\msfload32.exe
C:\Programmi\Java\jre1.5.0_02\bin\jusched.exe
C:\Programmi\AVPersonal\AVGNT.EXE
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Programmi\AVPersonal\AVGUARD.EXE
C:\Programmi\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\cosimo\Impostazioni locali\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fastweb.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.fastweb.it
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.fastweb.it/welcome
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da FastWeb
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\System32\kernels32.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programmi\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [blah service] fefewme.exe
O4 - HKLM\..\Run: [SP2 Firewall/Internet Updater] crssrs.exe
O4 - HKLM\..\Run: [System] C:\WINDOWS\System32\kernels32.exe
O4 - HKLM\..\Run: [msfload32] msfload32.exe
O4 - HKLM\..\Run: [msvload32] msvload32.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\Programmi\AVPersonal\AVSched32.EXE /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programmi\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\RunServices: [blah service] fefewme.exe
O4 - HKLM\..\RunServices: [SP2 Firewall/Internet Updater] crssrs.exe
O4 - HKLM\..\RunServices: [Media Software UPdater] sscs.exe
O4 - HKLM\..\RunServices: [SystemTools] C:\WINDOWS\System32\kernels32.exe
O4 - HKLM\..\RunServices: [msfload32] msfload32.exe
O4 - HKLM\..\RunServices: [msvload32] msvload32.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SP2 Firewall/Internet Updater] crssrs.exe
O4 - HKCU\..\Run: [Media Software UPdater] sscs.exe
O4 - HKCU\..\Run: [msfload32] msfload32.exe
O4 - HKCU\..\Run: [msvload32] msvload32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_02\bin\npjpi150_02.dll
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.fastweb.it
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O20 - Winlogon Notify: f3dsl - C:\WINDOWS\SYSTEM32\MSplg7.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programmi\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programmi\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe

c'è qualcuno di voi che possa aiutarmi a risolvere questo problema? vi ringrazio in anticipo per quanto riuscirete a suggerirmi... si tenga presente che nel corso di circa tre settimane il pc è gia stato formattato (per tentare di risolvere il problema) circa una ventina di volte!!! :doh: devo dargli direttamente fuoco?... ps: non chiamatemi ciuccio!!! :(

Fenomeno85

04-05-2005, 23:13

vedendo così non vedo niente di strano.
Allora incominciamo: quale programma ti avvisa del worm??

~§~ Sempre E Solo Lei ~§~

ILIOSIS

04-05-2005, 23:32

grazie! il programma è antivir

bluepix

04-05-2005, 23:40

Toglierei tutto quello che segue:

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\System32\kernels32.exe
O4 - HKLM\..\Run: [blah service] fefewme.exe
O4 - HKLM\..\Run: [SP2 Firewall/Internet Updater] crssrs.exe
O4 - HKLM\..\Run: [System] C:\WINDOWS\System32\kernels32.exe
O4 - HKLM\..\Run: [msfload32] msfload32.exe
O4 - HKLM\..\Run: [msvload32] msvload32.exe

O4 - HKLM\..\RunServices: [blah service] fefewme.exe
O4 - HKLM\..\RunServices: [SP2 Firewall/Internet Updater] crssrs.exe
O4 - HKLM\..\RunServices: [Media Software UPdater] sscs.exe
O4 - HKLM\..\RunServices: [SystemTools] C:\WINDOWS\System32\kernels32.exe
O4 - HKLM\..\RunServices: [msfload32] msfload32.exe
O4 - HKLM\..\RunServices: [msvload32] msvload32.exe

O4 - HKCU\..\Run: [SP2 Firewall/Internet Updater] crssrs.exe
O4 - HKCU\..\Run: [Media Software UPdater] sscs.exe
O4 - HKCU\..\Run: [msfload32] msfload32.exe
O4 - HKCU\..\Run: [msvload32] msvload32.exe

O20 - Winlogon Notify: f3dsl - C:\WINDOWS\SYSTEM32\MSplg7.dll

Togli il ripristino di sistema

Reboot in modalità provvisoria

dcancella i files (se ci sono):

C:\WINDOWS\System32\fefewme.exe
C:\WINDOWS\System32\msfload32.exe
C:\WINDOWS\System32\fefewme.exe
C:\WINDOWS\System32\msvload32.exe
C:\WINDOWS\System32\crssrs.exe
C:\WINDOWS\System32\sscs.exe
C:\WINDOWS\System32\kernels32.exe

reboot in modalità normale e posta il log nuovo di Hijackthis

ciao

ILIOSIS

04-05-2005, 23:48

grazie mille... magari sto lavoraccio lo faccio domani con calma e col tempo avanti... posterò e ti farò sapre!!! ancora grazie

bluepix

04-05-2005, 23:50

Prima di andare a dormire fai una cosa.

Metti il programma hijackthis in una sua directory da solo cosi ti fa il backup delle voci che cancelli.

ciao

3dsst

05-05-2005, 00:02

Prima di andare a dormire fai una cosa.

Metti il programma hijackthis in una sua directory da solo cosi ti fa il backup delle voci che cancelli.

ciao
;)

Ferdy78

05-05-2005, 10:21

Caro Iliosis, intanto benvenuto :D
Allora: cosa buona e giusta...sarebbe quella dopo aver formattato e ricaricato il tutto (Windows XP nudo) ...mettere il Service Ppack 2 (di Windows)...ancor prima che lo faccia da solo attraverso internet (in quel lasso di tempo...entra il ben di Dio...)...cioè appena finisce di installare XP..dovresti caricare (ovviamente scaricala solo ora e la salvi poi su un cd) subito SP2 (Sp1...sorpassalo) versione full prelevabile da qui (http://www.microsoft.com/downloads/details.aspx?displaylang=it&FamilyID=049c9dbe-3b8e-4f30-8245-9e368d3cdb5a)
Fatto ciò e attivato il firewall di base presente in windows...allora potrai reinstallare tutti gli altri software e poi navigare e aggiornare antivirus, ad-aware ed altro.
A tal proposito per ulteriore "sicurezza", procurati (fallo prima del format..) MS antispyware e spywareblaster (entrambi FREE) che hanno la particolarità di avere la protezione in real. L'ultimo su citato non fa scansioni...basta che lo aggiorni di tanto in tanto..e abiliti le protezioni per le tre voci che ti segnala..e stai apposto ;)

PS visto che è già la 20° volta che formatti...se non lo hai fatto prima fallo ora: creati una seconda partizione dell'hd (puoi farlo direttamente dal cd di windows..dopo aver piallato quella attuale) così i dati (musica, documenti etc..) li salvi li...e se devi formattare più in là...carichi solo sistema operativo e programmi! :)

BravoGT83

05-05-2005, 11:15

Toglierei tutto quello che segue:

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\System32\kernels32.exe
O4 - HKLM\..\Run: [blah service] fefewme.exe
O4 - HKLM\..\Run: [SP2 Firewall/Internet Updater] crssrs.exe
O4 - HKLM\..\Run: [System] C:\WINDOWS\System32\kernels32.exe
O4 - HKLM\..\Run: [msfload32] msfload32.exe
O4 - HKLM\..\Run: [msvload32] msvload32.exe

O4 - HKLM\..\RunServices: [blah service] fefewme.exe
O4 - HKLM\..\RunServices: [SP2 Firewall/Internet Updater] crssrs.exe
O4 - HKLM\..\RunServices: [Media Software UPdater] sscs.exe
O4 - HKLM\..\RunServices: [SystemTools] C:\WINDOWS\System32\kernels32.exe
O4 - HKLM\..\RunServices: [msfload32] msfload32.exe
O4 - HKLM\..\RunServices: [msvload32] msvload32.exe

O4 - HKCU\..\Run: [SP2 Firewall/Internet Updater] crssrs.exe
O4 - HKCU\..\Run: [Media Software UPdater] sscs.exe
O4 - HKCU\..\Run: [msfload32] msfload32.exe
O4 - HKCU\..\Run: [msvload32] msvload32.exe

O20 - Winlogon Notify: f3dsl - C:\WINDOWS\SYSTEM32\MSplg7.dll

Togli il ripristino di sistema

Reboot in modalità provvisoria

dcancella i files (se ci sono):

C:\WINDOWS\System32\fefewme.exe
C:\WINDOWS\System32\msfload32.exe
C:\WINDOWS\System32\fefewme.exe
C:\WINDOWS\System32\msvload32.exe
C:\WINDOWS\System32\crssrs.exe
C:\WINDOWS\System32\sscs.exe
C:\WINDOWS\System32\kernels32.exe

reboot in modalità normale e posta il log nuovo di Hijackthis

ciao

;) ;) ;)

e poi alla fine il SP2 :D

ILIOSIS

06-05-2005, 21:30

grazie a tutti dei suggerimenti. poichè coi pc sono piuttosto "impedito" (che ce vuò fa! ognuno è nato per qualcosa e io so altro :p ) farò tesoro di quanto avete suggerito (meglio: farà tesoro chi ci metterà le mani sopra nel prossimo weekend!!!) e vi faò sapere. per adesso sembra che i pop up continui siano spariti del tutto... e la cosa non so se mi fa piacere o mi preoccupa :rolleyes: grazie a tutti

3dsst

06-05-2005, 23:44

grazie a tutti dei suggerimenti. poichè coi pc sono piuttosto "impedito" (che ce vuò fa! ognuno è nato per qualcosa e io so altro :p ) farò tesoro di quanto avete suggerito (meglio: farà tesoro chi ci metterà le mani sopra nel prossimo weekend!!!) e vi faò sapere. per adesso sembra che i pop up continui siano spariti del tutto... e la cosa non so se mi fa piacere o mi preoccupa :rolleyes: grazie a tutti
Siamo qui apposta se no a che servirebbero i forum ;)