TROJAN -> Troj/Warspy-H come lo rimuovo?

[blekm]

mi serve un removal tool... esiste,vero? per un pc con un 98 (non 98 SE).

[x_Master_x]

Posta il log di hjt

[blekm]

Posta il log di hjt

appena potrò ve lo posto.

[blekm]

va anche sul 98 hijack this?

[SkunkWorks 68]

..Sul sito c'è scritto Win all...Ciao :)

[andorra24]

va anche sul 98 hijack this?
SI

[blekm]

Logfile of HijackThis v1.99.1
Scan saved at 11.54.12, on 01/07/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.50 SP1 (5.50.4522.1800)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\SCARDSVR.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMMI\FILE COMUNI\MICROSOFT SHARED\VS7DEBUG\MDM.EXE
C:\PROGRAMMI\TEXTBRIDGE CLASSIC 2.0\BIN\INSTANTACCESS.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAMMI\CLEANMYPC\REGISTRY CLEANER\RCSCHEDULER.EXE
C:\WINDOWS\SYSTEM\CTFMON.EXE
C:\PROGRAMMI\ADOBE\ACROBAT 5.0\DISTILLR\ACROTRAY.EXE
C:\WINDOWS\SYSTEM\SISCMON.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMMI\MICROSOFT OFFICE\OFFICE10\MSACCESS.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.specialgoods.info/ad/ad0411/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\ACROBAT\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: @msdxmLC.dll,-1@1040,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\BIN\INSTAN~1.exe /h
O4 - HKLM\..\Run: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.exe
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.exe
O4 - HKLM\..\RunServices: [SCardSvr] C:\WINDOWS\SYSTEM\SCardSvr.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [Registry Cleaner Scheduler] "C:\Programmi\CleanMyPC\Registry Cleaner\RCScheduler.exe" /startup
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - Startup: Acrobat Assistant.lnk = ?
O4 - Startup: siscmon.lnk = C:\WINDOWS\SYSTEM\siscmon.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_03\bin\npjpi150_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_03\bin\npjpi150_03.dll
O12 - Plugin for .pdf: C:\PROGRA~1\INTERN~1\PLUGINS\nppdf32.dll
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 212.216.112.222

[andorra24]

Fixa:
C:\WINDOWS\SYSTEM\SISCMON.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.specialgoods.info/ad/ad0411/
O4 - Startup: siscmon.lnk = C:\WINDOWS\SYSTEM\siscmon.exe

[blekm]

Fixa:
C:\WINDOWS\SYSTEM\SISCMON.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.specialgoods.info/ad/ad0411/
O4 - Startup: siscmon.lnk = C:\WINDOWS\SYSTEM\siscmon.exe

le posso fixare in modalita normale o lo devo fare dalla provvisoria?

[andorra24]

le posso fixare in modalita normale o lo devo fare dalla provvisoria?
Dalla provvisoria e' meglio

[blekm]

Dalla provvisoria e' meglio

ok, grazie. ora vedo se riesco a far fare questa cosa a chi di dovere.. siccome è un pc a distanza, non ce lo sotto mano..

[3dsst]

ok, grazie. ora vedo se riesco a far fare questa cosa a chi di dovere.. siccome è un pc a distanza, non ce lo sotto mano..
ehehehhe in questoi caso ti auguro che la persona a distanza sia abbastanza sveglia anche perche tute le volte che ho provato io fare una consulenza a distanza ............................no comment :D

[blekm]

ehehehhe in questoi caso ti auguro che la persona a distanza sia abbastanza sveglia anche perche tute le volte che ho provato io fare una consulenza a distanza ............................no comment :D

diciamo che sono stato abbastanza esplicativo nell'email... clicca qua, fai questo, segnati questo..ecc! sono due ragazze, ma sono sveglie! :D

[3dsst]

diciamo che sono stato abbastanza esplicativo nell'email... clicca qua, fai questo, segnati questo..ecc! sono due ragazze, ma sono sveglie! :D
allora doppi auguri.......

[blekm]

Logfile of HijackThis v1.99.1
Scan saved at 15.12.12, on 01/07/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.50 SP1 (5.50.4522.1800)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\EXPLORER.EXE
C:\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.specialgoods.info/ad/ad0411/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\ACROBAT\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: @msdxmLC.dll,-1@1040,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\BIN\INSTAN~1.exe /h
O4 - HKLM\..\Run: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.exe
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.exe
O4 - HKLM\..\RunServices: [SCardSvr] C:\WINDOWS\SYSTEM\SCardSvr.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [Registry Cleaner Scheduler] "C:\Programmi\CleanMyPC\Registry Cleaner\RCScheduler.exe" /startup
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - Startup: Acrobat Assistant.lnk = ?
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_03\bin\npjpi150_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_03\bin\npjpi150_03.dll
O12 - Plugin for .pdf: C:\PROGRA~1\INTERN~1\PLUGINS\nppdf32.dll
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 212.216.112.222

[andorra24]

Devono assolutamente fixare questa:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.specialgoods.info/ad/ad0411/
Dille di farlo dalla modalita' provvisoria.

[blekm]

Devono assolutamente fixare questa:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.specialgoods.info/ad/ad0411/
Dille di farlo dalla modalita' provvisoria.

è l'unica voce "sospetta",vero?
può capitare di non riuscire a fixare delle voci? i motivi quali possono essere?

non riescono a fixare quella voce... ora mi faccio dire perche..

[andorra24]

è l'unica voce "sospetta",vero?
può capitare di non riuscire a fixare delle voci? i motivi quali possono essere?
Si e' un sito porno piuttosto schifoso. I motivi per cui a volte non si riesce a fixare qualche voce e' perche' sono particolarmente tenaci e duri a morire. Provate in safe mode. Inoltre ti consiglierei di suggerire alle tue amiche di fare una scansione antivirus online: http://www.bitdefender.com/scan8/ie.html
Poi possono anche provare a fare una scansione con Adaware e spybot

[blekm]

Si e' un sito porno piuttosto schifoso. I motivi per cui a volte non si riesce a fixare qualche voce e' perche' sono particolarmente tenaci e duri a morire. Provate in safe mode. Inoltre ti consiglierei di suggerire alle tue amiche di fare una scansione antivirus online: http://www.bitdefender.com/scan8/ie.html
Poi possono anche provare a fare una scansione con Adaware e spybot

adaware e spybot glielo già fatto io ieri.. diverse voci cancellate!
però non l'ho fatto dalla modalita provvisoria! avrei dovuto?

scansione online? hanno l'isdn li, ci metteranno una vita.. o forse no?

quel pc è in rete.. .posso fare la scansione online da un altro pc tramite la rete? su un pc sano vado sul sito e quando mi dice seleziona hd posso scegliere il C:\ del infestato, trovandolo nella rete? mi sa di no,vero?...

[andorra24]

adaware e spybot glielo già fatto io ieri.. diverse voci cancellate!
però non l'ho fatto dalla modalita provvisoria! avrei dovuto?

scansione online? hanno l'isdn li, ci metteranno una vita.. o forse no?

quel pc è in rete.. .posso fare la scansione online da un altro pc tramite la rete? su un pc sano vado sul sito e quando mi dice seleziona hd posso scegliere il C:\ del infestato, trovandolo nella rete? mi sa di no,vero?...
In presenza di malwares ostinati e' sempre bene usare la modalita' provvisoria. Consiglio anche una buona scansione antivirus. Non credo che ci metteranno una vita, occorre comunque un po' di pazienza e buona volonta'. Fai usare anche questo programmino specializzato in malwares e trojans: http://majorgeeks.com/download172.html

[blekm]

le ho mandato un paio di link ove fare la scansione online..speriamo risolvano!
ora devo scappare, alla prossima..sperando di aver risolto!