PDA

View Full Version : infetto con so vergine

katodb
19-08-2005, 16:23
Ho appena reinstallato Xp pro SP1 e al primo collegamento ho preso (almeno credo) dei trojan o worm. Come è possibile con disco pulito e zero programmi installati? E' vero che non avevo ancora fatto settaggi per proteggere di più il pc ma per tanti anni mi sono connesso senza nemmeno firewall e a volte antivirus e non ho preso mai niente, adesso...un casino.
Cmq i file sospetti credo siano ss.exe e package_adp_SIAC.exe
e mi si apre mentre sono connesso una finestra "advertisement" e una pagina di yahoo

ma questo log mi preoccupa
guardate un pò:


Logfile of HijackThis v1.99.1
Scan saved at 16.41.12, on 19/08/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\iexplore.exe
C:\WINDOWS\System32\li32.exe
C:\WINDOWS\System32\rundll32.exe
C:\WINDOWS\System32\wuamk032.exe
C:\WINDOWS\System32\NotifyPhoneBook.exe
C:\WINDOWS\system32\cmd.exe
C:\Documents and Settings\DARIO\Internet Optimizer\optimize.exe
C:\WINDOWS\installer_SIAC.exe
C:\WINDOWS\System32\m81uu9o9.exe
C:\Programmi\oech\ncdc.exe
C:\WINDOWS\system32\w?auboot.exe
F:\pulitori periodici\HijackThis.exe
C:\WINDOWS\System32\system.pif

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ansa.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: (no name) - {02EE5B04-F144-47BB-83FB-A60BD91B74A9} - C:\Programmi\SurfSideKick 3\SskBho.dll
O2 - BHO: (no name) - {04C86619-E1B2-F04B-AFCB-F44404CDF9F9} - C:\WINDOWS\System32\olhksv.dll
O2 - BHO: (no name) - {31E55619-CC81-C57F-82FB-C46934FDD4C9} - C:\WINDOWS\System32\olhksv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Microsoft Internet Explorer] C:\WINDOWS\System32\iexplore.exe
O4 - HKLM\..\Run: [AME_CSA] rundll32 amecsa.cpl,RUN_DLL
O4 - HKLM\..\Run: [SurfSideKick 3] C:\Programmi\SurfSideKick 3\Ssk.exe
O4 - HKLM\..\Run: [Microsoft Update] wuamk032.exe
O4 - HKLM\..\Run: [li start up] li32.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [System Update Service] system.pif
O4 - HKLM\..\Run: [Internet2 Optimizer] wkfix.exe
O4 - HKLM\..\Run: [m81uu9o9] C:\WINDOWS\System32\m81uu9o9.exe
O4 - HKLM\..\RunServices: [li start up] li32.exe
O4 - HKLM\..\RunServices: [MSN9 Startup] msn9.exe
O4 - HKLM\..\RunServices: [MS Windows Security Updater] updater.pif
O4 - HKLM\..\RunServices: [Microsoft Update] wuamk032.exe
O4 - HKLM\..\RunServices: [Internet2 Optimizer] wkfix.exe
O4 - HKLM\..\RunServices: [System Update Service] system.pif
O4 - HKCU\..\Run: [SurfSideKick 3] C:\Programmi\SurfSideKick 3\Ssk.exe
O4 - HKCU\..\Run: [li start up] li32.exe
O4 - HKCU\..\Run: [System Update Service] system.pif
O4 - HKCU\..\Run: [Internet2 Optimizer] wkfix.exe
O4 - HKCU\..\Run: [Eewa] C:\Programmi\oech\ncdc.exe
O4 - HKCU\..\Run: [Izcltpat] C:\WINDOWS\System32\w?auboot.exe
O4 - HKCU\..\RunServices: [li start up] li32.exe
O4 - HKCU\..\RunServices: [MS Windows Security Updater] updater.pif
O4 - HKCU\..\RunServices: [System Update Service] system.pif
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windows...b?1124390418589
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7B6B35C} (Loader2 Control) - http://static.topconverting.com/activex/website.ocx
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTic....cab?refid=4809
O20 - AppInit_DLLs: repairs.dll
andorra24
19-08-2005, 16:38
Fixa:
C:\Documents and Settings\DARIO\Internet Optimizer\optimize.exe
C:\WINDOWS\System32\li32.exe
C:\WINDOWS\System32\wuamk032.exe
C:\WINDOWS\installer_SIAC.exe
C:\WINDOWS\System32\m81uu9o9.exe
C:\Programmi\oech\ncdc.exe
C:\WINDOWS\system32\w?auboot.exe
R3 - URLSearchHook: (no name) - {02EE5B04-F144-47BB-83FB-A60BD91B74A9} - C:\Programmi\SurfSideKick 3\SskBho.dll
O2 - BHO: (no name) - {04C86619-E1B2-F04B-AFCB-F44404CDF9F9} - C:\WINDOWS\System32\olhksv.dll
O2 - BHO: (no name) - {31E55619-CC81-C57F-82FB-C46934FDD4C9} - C:\WINDOWS\System32\olhksv.dll
O4 - HKLM\..\Run: [SurfSideKick 3] C:\Programmi\SurfSideKick 3\Ssk.exe
O4 - HKLM\..\Run: [Microsoft Update] wuamk032.exe
O4 - HKLM\..\Run: [li start up] li32.exe
O4 - HKLM\..\Run: [System Update Service] system.pif
O4 - HKLM\..\Run: [Internet2 Optimizer] wkfix.exe
O4 - HKLM\..\Run: [m81uu9o9] C:\WINDOWS\System32\m81uu9o9.exe
O4 - HKLM\..\RunServices: [li start up] li32.exe
O4 - HKLM\..\RunServices: [MSN9 Startup] msn9.exe
O4 - HKLM\..\RunServices: [MS Windows Security Updater] updater.pif
O4 - HKLM\..\RunServices: [Microsoft Update] wuamk032.exe
O4 - HKLM\..\RunServices: [Internet2 Optimizer] wkfix.exe
O4 - HKLM\..\RunServices: [System Update Service] system.pif
O4 - HKCU\..\Run: [SurfSideKick 3] C:\Programmi\SurfSideKick 3\Ssk.exe
O4 - HKCU\..\Run: [li start up] li32.exe
O4 - HKCU\..\Run: [System Update Service] system.pif
O4 - HKCU\..\Run: [Internet2 Optimizer] wkfix.exe
O4 - HKCU\..\Run: [Eewa] C:\Programmi\oech\ncdc.exe
O4 - HKCU\..\Run: [Izcltpat] C:\WINDOWS\System32\w?auboot.exe
O4 - HKCU\..\RunServices: [li start up] li32.exe
O4 - HKCU\..\RunServices: [MS Windows Security Updater] updater.pif
O4 - HKCU\..\RunServices: [System Update Service] system.pif
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7B6B35C} (Loader2 Control) - http://static.topconverting.com/activex/website.ocx
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTic....cab?refid=4809
O20 - AppInit_DLLs: repairs.dll

Fai una scansione con ewido:http://download.ewido.net/ewido-setup.exe
e una con bitdefender:http://www.bitdefender.com/scan8/ie.html
FOXYLADY
19-08-2005, 16:45
Metti anche di corsa l'SP2, il tuo log sembra un campo di battaglia :eek:
matteo1
19-08-2005, 16:50
a me sembra strano che per mesi abbia navigato senza problemi con sp1,poi oggi con un pò di navigazione si becca quella caterva di roba.
andorra24
19-08-2005, 16:55
a me sembra strano che per mesi abbia navigato senza problemi con sp1,poi oggi con un pò di navigazione si becca quella caterva di roba.
In effetti mi pare strano che in un solo giorno abbia raccolto tutta quella robaccia. Ha un bel po' di lavoro da fare :rolleyes:
Stereogab
19-08-2005, 17:02
scusate se mi intrufolo,ma ho una domanda che volevo farvi da quando
mi sono iscritto: ma come cavolo fate ad individuare i processi
da fixare quando guardate il log?
sarà banale come domanda ma per me è magia... :wtf:
andorra24
19-08-2005, 17:05
scusate se mi intrufolo,ma ho una domanda che volevo farvi da quando
mi sono iscritto: ma come cavolo fate ad individuare i processi
da fixare quando guardate il log?
sarà banale come domanda ma per me è magia... :wtf:
Parecchie voci con l'esperienza si conoscono e si memorizzano ma ovviamente occorre anche un po' di pazienza nel cercare su google tutte le voci che non si conoscono. Almeno questo e' il mio metodo. :)
matteo1
19-08-2005, 17:05
sappiamo un pò i processi facenti parte di windows,per quelli di cui dubitiamo usiamo google che rimanda ad alcuni siti web in cui sono elencate quelle voci.
The_EclipseZ
19-08-2005, 17:08
esperienza e cultura in materia........andorra24 ne sa qualcosa... :asd:
Stereogab
19-08-2005, 17:12
Parecchie voci con l'esperienza si conoscono e si memorizzano ma ovviamente occorre anche un po' di pazienza nel cercare su google tutte le voci che non si conoscono. Almeno questo e' il mio metodo. :)


complimenti :cool:
andorra24
19-08-2005, 17:19
esperienza e cultura in materia........andorra24 ne sa qualcosa... :asd:

complimenti :cool:
Grazie, mi piace rendermi utile e dare una mano,se posso. Ci sono passata anche io con i problemi di spyware e virus e quindi so lo stato d'animo di chi si ritrova con il pc infetto. :)
FOXYLADY
19-08-2005, 17:23
Come ti hanno già detto, dopo un pò che li guardi impari a riconoscere alcune stringhe sospette a prima vista, il resto è una ricerca su internet.
Alcuni siti offrono un'analisi automatica, ma non sempre è affidabile, al massimo possono essere utili per fare una cernita iniziale.
http://www.ilsoftware.it/hijackthis.asp
http://hjt.iamnotageek.com/
Personalmente oltre a google faccio verifiche anche qui
http://www.help2go.com/modules.php?name=HJTDetective
http://castlecops.com/StartupList.html
Se invece vuoi capire a cosa si riferiscano le varie stringhe di hijack, puoi dare un'occhiata qui
http://www.ilsoftware.it/articoli.asp?ID=2459

Ciao
katodb
19-08-2005, 17:45
a me sembra strano che per mesi abbia navigato senza problemi con sp1,poi oggi con un pò di navigazione si becca quella caterva di roba.

anche io sono rimasto stupito.
Fino a due mesi fa era così, facevo ogni giorno lo scan con ad aware e spy bot e comunque la navigazione non era disturbata, poi la situazione è andata via via peggiorando fino all'altro ieri quando ho deciso di formattare. Tutte queste schifezze assieme non le ho mai avute solo il worm bofra un paio di volte ma subito eliminato. Non so se significhe qualcosa ma il primo sito che ho aperto appena reinstallato è stato windows update e li mi si è impallato tutto. Adesso sto facendo lo scan con a-squared.
Grazie a tutti, reinstallo con SP2
wgator
19-08-2005, 19:52
scusate se mi intrufolo,ma ho una domanda che volevo farvi da quando
mi sono iscritto: ma come cavolo fate ad individuare i processi
da fixare quando guardate il log?
sarà banale come domanda ma per me è magia... :wtf:

Ciao,

un metodo che potrebbe essere ottimo per chi non ha moltissima esperienza ma desidera imparare, potrebbe essere quello di inserire le voci del log in questo motore di analisi: http://hijackthis.de/index.php?langselect=italian

Esso individuerà come sconosciute, sospette o "da fixare" un certo numero di voci. Attenzione però: quel motore non è l'oracolo di Delphi, fa parecchi errori e a volte segnala come infette alcune cose assolutamente inoffensive.

Il "segreto" sta nel verificare con Google e con un po' di pazienza tutte le voci segnalate in rosso o in arancione e cercare di capire di cosa si tratta... In caso di dubbio si può sempre chiedere sul forum

Se ti interessa l'hobby di "virus hunter" provaci anche tu quando vedi i log postati dagli utenti e cerca di individuare i colpevoli :D proprio come si fa quando si leggono i romanzi polizieschi. Vedrai che non è difficile ;)
matteo1
19-08-2005, 19:55
Il "segreto" sta nel verificare con Google e con un po' di pazienza tutte le voci segnalate in rosso o in arancione e cercare di capire di cosa si tratta... In caso di dubbio si può sempre chiedere sul forum

Peccato che la gente voglia essere servita;cavolo sai che fatica cercare le voci incriminate quando qui ci sono i soliti "fessi" che lo fanno per te. :muro:
Lasciamo perdere va. :muro:
Stereogab
19-08-2005, 20:16
Se ti interessa l'hobby di "virus hunter" provaci anche tu quando vedi i log postati dagli utenti e cerca di individuare i colpevoli :D proprio come si fa quando si leggono i romanzi polizieschi. Vedrai che non è difficile ;)

tenterò ma la vedo dura :D


ps x matteo1:

credo che molti lo facciano non per pigrizia
ma per paura di sbagliare qualcosa e mandare tutto in palla.. :)
matteo1
19-08-2005, 20:23
ma che mandare a palla;se usi google e leggi che xxx.exe o about:blank è un problema lo fixi.Fin qui non la vedo difficile.
andorra24
19-08-2005, 20:29
credo che molti lo facciano non per pigrizia
ma per paura di sbagliare qualcosa e mandare tutto in palla.. :)
Comunque hijackthis crea il backup di cio' che elimina e quindi in caso di eventuali problemi si potrebbe ripristinare tutto. ;)
Stereogab
19-08-2005, 21:02
ma che mandare a palla;se usi google e leggi che xxx.exe o about:blank è un problema lo fixi.Fin qui non la vedo difficile.

era solo un'opinione ;)
juninho85
19-08-2005, 21:15
il fatto che hai preso zozzerie a s.o. appena installata è dovuto al fatto che hai "soltanto" il service pack 1,magari senza utilizzare firewall,ho visto che i big ti hanno già risposto,vediamo se trovo qualcos'altro....
C:\WINDOWS\System32\iexplore.exe
C:\WINDOWS\System32\li32.exe
C:\WINDOWS\System32\wuamk032.exe
C:\WINDOWS\System32\NotifyPhoneBook.exe
C:\WINDOWS\installer_SIAC.exe
C:\WINDOWS\System32\m81uu9o9.exe
C:\WINDOWS\system32\w?auboot.exe
C:\WINDOWS\System32\system.pif
O2 - BHO: (no name) - {04C86619-E1B2-F04B-AFCB-F44404CDF9F9} - C:\WINDOWS\System32\olhksv.dll
O2 - BHO: (no name) - {31E55619-CC81-C57F-82FB-C46934FDD4C9} - C:\WINDOWS\System32\olhksv.dll
O4 - HKLM\..\Run: [Microsoft Internet Explorer] C:\WINDOWS\System32\iexplore.exe
O4 - HKLM\..\Run: [AME_CSA] rundll32 amecsa.cpl,RUN_DLL
O4 - HKLM\..\Run: [Microsoft Update] wuamk032.exe
O4 - HKLM\..\Run: [li start up] li32.exeO4 - HKLM\..\Run: [System Update Service] system.pif
O4 - HKLM\..\Run: [Internet2 Optimizer] wkfix.exe
O4 - HKLM\..\Run: [m81uu9o9] C:\WINDOWS\System32\m81uu9o9.exe
O4 - HKLM\..\RunServices: [li start up] li32.exe
O4 - HKLM\..\RunServices: [MSN9 Startup] msn9.exeO4 - HKLM\..\RunServices: [Microsoft Update] wuamk032.exe
O4 - HKLM\..\RunServices: [Internet2 Optimizer] wkfix.exe
O4 - HKLM\..\RunServices: [System Update Service] system.pifO4 - HKCU\..\Run: [li start up] li32.exe
O4 - HKCU\..\Run: [System Update Service] system.pif
O4 - HKCU\..\Run: [Internet2 Optimizer] wkfix.exe
O4 - HKCU\..\Run: [Izcltpat] C:\WINDOWS\System32\w?auboot.exe
O4 - HKCU\..\RunServices: [li start up] li32.exe
O4 - HKCU\..\RunServices: [MS Windows Security Updater] updater.pif
O4 - HKCU\..\RunServices: [System Update Service] system.pif
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204O16 - DPF: {79849612-A98F-45B8-95E9-4D13C7B6B35C} (Loader2 Control) - http://static.topconverting.com/activex/website.ocx
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTic....cab?refid=4809
O20 - AppInit_DLLs: repairs.dll

questi non li conosco:
O4 - HKCU\..\Run: [Eewa] C:\Programmi\oech\ncdc.exe
C:\Programmi\oech\ncdc.exe
matteo1
19-08-2005, 21:50
era solo un'opinione ;)
si lo so,non me la volevo prendere mica con te :)
Stereogab
19-08-2005, 22:11
si lo so,non me la volevo prendere mica con te :)

:) :)
BravoGT83
20-08-2005, 12:26
Parecchie voci con l'esperienza si conoscono e si memorizzano ma ovviamente occorre anche un po' di pazienza nel cercare su google tutte le voci che non si conoscono. Almeno questo e' il mio metodo. :)
straquoto...

dopo te li ricordi di memoria...poi ce sempre il magico google ad aiutare
BravoGT83
20-08-2005, 12:27
poi manca SP2 poi non vedo il firewall o antivirus :mbe: