se non è bagle....allora cos'è???

[robrobrob]

bene il gentile wjmat mi ha detto che il mio problema non è bagle....allora cos'è????
ri-allego i log delle scansioni

http://freefilehosting.net/download/46d11
http://freefilehosting.net/download/46d12
http://freefilehosting.net/download/46d14
http://freefilehosting.net/download/46d15

[wjmat]

http://www.hwupgrade.it/forum/showpo...&postcount=251
ti avevo scritto di farti riaprire un 3d non di aprirne un terzo...

visto che ci sono tracce di varie infezioni, collega prima tutte le chiavette usb che hai tenendo premuto il tasto shif e poi segui la guida alla disinfezione per infetti ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post (esempio), e secondo le regole di sezione

• Se il sistema dovesse essere molto compromesso, e non dovessi riuscire a seguire la guida, prova ad effettuare le prime 4 scansioni da modalità provvisoria, se non bastasse effettua prima una scansione con il rescue cd di Kaspersky o di Avira per fare una pulizia preliminare.
• In caso di continui riavvi, schermate blu, ecc.. stacca eventuali hardware nuovi, magari incompatibili e per escludere problemi con quelli già in uso fai un controllo del disco e della RAM
  
• Nel caso il pc da disinfettare abbia problemi con internet o non ce l'abbia proprio, nel bigino in firma guarda alla voce Portabilità di ogni programma, in modo da scaricare tutto il necessario da un pc pulito e portare tutto l'occorrente aggiornato sul pc infetto
  
• Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione
  
• Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
• Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

link caricamento log generici ► fileqube.com ■ wikisend.com ■ mediafire.com
link caricamento immagini ► fileqube.com ■ picoodle.com ■ imageshack.us

[robrobrob]

magari riuscissi a portare a termine una scansione di mbam!!!!
rallenta moltissimo quando arriva ad una cartella con nomi come questo "óm¤┴Ð.£-", e sembra controllare sempre gli stessi file....
poichè sono delle cartelle che non mi interessano, ho provato ad eliminarle (anche con unlocker)....ma nulla!!
tra l'altro avast è bloccato, con un cerchietto rosso sopra, se ci clicco sopra, mi dice "il sottosistema AAVM ha trovato un errore RPC". ho cercato di riparare il programma, ho fatto gli aggiornamenti windows, tutto!ora l'ho disinstallato e provo a reinstallarlo!!!
per il resto cosa mi consigliate di fare??
nel frattempo riprovo con mbam!

[wjmat]

avast lascialo perdere, installerai antivir a fine guida, se mbam ha problemi passa alla scansione con asquared come indicato in guida

[robrobrob]

invio tutti i logs....grazie mille...ora vado a dormire!!notte a domani

Malwarebytes Anti-Malware: link al log: non sono riuscita a fare la scansione

A-Squared Free v3.x: link al log: http://wikisend.com/download/530592/...331-150410.txt

F-Secure OnLine: link al log:http://wikisend.com/download/596328/F-Secure Online Scanner 3_3_1 - Scanning Report - Tuesday, March 31, 2009 192606.txt

Dr.Web CureIT: link al log: http://wikisend.com/download/441430/cureit filtrato.txt

ESET SysInspector: link al log (in formato .xml): http://wikisend.com/download/441398/...90331-2305.xml

HiJackThis: link al log: http://wikisend.com/download/442406/hijackthis.log

Gmer: link al log: http://wikisend.com/download/524458/gmerlog.log

PrevxCSI:link al log: [/u][/b][/u][/b] http://wikisend.com/download/959874/csi.log

screen di PrevxCSI:

[wjmat]

non possiamo capire che hai fatto con le infezioni trovate da asquared, se le hai eliminate ok, altrimenti nuova scansione completa e quarantena tutto + nuovo log


Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio ()

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)

O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [PC Suite Tray] "C:\Programmi\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background (User 'SYSTEM')
O4 - Startup: Ritaglio schermata e avvio di OneNote 2007.lnk = C:\Programmi\Microsoft Office\Office12\ONENOTEM.EXE
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab

• Disattiva eventuali protezioni in realtime di antivirus, antispyware, firewall se interferiscono
• Apri il Blocco Note e incolla tutto il codice qui sotto

Registry::
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{07ac1e88-2669-11dd-af5b-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{1b7b73d0-6604-11dc-aec3-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{1cc6516c-de25-11dc-aeff-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{62801fe8-93a8-11dc-aeed-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{7365220a-858c-11dd-afc4-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{739f4278-201f-11dd-af47-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{7ed55320-914a-11dd-afdd-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9b296532-cc12-11dc-aef1-0014c132ea96}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9f308786-8bad-11dd-afcf-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9f9813de-2bd0-11dd-af66-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{aa919d50-9116-11dc-aeeb-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c5e5d72a-2f8b-11dc-aeb4-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{d60b8930-315e-11dd-af70-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{d6fdfc0c-d564-11dc-aefa-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{d6fdfc0f-d564-11dc-aefa-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{e67af871-ffe3-11dc-af13-000ea60bbaa3}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ebcb523b-2cb5-11dd-af68-000ea60bbaa3}]

driver::
iwsaemks
snne

file::
c:\windows\system32\drivers\iwsaemks.sys

• Salva il file sul Desktop come CFScript.txt
• Trascina il file di testo appena creato (CFScript.txt) sull'icona di ComboFix che riconoscerà il comando di cancellazione
• al termine il PC si dovrebbe riavviare (eventualmente fallo tu manualmente) → al riavvio allega il log che trovi in C:\ComboFix.txt

[robrobrob]

allego il log di hijackthis, combofix sembra non partire.....quando trascino il file di testo sembra caricare, ma non succede nulla! ho riavviato il pc, ma al riavvio non ho traovato il file .txt nella sua cartella, ho fatto anche una ricerca, ma niente...mi sa che non ha fatto la scansione!
volevo porre anche un altro problema: da quando ho fatto tutte le scansioni all'avvio esce un messaggio di errore:" impossibile trovare il file winlogon.exe....." cosa posso fare per questo?
grazie mille

[wjmat]

reinstalla combofix ed esci senza farlo scansionare poi ripeti la procedura che ti ho scritto sopra

in C:\WINDOWS\system32 dovrebbe esserci winlogon.exe altrimenti win non penso riesca a partire, prova a controllare

ho aggiunto alcune cose allo script, usa quello nuovo

[robrobrob]

invio il log di combofix!
tra l'altro a fine scansione windows ha mostrato dei messaggi di alcuni file danneggiati e quindi non leggibilli!
http://wikisend.com/download/932660/ComboFix.txt

[wjmat]

trovato winlogon.exe?

installa e configura antivir come indicato qui

poi facci il punto della situazione

[robrobrob]

si trovato winlogon.exe!
mi sa che c'era un virus e quindi l'ho eliminato senza volerlo!ora installo antivir!
grazie mille! ti faccio sapere tra un pò!

[robrobrob]

ok allora: antivir non riesce a finire la scansione!!!!
si blocca sui file temporanei di internet!
ma io li avevo eliminati con ATF-Cleaner!!!sono andata a controllare in internet explorer->strumenti>opzioni>cronologia>visualizza file!e ci sono ancora!!!!
tra l'altro ho una cartella con un nome impossibile con dei file dai nomi impossibili tipo (ho copiato e incollato) &íçúDOß.╚p! era su questi file che mbam si bloccava a sua volta!!! che faccio???

[wjmat]

fai pulizia anche con CCleaner con tutti i browser chiusi

[robrobrob]

no ho risolto!
avevo bisogno di fare un controllo del disco al riavvio (come da tua guida...thanks).
avira è riuscito a fare la scansione....ti allego il log

http://wikisend.com/download/507980/...5-1805B939.LOG

[wjmat]

il ripristino configurazione di sistema disattivalo e facci il punto della situazione

[robrobrob]

allora:

ho installato antivir e fatto la scansione.
i problemi che avevo con quelle cartelle e quei files dai nomi impossibili li ho risolti con un controllo del disco.
winlogon l'ho rimesso al suo posto( era in :sistem32 e non in :Windows)
sembra tutto ok....ho fatto anche il trattamento post disinfezione!
il ripristino configurazione di sistema l'ho disattivato.
è guarito il mio pc-cino??

scusa: per winlogon : il messaggio di errore diceva di non trovarlo in windows, mentre era presente in system32...ho copiato e incollato....è un errore?

[wjmat]

Originariamente inviato da robrobrob

allora:
scusa: per winlogon : il messaggio di errore diceva di non trovarlo in windows, mentre era presente in system32...ho copiato e incollato....è un errore?

ringrazia che l'hai copiato altrimenti il pc non partiva più...
la cartella giusta è proprio windows\system32

prova a cancellare la copia che hai fatto in windows e riavviare per verificare la presenza dell'errore

[robrobrob]

ho fatto come mi hai detto, al riavvio mi è apparsa di nuovo questo messaggio:

http://wikisend.com/download/574768/Immagine.bmp

[wjmat]

carica il log degli startup di HiJackThis

la scansione con asquared l'hai rifatta poi, visto che sembrava non avevssi eliminato nulla?

[robrobrob]

scusa non ho capito che devo fare....
potresti spiegarmelo....come se fossi un bimbo??
grazie mille!

allego la lista dei file in quarantena di asquared
http://wikisend.com/download/870980/quarantine.txt