Dialer e affini... come rimuoverli definitivamente ?

dani&l · 09-07-2003, 15:17

Dunque al lavoro uno dei pc è affetto da un dialer, il quale una volta tolto, cancellato dal disco e tolto dal registro l'avvio automatico, ricompare ogni volta in internet si usi un motore di ricerca.

Ho provato con Spyware & destroy, il quale mi trova alcuni coockies, ma una volta rimossi il fattaccio succede ancora.
Adesso stò provando con Ad-Aware.....

Nessuno ha suggerimenti ???

Ovviamente ho la versione aggiornata del Norton Antivirus Corporate ... ma non mi trova niente (molto probabilemte i dialer e simili non vengono considerati virus...)

dani&l · 09-07-2003, 16:06

.... Anche AD-Aware mi ha rimosso alcune cose ma il problema si è ripresentato, ho fatto una ricerca in internet, ho chiuso l'exlorer e come per magie è apparso il dialer di connessione....

Ovviamente nessuno di quell'ufficio sà come sia iniziato tutto questo

amvinfe · 09-07-2003, 23:08

Dettagli sul nome dell'eseguibile trovato nei registri?

Marco(amvinfe)

dani&l · 10-07-2003, 07:05

L'eseguibile è "vietato.exe".

Bilancino · 10-07-2003, 08:34

Quote:

Originally posted by "dani&l"

L'eseguibile è "vietato.exe".

vedo che frequenti certi siti..........

Ciao

dani&l · 10-07-2003, 09:46

Quote:

Originally posted by "Bilancino"

vedo che frequenti certi siti..........

Ciao

Purtroppo è un PC di un ufficio, e io mi occupo della gestione dei PC...quindi qualcuno si diverte e a me tocca rimediare

!!!

Bilancino · 10-07-2003, 10:27

Quote:

Originally posted by "dani&l"

Purtroppo è un PC di un ufficio

perchè se era tuo invece.............porcellone........

Ciao

dani&l · 10-07-2003, 10:56

Quote:

Originally posted by "Bilancino"

perchè se era tuo invece.............porcellone........

Ciao

Non mi facevo sgamare

ig:

Lebowski · 10-07-2003, 11:16

ok, a parte le considerazioni sui codici morali del padrone del pc posseduto, ho un amico che ha lo stesso problema

Siete liberi o meno di crederci, ovviamente

resta il fatto che non riesco in nessun modo a tirare via quel coso maledetto. Ricerca veloce su Google di vietato.exe mi ha dato un risultato sconfortante.

dani&l · 10-07-2003, 13:15

Stò diventando matto. Ho scoperto che nei file temporanei di windows il file vietato.exe si trasforma in base alla ricerca che metti nel motore di ricerca. Esempio se in virgilio cerco pippo, nei temporanei mi trovo un pippo.exe con la stessa icona di vietato.exe

E' una cosa frustrante, stò cercando nel registro di windows nelle conf. di explorer in quanto credo che abbia lavorato a livello di Internet Explorer....

HELP !

amvinfe · 10-07-2003, 13:27

Prova a guardare anche in queste chiavi se trovi riferimenti a vietato.com

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Search Bar
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Default_Search_URL

HKEY_USERS\Software\Microsoft\Internet Explorer\Main\Start Page
HKEY_USERS\Software\Microsoft\Internet Explorer\Main\Search Bar
HKEY_USERS\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
HKEY_USERS\Software\Microsoft\Internet Explorer\Main\Default_Search_URL

HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Start Page
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Search Bar
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Search_URL

Marco(amvinfe)

amvinfe · 10-07-2003, 13:35

Da come si comporta ho un mezzo sospetto.
Ci puoi elencare quali voci hai in
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

Marco(amvinfe)

dani&l · 10-07-2003, 15:42

Quote:

Originally posted by "amvinfe"

Da come si comporta ho un mezzo sospetto.
Ci puoi elencare quali voci hai in
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

Marco(amvinfe)

Dunque nei registri precedenti riguardante Internet explore, ho trovato nelle chiavi "Start Page" e "Search Bar" degli indirizzi strani (tipo www.ne.sp01.com/AAAABDGSHDGYKJKDJSHDDH..... etc..) , ho provato a mettere un indirizzo presente su un'altro pc (www.it.msn.com/access/allinone.htm), ma non è cambiato nulla.

Nella ".../Run" ho:
scanregw.exe
taskmon.exe
systray.exe
rundll32.exe powrprof.dll,LoadCurrentPwrScheme
atiptaxx.exe
point32.exe
vptray.exe (norton)
WINUPD.EXE
REGCPM32.EXE
windfind.exe
msosa.exe

amvinfe · 10-07-2003, 15:58

Quote:

Originally posted by "dani&l"

Dunque nei registri precedenti riguardante Internet explore, ho trovato nelle chiavi "Start Page" e "Search Bar" degli indirizzi strani (tipo www.ne.sp01.com/AAAABDGSHDGYKJKDJSHDDH..... etc..) , ho provato a mettere un indirizzo presente su un'altro pc (www.it.msn.com/access/allinone.htm), ma non è cambiato nulla.

Nella ".../Run" ho:
scanregw.exe
taskmon.exe
systray.exe
rundll32.exe powrprof.dll,LoadCurrentPwrScheme
atiptaxx.exe
point32.exe
vptray.exe (norton)
WINUPD.EXE
REGCPM32.EXE
windfind.exe
msosa.exe

Come sospettatvo windfind.exe è sicuramente un trojan (dasmin), dammi un attimo di tempo per vedere gli altri. Comincia con lo scaricare il tool per la rimozione lo trovi all'URL
http://www.nod32.it/home/home.htm
"Preleva cleaner gratuiti"
è il terz'ultimo. Poi come detto dammi tempo per gli altri non ho avuto ancora modo di leggerli, mi è subito saltato all'occhio windfind.exe

Marco(amvinfe)

amvinfe · 10-07-2003, 16:01

regcpm32.exe anche lui è un trojan, sempre dasmin

Marco(amvinfe)

amvinfe · 10-07-2003, 16:02

WINUPD.EXE anche lui sempre dasmin

Marco(amvinfe)

dani&l · 10-07-2003, 16:39

GRAZIE , provvedo e verifico!

dani&l · 10-07-2003, 17:01

Purtroppo il cleaner non mi trova niente, io comunque ho eliminato le chiavi (dalla modalità provvisoria in quanto se ero in windows le rimetteva al volo), ho fatto una prova di ricerca in internet ma vietato.exe si è reinstallato di nuovo.

Nel registro comunque mi sono trovato solo il vietato.exe nuovo, gli altri non compaiono +.

Lord style · 12-07-2003, 11:58

amvinfe come fai partendo dai nomi degli eseguibili che si trovano nel task manager a verificare e capire che applicazioni sono?

Usi un motore di ricerca specifico?

Vorrei verificare anch'io quello che mi gira in background.
Per esempio ho un eseguibile che si chiama smss.exe che è sempre in run: probabilmente sarà qualche trojan

amvinfe · 12-07-2003, 14:01

smss.exe => session manager subsystem ed è una componente leggima. Ma esiste anche un worm (WORM_LADEX.A) che aggiunge nella chiave
HKEY_LOCAL_MACHINE>Software>Microsoft>
Windows>CurrentVersion>Run
il valore smss.exe = %System%\SMSS.exe
Devi verificare se quello che hai tu è legittimo o meno

Per quanto riguarda la mia conoscenza o meno degli eseguibili in esecuzione automatica, in parte mi aiuta la memoria, in parte perchè ho fatto un tutorial, in costante aggiornamento, che mi/ci aiuta a verificare se l'eseguibile è legittimo o meno. E poi c'è sempre Papà Google

Marco(amvinfe)
P.S.
Se t'interessa il tutorial lo trovi QUI

09-07-2003, 15:17	#1
dani&l Bannato Iscritto dal: Nov 2000 Città: mi Messaggi: 18790	Dialer e affini... come rimuoverli definitivamente ? Dunque al lavoro uno dei pc è affetto da un dialer, il quale una volta tolto, cancellato dal disco e tolto dal registro l'avvio automatico, ricompare ogni volta in internet si usi un motore di ricerca. Ho provato con Spyware & destroy, il quale mi trova alcuni coockies, ma una volta rimossi il fattaccio succede ancora. Adesso stò provando con Ad-Aware..... Nessuno ha suggerimenti ??? Ovviamente ho la versione aggiornata del Norton Antivirus Corporate ... ma non mi trova niente (molto probabilemte i dialer e simili non vengono considerati virus...)

09-07-2003, 23:08	#3
amvinfe Senior Member Iscritto dal: Aug 2002 Messaggi: 359	Dettagli sul nome dell'eseguibile trovato nei registri? Marco(amvinfe) __________________ Pensi d'avere un file infetto? Invialo a SuspectFile

10-07-2003, 13:27	#11
amvinfe Senior Member Iscritto dal: Aug 2002 Messaggi: 359	Prova a guardare anche in queste chiavi se trovi riferimenti a vietato.com HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Search Bar HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Default_Page_URL HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Default_Search_URL HKEY_USERS\Software\Microsoft\Internet Explorer\Main\Start Page HKEY_USERS\Software\Microsoft\Internet Explorer\Main\Search Bar HKEY_USERS\Software\Microsoft\Internet Explorer\Main\Default_Page_URL HKEY_USERS\Software\Microsoft\Internet Explorer\Main\Default_Search_URL HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Start Page HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Search Bar HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Search_URL Marco(amvinfe) __________________ Pensi d'avere un file infetto? Invialo a SuspectFile

10-07-2003, 13:35	#12
amvinfe Senior Member Iscritto dal: Aug 2002 Messaggi: 359	Da come si comporta ho un mezzo sospetto. Ci puoi elencare quali voci hai in HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices Marco(amvinfe) __________________ Pensi d'avere un file infetto? Invialo a SuspectFile

10-07-2003, 16:01	#15
amvinfe Senior Member Iscritto dal: Aug 2002 Messaggi: 359	regcpm32.exe anche lui è un trojan, sempre dasmin Marco(amvinfe) __________________ Pensi d'avere un file infetto? Invialo a SuspectFile

09-07-2003, 16:06	#2
dani&l Bannato Iscritto dal: Nov 2000 Città: mi Messaggi: 18790	.... Anche AD-Aware mi ha rimosso alcune cose ma il problema si è ripresentato, ho fatto una ricerca in internet, ho chiuso l'exlorer e come per magie è apparso il dialer di connessione.... Ovviamente nessuno di quell'ufficio sà come sia iniziato tutto questo

10-07-2003, 07:05	#4
dani&l Bannato Iscritto dal: Nov 2000 Città: mi Messaggi: 18790	L'eseguibile è "vietato.exe".

10-07-2003, 11:16	#9
Lebowski Member Iscritto dal: Jan 2001 Messaggi: 20	ok, a parte le considerazioni sui codici morali del padrone del pc posseduto, ho un amico che ha lo stesso problema Siete liberi o meno di crederci, ovviamente resta il fatto che non riesco in nessun modo a tirare via quel coso maledetto. Ricerca veloce su Google di vietato.exe mi ha dato un risultato sconfortante.

10-07-2003, 13:15	#10
dani&l Bannato Iscritto dal: Nov 2000 Città: mi Messaggi: 18790	Stò diventando matto. Ho scoperto che nei file temporanei di windows il file vietato.exe si trasforma in base alla ricerca che metti nel motore di ricerca. Esempio se in virgilio cerco pippo, nei temporanei mi trovo un pippo.exe con la stessa icona di vietato.exe E' una cosa frustrante, stò cercando nel registro di windows nelle conf. di explorer in quanto credo che abbia lavorato a livello di Internet Explorer.... HELP !

10-07-2003, 16:02	#16
amvinfe Senior Member Iscritto dal: Aug 2002 Messaggi: 359	WINUPD.EXE anche lui sempre dasmin Marco(amvinfe) __________________ Pensi d'avere un file infetto? Invialo a SuspectFile

10-07-2003, 16:39	#17
dani&l Bannato Iscritto dal: Nov 2000 Città: mi Messaggi: 18790	GRAZIE , provvedo e verifico!

10-07-2003, 17:01	#18
dani&l Bannato Iscritto dal: Nov 2000 Città: mi Messaggi: 18790	Purtroppo il cleaner non mi trova niente, io comunque ho eliminato le chiavi (dalla modalità provvisoria in quanto se ero in windows le rimetteva al volo), ho fatto una prova di ricerca in internet ma vietato.exe si è reinstallato di nuovo. Nel registro comunque mi sono trovato solo il vietato.exe nuovo, gli altri non compaiono +.

12-07-2003, 11:58	#19
Lord style Senior Member Iscritto dal: Sep 1999 Città: Bari Messaggi: 1719	amvinfe come fai partendo dai nomi degli eseguibili che si trovano nel task manager a verificare e capire che applicazioni sono? Usi un motore di ricerca specifico? Vorrei verificare anch'io quello che mi gira in background. Per esempio ho un eseguibile che si chiama smss.exe che è sempre in run: probabilmente sarà qualche trojan

12-07-2003, 14:01	#20
amvinfe Senior Member Iscritto dal: Aug 2002 Messaggi: 359	smss.exe => session manager subsystem ed è una componente leggima. Ma esiste anche un worm (WORM_LADEX.A) che aggiunge nella chiave HKEY_LOCAL_MACHINE>Software>Microsoft> Windows>CurrentVersion>Run il valore smss.exe = %System%\SMSS.exe Devi verificare se quello che hai tu è legittimo o meno Per quanto riguarda la mia conoscenza o meno degli eseguibili in esecuzione automatica, in parte mi aiuta la memoria, in parte perchè ho fatto un tutorial, in costante aggiornamento, che mi/ci aiuta a verificare se l'eseguibile è legittimo o meno. E poi c'è sempre Papà Google Marco(amvinfe) P.S. Se t'interessa il tutorial lo trovi QUI __________________ Pensi d'avere un file infetto? Invialo a SuspectFile

Strumenti
Mostra una versione stampabile Invia questa pagina per email