HiJackThis - Analisi Log - leggere Regole di Sezione

[wjmat]

Originariamente inviato da roblucci

Grazie dell'aiuto ho risolto con scan ad square e cancellando dai registri
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Config\csrss.exe
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Common Files\BOONTY Shared\Service\Boonty.exe

posta un nuovo log per sicurezza

[Swi]

Notate qualcosa di strano?

http://wikisend.com/download/587202/swi.log

[Mazda RX8]

Originariamente inviato da Swi

Notate qualcosa di strano?

http://wikisend.com/download/587202/swi.log

fixa soltanto: O20 - AppInit_DLLs:

[Swi]

Originariamente inviato da Mazda RX8

fixa soltanto: O20 - AppInit_DLLs:

come si fa?

[wjmat]

Lancia HiJackThis ► clicca Do a scan only ► metti la spunta a fianco della riga che ti ha segnalato ► clicca su Fix Checked ► Riavvia e nuovo log

cosa hai installato della Logitech che ti ha creato 50.000 protocolli?

Guarda qui al punto 3, java non è aggiornato

[Mazda RX8]

Originariamente inviato da Swi

come si fa?

clicchi sulla casellina e fai fix checked

[Swi]

Originariamente inviato da wjmat

Lancia HiJackThis ► clicca Do a scan only ► metti la spunta a fianco della riga che ti ha segnalato ► clicca su Fix Checked ► Riavvia e nuovo log

cosa hai installato della Logitech che ti ha creato 50.000 protocolli?

Guarda qui al punto 3, java non è aggiornato

fatto ecco il log nuovo

il java lo sto aggiornando e della logitech ho installato la Webcam

[xcdegasp]

Originariamente inviato da Swi

fatto ecco il log nuovo

il java lo sto aggiornando e della logitech ho installato la Webcam

le O18 sono troppe, selezionale tutte e fixale
per la Java ricordati dopo l'aggiornamento di disinstallare da "pannello di controllo -> installa applicazioni" la versione precedente

[Swi]

Originariamente inviato da xcdegasp

le O18 sono troppe, selezionale tutte e fixale
per la Java ricordati dopo l'aggiornamento di disinstallare da "pannello di controllo -> installa applicazioni" la versione precedente

fatto

[Alexvtec]

Salve a tutti,
ho un problemino all'avvio di Windows XP, mi appare una finestrella cmd.exe con la scritta Impossibile trovare il disco nel'unità. Inserire il disco nell'unità A:
Annulla Riprova Continua
Qualsiasi sia la scelta la finestra non ne vuole sapere di andarsene, inoltre è molto lento, secondo me potrebbe essere qualche virus fetente, vi allego il log di Hijack se riuscite a darmi una mano, grazie.

P.s. il file bonjour ho provato a fixarlo ma non me lo fa fixare anche in modalità provvisoria :o(

Logfile of HijackThis v1.99.1
Scan saved at 14.23.53, on 26/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)

Running processes:
leggere le Regole di Sezione

[wjmat]

La tua versione di Hijackthis non è aggiornata....scarica da qui l'ultima versione di Hijackthis e mettila in una sua cartella dedicata, rifai la scansione e carica il nuovo log con la funzione gestisci allegati, e riedita cortesemente il log precendente.
Ciao

[xcdegasp]

@ Alexvtec:
leggere le Regole di Sezione per sapere quali siano i metodi consentiti per la pubblicazione dei log

[Nikybz]

Un saluto a tutti,
Vi posto un mio log di hijackthis che ho fatto 3 giorni fà, perché nel mio pc ho la CPU con dei valori alti e ho secondo me dei processi che nn servono o che nn sono sicuri. Inoltre o le immagini sul video che si bloccano spesso, ma nn é un problema di scheda video.

Cmq vi posto il log.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18.42.55, on 23/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal
Running processes:
leggere le Regole di Sezione
--
End of file - 10374 bytes

Secondo me dall'analisi che ho fatto online sul sito ufficiale di hijackthis
queste voci sono sospette, ma da dove cancello queste chiavi??

Voto dei visitatori Analyzerdetails
O4 - HKCU\..\Run: [lrpvub] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\lrpvub.exe lrpvub
Diagnosi
Forse sospetto (2.58 / 5.00)
Voto dei visitatori Analyzerdetails
O4 - HKCU\..\Run: [wbapbgtqn] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\wbapbgtqn.exe wbapbgtqn
Diagnosi
Forse sospetto (2.58 / 5.00)
Voto dei visitatori Analyzerdetails
O4 - HKCU\..\Run: [qoaldem] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\qoaldem.exe qoaldem
Diagnosi
Forse sospetto (2.58 / 5.00)
Voto dei visitatori Analyzerdetails
O4 - HKCU\..\Run: [rdbghlrnu] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\rdbghlrnu.exe rdbghlrnu
Diagnosi
Forse sospetto (2.58 / 5.00)
Voto dei visitatori Analyzerdetails
O4 - HKCU\..\Run: [sbqbzql] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\sbqbzql.exe sbqbzql

C'è solo un problema che queste voci nella cartella dove vengono indicate nn le trovo, ma trovo solo questi 3 file:
DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF .ini
GDIPFONTCACHEV1 .dat
Iconchace file del database

Attendo vostri lumi....

[wjmat]

ciao, riedita per piacere il tuo post caricando il log con la funzione gestisci allegati

Poi Lancia HiJackThis ► clicca Do a scan only ► metti la spunta a fianco delle righe che ti segnalo qui sotto ► clicca su Fix Checked ► Riavvia e nuovo log

R3 - URLSearchHook: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: Yahoo! ¤u¨ã¦C - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [lrpvub] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\lrpvub.exe lrpvub
O4 - HKCU\..\Run: [wbapbgtqn] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\wbapbgtqn.exe wbapbgtqn
O4 - HKCU\..\Run: [qoaldem] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\qoaldem.exe qoaldem
O4 - HKCU\..\Run: [rdbghlrnu] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\rdbghlrnu.exe rdbghlrnu
O4 - HKCU\..\Run: [sbqbzql] c:\documents and settings\nico1\impostazioni locali\dati applicazioni\sbqbzql.exe sbqbzql
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/par...an_unicode.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/reso...an8/oscan8.cab

questo l'hai aggiunto tu? l'hai scaricato da un sito affidabile o dobbiamo verificarlo?

O4 - Global Startup: Collegamento a ViOrbv2.lnk = K:\PROGRAMMI AGGIORNATI\Personaliz_PC---[UPGRADE]\Progammi per vistamizer\Tasto start\ViOrb\ViOrbv2.exe
O4 - Global Startup: Collegamento a ViStart.lnk = K:\PROGRAMMI AGGIORNATI\Personaliz_PC---[UPGRADE]\Progammi per vistamizer\vistart_2661_italian_skin_default\ViStart.exe

[xcdegasp]

leggere le Regole di Sezione

[Alexvtec]

Originariamente inviato da wjmat

La tua versione di Hijackthis non è aggiornata....scarica da qui l'ultima versione di Hijackthis e mettila in una sua cartella dedicata, rifai la scansione e carica il nuovo log con la funzione gestisci allegati, e riedita cortesemente il log precendente.
Ciao

Grazie,
scusate, ho letto le regole della sezione, ho cercato e trovato altri casi di cmd.exe, ma non ho capito quale processo sia implicato.
posso postare il log nuovo? però non vedo dove si scarichi l'Hijack aggiornato..
rigrazie

[Alexvtec]

Come non detto ho trovato il download!

Ecco il log aggiornato:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18.31.20, on 26/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\ScanSoft\PaperPort\pptd40nt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\3COM Technology Corporation\3COM Wireless USB Utility\Wlan.exe
C:\WINDOWS\Installer\24ha12\cmp\insDr.exe
C:\WINDOWS\Installer\24ha12\inet\int2com.exe
C:\WINDOWS\system32\cmd.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\cmd.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\zstatus.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\Installer\24ha12\inet\slp2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\ieso0.dll
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programmi\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programmi\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [3COM] C:\Programmi\3COM Technology Corporation\3COM Wireless USB Utility\Wlan.exe
O4 - HKCU\..\Run: [kxva] C:\WINDOWS\system32\kxvo.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/par...an_unicode.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/wind...?1193147477584
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6BF76AD5-C109-40C2-90A3-059DFE45CCB8}: NameServer = 85.37.17.4 85.38.28.70
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: MicrosoftHelp - Unknown owner - C:\WINDOWS\system32\SVCH0ST.EXE (file missing)
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe

--
End of file - 5454 bytes

[xcdegasp]

Originariamente inviato da Alexvtec

Grazie,
scusate, ho letto le regole della sezione, ho cercato e trovato altri casi di cmd.exe, ma non ho capito quale processo sia implicato.
posso postare il log nuovo? però non vedo dove si scarichi l'Hijack aggiornato..
rigrazie

certo che puoi, a inizio thread c'è il link corretto

[L' indifferente]

mi dite come sono messo?

[xcdegasp]

Originariamente inviato da L' indifferente

mi dite come sono messo?

mi spiace ma hai usato una versione vecchia di HiJackThis, a inizio di questo thread c'è il link per prelevare la versione aggiornata
cmq hai il pc che non è messo bene, le voci più salienti del log mostrano:

O2 - BHO: {994d5272-f5dc-fa2a-3624-2a1c60931bf6} - {6fb13906-c1a2-4263-a2af-cd5f2725d499} - C:\WINDOWS\system32\ymavxart.dll
O2 - BHO: (no name) - {B3740027-0036-49BF-98E7-04F4F903D67B} - (no file)
O2 - BHO: (no name) - {F8F674A7-F11C-4766-8EC1-71B54F4869B3} - C:\WINDOWS\system32\sstts.dll
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programmi\File comuni\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programmi\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programmi\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Nelli\Impostazioni locali\Dati applicazioni\Google\Update\1.1.25.0\GoogleUpdate.exe" /lang en
O4 - HKCU\..\Run: [PC Suite Tray] "F:\programmi\Pc suite NOKIA\Nokia PC Suite 6\PCSuite.exe" -onlytray
O4 - HKLM\..\Policies\Explorer\Run: [7F45W5T68K] C:\WINDOWS\wsysst32.exe
O4 - HKLM\..\Policies\Explorer\Run: [update32] C:\WINDOWS\lwsys32.exe
O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Programmi\PokerStars.NET\PokerStarsUpdate.exe
O20 - Winlogon Notify: xxyxvwx - xxyxvwx.dll (file missing)

dopo aver fatto tutto vai al link http://secunia.com/software_inspector/ e scansiona online ilt uo pc, ti segnalerà tutto il software da aggiornare tra cui la Java, ricordati poi di dinstallare la java attuale a fine aggiornamento