HiJackThis - Analisi Log - leggere Regole di Sezione

[Costanzo-show]

Raga io mi sono messo a leggere un po di questo post ma 47 pagine è possibile che mi sia scappato qualcosa..
allora io sono incasinato con questo dialer trovato tengo a precisare in un video di moto quindi nn ho scaricato nessun eseguidile.
avg e ad aware nn trovano niente mentre spy bot trova nella cartella di windows sistem32 il vcodec che all'inizio nn lo fa togliere poi al riavvio invece ci riesce soltanto che dopo un po mi ricompare inoltre crea un altra connessione a nome accesso (fortuna che ho l'adsl..).
nn so + cosa inventare x toglierlo potete aiutarmi?
Grazie mille

[andorra24]

Originariamente inviato da Costanzo-show

Raga io mi sono messo a leggere un po di questo post ma 47 pagine è possibile che mi sia scappato qualcosa..
allora io sono incasinato con questo dialer trovato tengo a precisare in un video di moto quindi nn ho scaricato nessun eseguidile.
avg e ad aware nn trovano niente mentre spy bot trova nella cartella di windows sistem32 il vcodec che all'inizio nn lo fa togliere poi al riavvio invece ci riesce soltanto che dopo un po mi ricompare inoltre crea un altra connessione a nome accesso (fortuna che ho l'adsl..).
nn so + cosa inventare x toglierlo potete aiutarmi?
Grazie mille

Se non posti il log diventa difficile scovare il tuo dialer.

[Costanzo-show]

ok adesso l'ho tolto appena acceso il pc, ma come faccio a postare il log se nn erro erano i processi da task manager, ma nn ricordo come fare a copiarli x postare

[andorra24]

Originariamente inviato da Costanzo-show

ok adesso l'ho tolto appena acceso il pc, ma come faccio a postare il log se nn erro erano i processi da task manager, ma nn ricordo come fare a copiarli x postare

Apri hijackthis, chiudi tutte le finestre di applicazioni aperte tra cui il browser, premi ''do a system scan and save a logfile''. Dopo devi soltanto fare un semplice copia/incolla del log cosi' gli si da' un'occhiata.

[Costanzo-show]

nn so se ho fatto bene cmq adesso come dicevo ho cancellato l'accesso anche se il file vcodec nn l'ho eliminato questo dovrebbe essere il log:

Logfile of HijackThis v1.99.1
Scan saved at 23.18.35, on 11/01/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\Kerio\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\RoamMgr.exe
C:\Programmi\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Programmi\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\System32\1XConfig.exe
C:\WINDOWS\system32\mssearchnet.exe
C:\WINDOWS\ATK0100\HControl.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Progra~1\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\IPM\Adsl\DataWay\dslstat.exe
C:\WINDOWS\system32\dslagent.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmi\Java\jre1.5.0_01\bin\jusched.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Asus\Asus ChkMail\ChkMail.exe
C:\Programmi\Nikon\NkView6\NkvMon.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Programmi\WIDCOMM\Software Bluetooth\BTTray.exe
C:\PROGRA~1\WIDCOMM\SOFTWA~1\BTSTAC~1.EXE
C:\Programmi\Internet Explorer\iexplore.exe
C:\DOCUME~1\CHRIST~1\IMPOST~1\Temp\Rar$EX00.395\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.asus.com.tw
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Progra~1\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\HControl.exe
O4 - HKLM\..\Run: [Power_Gear] C:\Progra~1\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Progra~1\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] c:\Programmi\Intel\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [MSN Update] dllcon.exe
O4 - HKLM\..\Run: [regsrv] scvhost.exe
O4 - HKLM\..\Run: [Microsoft Service Host] svchost2.exe
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Programmi\IPM\Adsl\DataWay\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKLM\..\Run: [ASUS Probe] C:\Programmi\ASUS\ASUS Probe\AsusProb.exe
O4 - HKLM\..\Run: [ASUS Live Update] C:\Programmi\ASUS\ASUS Live Update\ALU.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programmi\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\RunServices: [MSN Update] dllcon.exe
O4 - HKLM\..\RunServices: [regsrv] scvhost.exe
O4 - HKLM\..\RunServices: [Microsoft Service Host] svchost2.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSN Update] dllcon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Microsoft Service Host] svchost2.exe
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Yahoo! Pager] C:\Programmi\Yahoo!\Messenger\ypager.exe -quiet
O4 - Startup: PowerReg Scheduler.exe
O4 - Global Startup: ASUS ChkMail.lnk = C:\Programmi\Asus\Asus ChkMail\ChkMail.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: NkvMon.exe.lnk = C:\Programmi\Nikon\NkView6\NkvMon.exe
O4 - Global Startup: NEOTION Video Link.lnk = ?
O4 - Global Startup: Ricezione Infocast.lnk = ?
O4 - Global Startup: Omega Research Task Scheduler.lnk = C:\Programmi\Omega Research\Program\orschd.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: Invia a &Bluetooth - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie.htm
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\YAHOO!\MESSEN~1\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\YAHOO!\MESSEN~1\YPAGER.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com.tw
O16 - DPF: {00000000-0000-0000-0000-000020000000} - http://www.accessoveloce.com/nd/nd01525.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O17 - HKLM\System\CCS\Services\Tcpip\..\{B4F280BC-B228-4A69-9F73-07F1D8912CC9}: NameServer = 85.37.17.5 151.99.125.1
O20 - Winlogon Notify: Sebring - c:\WINDOWS\System32\LgNotify.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Programmi\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: Windows Update Service (muamgrd) - Unknown owner - C:\WINDOWS\System32\muamgrd.exe (file missing)
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - c:\Programmi\Intel\NCS\Sync\NetSvc.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: RoamMgr - Intel Corporation - C:\WINDOWS\System32\RoamMgr.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: windows system source (windowsvc) - Unknown owner - C:\WINDOWS\System32\windowssvc.exe (file missing)

[juninho85]

Originariamente inviato da Costanzo-show

C:\WINDOWS\system32\mssearchnet.exe
O4 - HKLM\..\Run: [regsrv] scvhost.exe
O4 - HKLM\..\Run: [Microsoft Service Host] svchost2.exe
O4 - HKLM\..\RunServices: [regsrv] scvhost.exe
O4 - HKLM\..\RunServices: [Microsoft Service Host] svchost2.exe
O4 - HKCU\..\Run: [Microsoft Service Host] svchost2.exe
O16 - DPF: {00000000-0000-0000-0000-000020000000} - http://www.accessoveloce.com/nd/nd01525.exe
O23 - Service: Windows Update Service (muamgrd) - Unknown owner - C:\WINDOWS\System32\muamgrd.exe (file missing)
O23 - Service: windows system source (windowsvc) - Unknown owner - C:\WINDOWS\System32\windowssvc.exe (file missing)

elimina pure

[Costanzo-show]

grazie mille adesso devo andare e nn vorrei eliminare qualcosa di sbagliato x la fretta ma domani lo farò sicuramente, ma come fate a conoscere bene e interpretare così il log?????
cmq grazie ancora

[juninho85]

Originariamente inviato da Costanzo-show

grazie mille adesso devo andare e nn vorrei eliminare qualcosa di sbagliato x la fretta ma domani lo farò sicuramente, ma come fate a conoscere bene e interpretare così il log?????
cmq grazie ancora

1)quelli con "file missing" vanno eliminati tranquillamente
2)mssearchnet ha fregato già un el pò di utenti,sarà la ventesima volta che lo leggo
3)file tipo scvhost,svchost 2...sono chiaramente fake,basta leggere attentamente il nome del file

[andorra24]

X Costanzo-show:

oltre alle voci indicate da juninho devi fixare anche queste:

O4 - HKLM\..\Run: [MSN Update] dllcon.exe
O4 - HKLM\..\RunServices: [MSN Update] dllcon.exe
O4 - HKCU\..\Run: [MSN Update] dllcon.exe
O4 - Global Startup: NEOTION Video Link.lnk = ? (se non la conosci fixala)
O4 - Global Startup: Ricezione Infocast.lnk = ? (se non la conosci fixala)

Aggiorna java e metti l'ultima versione 06.

[Stev-O]

neotion non è un decoder satellitare?

[andorra24]

Originariamente inviato da Stev-O

neotion non è un decoder satellitare?

Si, ho appena controllato e ho visto che e' una marca di decoder sat e altri prodotti connessi.

[juninho85]

per me si possono anche eliminare,quello startup non dovrebbe avviare nessun file al boot

[Stev-O]

sì cmq danni non ne fa a togliere i link: al massimo li rimette se gli servono proprio

[Costanzo-show]

Salve a tutti allora prima di tutto vi ringrazio xkè nn sempre la gente perde tempo ad aiutarti a volte manco io.. da oggi mi sa che se posso fare qualcosa la faccio
ho fixato tramite il programma hijackthis basta quello oppure devo fare altre cose x eliminare i file?
poi neotin si è un decoder e anche gli altri sono programmi x grafici quindi so cosa sono.

[andorra24]

Originariamente inviato da Costanzo-show

Salve a tutti allora prima di tutto vi ringrazio xkè nn sempre la gente perde tempo ad aiutarti a volte manco io.. da oggi mi sa che se posso fare qualcosa la faccio
ho fixato tramite il programma hijackthis basta quello oppure devo fare altre cose x eliminare i file?
poi neotin si è un decoder e anche gli altri sono programmi x grafici quindi so cosa sono.

Se il fix con hijackthis e' riuscito correttamente direi che adesso sei pulito.

[Chicco#32]

ciao andorra, ecco qui, spero di averlo usato bene:

Logfile of HijackThis v1.99.0
Scan saved at 14.59.42, on 12/01/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Sygate\SPF\Smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\Programmi\Eset\nod32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Plextor\PlexTool.exe
C:\Programmi\SpeedFan\speedfan.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
F:\Software\Manutenzione\Hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = EGhost_Reg_Fail
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: SpeedFan.lnk = C:\Programmi\SpeedFan\speedfan.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: PlexTools Professional.lnk = C:\Programmi\Plextor\PlexTool.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsof...?1136905495203
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsof...?1136905478562
O17 - HKLM\System\CCS\Services\Tcpip\..\{A208A4F2-7E40-4DD9-92B9-51CA9DC0D317}: NameServer = 213.234.128.211 213.234.132.130
O23 - Service: NOD32 Kernel Service - Unknown - C:\Programmi\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall Pro - Sygate Technologies, Inc. - C:\Programmi\Sygate\SPF\Smc.exe

[Chicco#32]

ho trovato questa pagina per l'analisi:

http://hijackthis.de/index.php?langselect=italian

dice di eliminare il valore 017:

O17 - HKLM\System\CCS\Services\Tcpip\..\{A208A4F2-7E40-4DD9-92B9-51CA9DC0D317}: NameServer = 213.234.128.211 213.234.132.130

Se il Dominio non appartiene al vostro provider Internet od alla vostra rete aziendale, questi elementi dovrebbero essere eliminati. Anche gli elementi 'SearchList' dovrebbero essere cancellati (Fix).

che significa che vanno cancellati anche gli elementi 'SearchList'?



ed aggiunge:

Conoscete l'indirizzo IP o il Dominio '213.234.128.211 213.234.132.130'? Se no, eliminate questo oggetto.

[andorra24]

Fixa:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = EGhost_Reg_Fail

tutto il resto e' pulito.

[Chicco#32]

Originariamente inviato da andorra24

Fixa:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = EGhost_Reg_Fail

tutto il resto e' pulito.

per fixarlo metto il fleg accanto alla voce relativa e clicco su Fix Checked?

grazie di tutto...

[andorra24]

Originariamente inviato da Chicco#32

per fixarlo metto il fleg accanto alla voce relativa e clicco su Fix Checked?

Esatto. Prima di premere fix checked chiudi il browser e ogni altra finestra di applicazioni aperte.