HiJackThis - Analisi Log - leggere Regole di Sezione

[Chill-Out]

Originariamente inviato da gianly80

purtroppo non si installa sp3, come faccio doppio click sull'eseguibile rimane la clessidra, è tutto lentissimo, anche se devo fare un dvd ci mette 3-4 ore. navigare riesco ma per il resto tutto lentissimo.

Dal log non emerge nulla.

[giadag]

ciao a tutti, potreste darmi una controllata a questo log? http://wikisend.com/download/960834/HiJackFree.log
grazie

[xcdegasp]

Originariamente inviato da giadag

ciao a tutti, potreste darmi una controllata a questo log? http://wikisend.com/download/960834/HiJackFree.log
grazie

pulito

[andrewz_rev]

Salve a tutti, ho bisogno di un parere di veri esperti come voi di questo forum. Da ieri, dopo aver scaricato ed eseguito un file corrotto ho un problema con l'avvio del sistema (Win Xp).

Si carica costantemente una finestra di esecuzione automatica di winlogon.exe, che immagino non sia lo stesso proprietario microsoft...le icone non appaiono sullo schermo e devo disconnettermi e effettuare nuovamente il logon per farlo ripartire regolarmente. Passo dopo passo la situazione é leggermente migliorata, associato c'era un file, cosiddetto "Svchost.exe", altro spyware che sono riuscito ad eliminare con spybot s&d in modalità provvisoria e ora sembrerebbe aprirsi solo una finestra in cui avverte che il programma winlogon.exe sta tentando di accedere a dati protetti, accesso negato sempre da spybot.
La conferma che il file é sospetto l'ho avuta dall'analizzatore di HijackThis, il file é comunque in esecuzione e non riesco a debellarlo...
Qualcuno sà darmi una mano?

Grazie


P.S. Vi allego il log di HijackThis

[xcdegasp]

Originariamente inviato da andrewz_rev

Salve a tutti, ho bisogno di un parere di veri esperti come voi di questo forum. Da ieri, dopo aver scaricato ed eseguito un file corrotto ho un problema con l'avvio del sistema (Win Xp).

Si carica costantemente una finestra di esecuzione automatica di winlogon.exe, che immagino non sia lo stesso proprietario microsoft...le icone non appaiono sullo schermo e devo disconnettermi e effettuare nuovamente il logon per farlo ripartire regolarmente. Passo dopo passo la situazione é leggermente migliorata, associato c'era un file, cosiddetto "Svchost.exe", altro spyware che sono riuscito ad eliminare con spybot s&d in modalità provvisoria e ora sembrerebbe aprirsi solo una finestra in cui avverte che il programma winlogon.exe sta tentando di accedere a dati protetti, accesso negato sempre da spybot.
La conferma che il file é sospetto l'ho avuta dall'analizzatore di HijackThis, il file é comunque in esecuzione e non riesco a debellarlo...
Qualcuno sà darmi una mano?

Grazie


P.S. Vi allego il log di HijackThis

fixa:

O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programmi\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Programmi\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [CTCheck] C:\Programmi\Creative\Creative ZEN\ZEN Media Explorer\CTCheck.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programmi\Acronis\TrueImageHome\TrueImageMonitor.exe
O4 - HKLM\..\Run: [Servizio Acronis Scheduler2] "C:\Programmi\File comuni\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [DivXUpdate] "C:\Programmi\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\Bin\REGIST~1.EXE
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O16 tutte le voci che trovi
O20 - Winlogon Notify: ocmanage32 - ocmanage32.dll (file missing)
O23 - Service: ArcGIS License Manager - Unknown owner - C:\PROGRA~1\ESRI\License\arcgis9x\lmgrd.exe (file missing)

la voce O20 si riferiva a "Adware.Vundo/Variant-MSFake" (http://www.superantispyware.com/malw...AGE32.DLL.html) che è stato rimosso da NOD32.


questa voce a cosa si riferisce?:

O23 - Service: McAfee Security Scan Component Host Service (McComponentHostService) - McAfee, Inc. - C:\Programmi\McAfee Security Scan\2.0.181\McCHSvc.exe

io per stare tranquillo ti direi di seguire la guida specifica di Vundo:
http://www.hwupgrade.it/forum/showthread.php?t=1933875
giusto per non avere il pensiero che siano rimasti residui dell'infezione, quindi pubblica lì i vari log/report richiesti

[andrewz_rev]

Ciao xcdegasp, ho instalato Malwarebytes e sono riuscito a scovare ben 39 file infetti e soprattutto a rimuovere quel maledetto "winlogon"...a parte un problema del monitor al riavvio (ha impostato autonomamente schermi multipli...)riportato a norma, ora sembrerebbe andare per il meglio!
Thanks!!!
Mo credo di installare pure Super Anti-spyware, e abbandonare spybot...

Originariamente inviato da xcdegasp

questa voce a cosa si riferisce?:

O23 - Service: McAfee Security Scan Component Host Service (McComponentHostService) - McAfee, Inc. - C:\Programmi\McAfee Security Scan\2.0.181\McCHSvc.exe

E' un componente host di McAfee, versione gratuita di scan online.

Ti posto pure i log:

Malwarebytes Anti-Malware log
HijackThis log

Alla prox

[xcdegasp]

segui per intero quella guida e pubblicali qui sei OT!
dovrai pure disinstallare l'antivirus perchè è stato compromesso se non ha indivuato il resto ed evntualmente reinstallarlo o sostituirlo (questo lo deciderai te).

[andrewz_rev]

Fatto...

[LionelHutz]

ciao, mi potresti dare un'occhiata gentilmente? ho appena finito analisi e pulizia di un presunto mbr
HiJackFree.log
ti ringrazio anticipatamente

[xcdegasp]

Originariamente inviato da LionelHutz

ciao, mi potresti dare un'occhiata gentilmente? ho appena finito analisi e pulizia di un presunto mbr
HiJackFree.log
ti ringrazio anticipatamente

il log hijackthis non mostra una fotografia completa del tuo pc bensi solo una parte di esso quindi se vuoi attuare una disinfezione hijackthis deve essere uno degli attori in gioco e non l'unico, oltre a questo aggiungo che hijackthis va bene per un ritocco finale dopo aver "sgrassato".

il log sembra pulito però se vuoi essere sicuro sarebbe bene seguire la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti
ovviamente pubblicali in un nuovo thread

[LionelHutz]

Originariamente inviato da xcdegasp

il log hijackthis non mostra una fotografia completa del tuo pc bensi solo una parte di esso quindi se vuoi attuare una disinfezione hijackthis deve essere uno degli attori in gioco e non l'unico, oltre a questo aggiungo che hijackthis va bene per un ritocco finale dopo aver "sgrassato".

il log sembra pulito però se vuoi essere sicuro sarebbe bene seguire la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti
ovviamente pubblicali in un nuovo thread

ti ringrazio per la risposta, cmq li avevo già pubblicati nella sezione dedicata, ovvero quella dell'mbr rootkit

http://www.hwupgrade.it/forum/showpo...postcount=3052
http://www.hwupgrade.it/forum/showpo...postcount=3053

[_MegadetH]

Ciao! Potreste darmi un'occhiata a questo log?

hijackthis.txt.log

Grazie!

[Chill-Out]

Originariamente inviato da _MegadetH

Ciao! Potreste darmi un'occhiata a questo log?

hijackthis.txt.log

Grazie!

Pulito

[coolintel]

Ecco il mio log....

http://wikisend.com/download/449172/hijackthis.log

Grazie in anticipo!!!!

[Chill-Out]

Originariamente inviato da coolintel

Ecco il mio log....

http://wikisend.com/download/449172/hijackthis.log

Grazie in anticipo!!!!

Log pulito, comunque anche per Gmer esiste un 3d dedicato http://www.hwupgrade.it/forum/showthread.php?t=1372589

[TeoFirefox]

Partendo dal fatto che ci capisco poco niente
Vi posto un log di HJT, poi fate voi se volete

Logfile of Trend Micro HijackThis v2.0.3 (BETA)
Scan saved at 0.04.48, on 23/08/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\Lingoes\Lingoes.exe
C:\Programmi\PrintScreen\PrintScreen.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\DAEMON Tools Net\DTAgent.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\Programmi\DAEMON Tools Net\DTNetSrv.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programmi\Telecom Italia\WanMiniport1st\srvany.exe
C:\Programmi\Telecom Italia\WanMiniport1st\WanMiniport1st_srv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programmi\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\Winamp\winamp.exe
C:\Programmi\HijackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://it.netlog.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.winzozz.net/search/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = http://it.netlog.com/ie8services/view=welcomePage
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer fornito da Netlog
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O1 - Hosts: 74.208.105.171 gs.apple.com
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min /ns
O4 - HKLM\..\Run: [StartCCC] "C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKCU\..\Run: [Lingoes] C:\Programmi\Lingoes\Lingoes.exe -minimize
O4 - HKCU\..\Run: [Gadwin PrintScreen] C:\Programmi\PrintScreen\PrintScreen.exe /nosplash
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAEMON Tools Net Agent] "C:\Programmi\DAEMON Tools Net\DTAgent.exe" -autorun
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: TransBar.lnk = C:\Programmi\Vista Inspirat 2\TransBar\TransBar.exe
O4 - Startup: Winamp.lnk = C:\Programmi\Winamp\winamp.exe
O8 - Extra context menu item: Google Sidewiki... - res://C:\Programmi\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6FF0C6D236BF8.dll/cmsidewiki.html
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service:  Servizio Bonjour (Bonjour Service) - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: DTNetService - DT Soft Ltd - C:\Programmi\DAEMON Tools Net\DTNetSrv.exe
O23 - Service: Servizio di Google Update (gupdate) (gupdate) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Network WanMiniport First Position - Unknown owner - C:\Programmi\Telecom Italia\WanMiniport1st\srvany.exe
O23 - Service: ServiceLayer - Nokia - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 6968 bytes

[xcdegasp]

la prossima volta lleggi le regole dis ezione perchè non saremo indulgenti

log pulito ma hijackthis è obsoleto, poi vedi te

[TeoFirefox]

Si lo so
Scusate e grazie comunque

[Alek O.]

Da giorni che sto provando a pulire il mio computer che è diventato di colpo lentissimo. In allegato il log che ottenuto da HijackThis. Sapresti dirmi quali righe devo "fixed checked".
Pensavo a queste tre:

R3 - URLSearchHook: ToolbarURLSearchHook Class - {CA3EB689-8F09-4026-AA10-B9534C691CE0} - C:\Programmi\Search Toolbar\tbhelper.dll (file missing)

O2 - BHO: TBSB05974 - {FCBCCB87-9224-4B8D-B117-F56D924BEB18} - C:\Programmi\Search Toolbar\tbcore3.dll (file missing)

O3 - Toolbar: Search Toolbar - {0C8413C1-FAD1-446C-8584-BE50576F863E} - C:\Programmi\Search Toolbar\tbcore3.dll (file missing)

Grazie mille per l'aiuto.

[Chill-Out]

Originariamente inviato da Alek O.

Da giorni che sto provando a pulire il mio computer che è diventato di colpo lentissimo. In allegato il log che ottenuto da HijackThis. Sapresti dirmi quali righe devo "fixed checked".
Pensavo a queste tre:

R3 - URLSearchHook: ToolbarURLSearchHook Class - {CA3EB689-8F09-4026-AA10-B9534C691CE0} - C:\Programmi\Search Toolbar\tbhelper.dll (file missing)

O2 - BHO: TBSB05974 - {FCBCCB87-9224-4B8D-B117-F56D924BEB18} - C:\Programmi\Search Toolbar\tbcore3.dll (file missing)

O3 - Toolbar: Search Toolbar - {0C8413C1-FAD1-446C-8584-BE50576F863E} - C:\Programmi\Search Toolbar\tbcore3.dll (file missing)

Grazie mille per l'aiuto.

Le puoi fixare tranquillamente

Devi aggiornare il SO al SP3, il SP2 non è più supportato, inoltre devi aggiornare IE alla versione 8 anche se usi FF.