[risolto][win XP] exgmrgml.exe

[xcdegasp]

Originariamente inviato da camus11

OK no problem figurati

Grazie a tutti, il pc ora è disinfettato x bene

puoi fare un piccolo riassunto con sintomi, analisi problema e soluzione?



@ GOLDRAKES:
mi spieghi il senso del tuo intervento? (tradotto: esistono i pvt se vuoi fare una domanda ad un utente o i thread ufficiali se cerchi info)

[camus11]

Originariamente inviato da lancetta

nuova passata con ccleaner e imposta lo svuotamento della cache del browser di firefox...cancella tutte le cartelle di backup dei vari tool (vundofix,combo e ho visto anche elistart o sbaglio?

i cpf socio sono di comodo

Nuova passata con CCleaner, scansione completa con Nod32, SuperAntiSpyware e BitDefender.
Solo BitDefender ha trovato qualcosa,ma sono 4 file della cartella temp di cpf; tutto il resto non ha trovato nulla.

Allego log di HiJackThis

[camus11]

Originariamente inviato da xcdegasp

puoi fare un piccolo riassunto con sintomi, analisi problema e soluzione?

I sintomi del problema sono stati gli avvisi del mio firewall di file ke tentavano di accedere alla rete dal mio pc,provenienti dalla directory C:/documents&settings/"user"/impostazioni locali/temp con nome exgmrgml.exe e exhmrgas2.exe preceduti da alcuni numeri.
Il problema era il trojan todo.
Di seguito i passi seguiti per la risoluzione del problema:

-CCleaner in mod.provvisoria disattivando dalle opzioni avanzate "cancella solo file più vecchi di 48 ore"
-Hijackthis con fix in particolare della voce

O4 - HKLM\..\Run: [devenv] C:\WINDOWS\system\smvss.exe /w

e scansione con AVENGER con script inserito manualmente qui

A questo punto il firewall non dava più gli avvisi descritti prima.
Continuo con procedure di disinfezione suggeritemi:

-scansioni con SuperAntiSpyware e Karspersky come indicato qui dopo aver disattivato il ripristino config di sistema;
-scansioni con TRENDMICRO ROOTKIT BOOSTER e DUSTBUSTER

Karspersky ha individuato tracce di Vundo,quindi passo all'utilizzo di Combofix e VundoFix.

-scansione con BITDEFENDER ONLINE SCANNER.

Da notare che all'incirca tutte le scansioni fatte con i vari programmi hanno evidenziato la presenza di file infetti e che al termine di tutte le scansioni ho effettuato una verifica con tutti i programmi che mi sono stati suggeriti senza trovare più alcun file infetto.


Aiuto spero ke come riassunto vada bene

[murack83pa]

ottimo riassunto

fixa solo queste voci in hijackthis:

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Startup: Adobe Gamma.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Google Updater.lnk = C:\Programmi\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

scaricati l'ultima versione di hijackthis:
scaricalo da qui

[camus11]

Originariamente inviato da murack83pa

ottimo riassunto

fixa solo queste voci in hijackthis:



scaricati l'ultima versione di hijackthis:
scaricalo da qui

Ok
Solo una cosa, ho fixato le voci ke mi hai detto tranne
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background

cos'è?

[murack83pa]

Originariamente inviato da camus11

Ok
Solo una cosa, ho fixato le voci ke mi hai detto tranne
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background

cos'è?

ti piace messenger che parte in avvio di windows?

se si, nn fixare quella voce, altrmenti la puoi fixare tranquillamente

x la cronoca: quelle voci nn sono indice di infezione, ma sono indicate solo x ottimizzare il sistema....solo quello

[camus11]

Originariamente inviato da murack83pa

ti piace messenger che parte in avvio di windows?

se si, nn fixare quella voce, altrmenti la puoi fixare tranquillamente

x la cronoca: quelle voci nn sono indice di infezione, ma sono indicate solo x ottimizzare il sistema....solo quello

il mio msn non è impostato per partire all'avvio

[murack83pa]

Originariamente inviato da camus11

il mio msn non è impostato per partire all'avvio

detto piu tecnicamente: cosi come è impostato, msn viene caricato all'avvio di windows, e lo noti guardando nella systemtray.....in basso a destra

quindi nn significa che si connette automaticamente all'avvio di windows, viene solo caricato in automatico in background

fixando quella voce, rendi l'avvio di win un po piu veloce.....

[camus11]

Originariamente inviato da murack83pa

detto piu tecnicamente: cosi come è impostato, msn viene caricato all'avvio di windows, e lo noti guardando nella systemtray.....in basso a destra

quindi nn significa che si connette automaticamente all'avvio di windows, viene solo caricato in automatico in background

fixando quella voce, rendi l'avvio di win un po piu veloce.....

sisi avevo capito, però a me msn non si apre neanke nella systemtray
cmq ora fixo quella voce così elimino il problema

[deneb87]

Originariamente inviato da murack83pa

detto piu tecnicamente: cosi come è impostato, msn viene caricato all'avvio di windows, e lo noti guardando nella systemtray.....in basso a destra

no veramente per essere precisissimi non compare nella systray, ma come processo in esecuzione in background dal Task Manager

[camus11]

Originariamente inviato da deneb87

no veramente per essere precisissimi non compare nella systray, ma come processo in esecuzione in background dal Task Manager

ah allora si,in effetti nel task manager l'avevo notato ma non sapevo come rimediare.
Grandi

[mike2587]

Ciao a tutti, anch'io sono infetto da questi file, esattamente da: exhmrgas, exgmrgml, ed exhmunml, sempre seguiti e preceduti da numeri che cambiano ogni volta. Ho letto la discussione ma non ho capito qual è la soluzione finale rapida da prendere; grazie a tutti

[murack83pa]

Originariamente inviato da deneb87

no veramente per essere precisissimi non compare nella systray, ma come processo in esecuzione in background dal Task Manager

ragione, mi ero dimenticato della dicitura background

[murack83pa]

Originariamente inviato da mike2587

Ciao a tutti, anch'io sono infetto da questi file, esattamente da: exhmrgas, exgmrgml, ed exhmunml, sempre seguiti e preceduti da numeri che cambiano ogni volta. Ho letto la discussione ma non ho capito qual è la soluzione finale rapida da prendere; grazie a tutti

potresti incominciare a postare un log di hijackthis: lo conosci?
scaricalo da qui
scompattalo in una cartella, lo apri e digli do a system scan and save a logfile, quando finisce la scansione ti apre un file notepad, salvalo in formato txt e lo alleghi


Prima fai una pulizia generale del pc con CCLEANER:
DOWNLOAD
una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate, togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le voci comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia, clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Registro, spunta tutte le voci comprese nella sezione, clicca sul tasto Trova problemi ed avvia una scansione; al termine della scansione clicca sulla voce Ripara selezionati e prosegui

[iannu]

Salve a tutti, sono incappato anch'io nel medesimo problema.... ho fatto una passata con hijackthis (che allego), l'ho fatta da modalità normale, giusto?
ora faccioa anche un pulita con ccleaner magari..
mi potete confermare le voci da fixare (per ora non ho toccato niente, aspettando i vostri commenti)

grazie!

[lancetta]

Originariamente inviato da iannu

Salve a tutti, sono incappato anch'io nel medesimo problema.... ho fatto una passata con hijackthis (che allego), l'ho fatta da modalità normale, giusto?
ora faccioa anche un pulita con ccleaner magari..
mi potete confermare le voci da fixare (per ora non ho toccato niente, aspettando i vostri commenti)

grazie!

fixa queste

O4 - HKLM\..\Run: [devenv] C:\WINDOWS\system\smvss.exe /w
O15 - ESC Trusted Zone: http://*.windowsupdate.com
O15 - ESC Trusted Zone: http://*.windowsupdate.com (HKLM)
O15 - ESC Trusted IP range: http://192.168.1.1

fai scansione in provvisoria con ccleaner
poi segui le scansioni che ha già fatto l'utente camus ed alleghi qui i log..

[iannu]

grazie lancetta, faccio subito!
volevo solo aggiungere un particolare:
il sitema è un Windows Server 2003 Enterprise, ed è presente il Kaspersky Antivirus 6.0.3.830

è possibile essersi infettati in questo modo nonostante il kaspersky?

[iannu]

Originariamente inviato da lancetta

fixa queste

fai scansione in provvisoria con ccleaner
poi segui le scansioni che ha già fatto l'utente camus ed alleghi qui i log..

per fixare con hijackthis lo devo fare in mod. provvisoria vero?

[iannu]

Originariamente inviato da lancetta

fixa queste

Fatto e allego il nuovo file di hijackthis

Originariamente inviato da lancetta

fai scansione in provvisoria con ccleaner

Fatto tutto pulito

Originariamente inviato da lancetta

poi segui le scansioni che ha già fatto l'utente camus ed alleghi qui i log..

non posso usare avenger, sono su Windows Server 2003

[lancetta]

Originariamente inviato da iannu

Fatto e allego il nuovo file di hijackthis


Fatto tutto pulito


non posso usare avenger, sono su Windows Server 2003

no ccleaner lo dovevi far girare sia in provvisoria che in normale
il log di hijackthis mi serve da normale...per avenger non ti proccupare forse non serve...poi che tu abbia il kasper (che poi è la vers 6)non vuol dire nulla il pc più sicuro al mondo è il pc....spento!
fai anche pulizia degli ads (non serve il log) da modalità normale
apri hijackthis clicca "open the misc tools section",click su "open ads spy",leva la spunta a "quick scan",click sul tasto "scan"

riscontri ancora problemi al pc?