HiJackThis - Analisi Log - leggere Regole di Sezione

[BEY0ND]

@ shoshen

alla fine hai messo avira...

@gle89

bitdefender dovrebbe essere la free edition(non real)

@ gle
ti ringrazio adesso li faccio analizzare... però comincio ad insospettirmi... sono saltati fuori questi LSP che prima non c erano:
avsda
avsda over (msafd tcpip(tcp/ip))
avsda over (msafd tcpip(udp/ip))
per quanto riguarda bit defender si tratta della versione senza real time
grazie ancora

@ beyond
alla fine ho seguito il tuo prezioso consiglio come potevo lasciarmi sfuggire l occasione?
l unica pecca è che la versione che sto provando è solo in tedesco

[Mazda RX8]

Originariamente inviato da ShoShen

@ beyond
alla fine ho seguito il tuo prezioso consiglio come potevo lasciarmi sfuggire l occasione?
l unica pecca è che la versione che sto provando è solo in tedesco

avira in tedesco??

[Gle89]

Originariamente inviato da Mazda RX8

avira in tedesco??

perchè è in tedesco???

si tratta della suite di avira in modalità prova per 90 giorni
PS ur avendo abilitato la visualizzazioni delle cartelle nascoste non trovo la voce default uninstall ...riesco a seguire solo il percorso che hai messo in neretto , è corretto?

[BEY0ND]

@ shoshen

al limite http://www.frasi.net/dizionari/tedes...ault.asp?L21=S

[Mazda RX8]

Originariamente inviato da ShoShen

si tratta della suite di avira in modalità prova per 90 giorni
PS ur avendo abilitato la visualizzazioni delle cartelle nascoste non trovo la voce default uninstall ...riesco a seguire solo il percorso che hai messo in neretto , è corretto?

ahh, ma scaricati quello free...

@ beyond
credo ci fosse tra le opzioni la versione in inglese solo che ero abbastanza di fretta...

@ gle
non riesco a trovare il percorso C:\Windows\inf\GETPLUSo.INF, DefaultUninstall
mi fermo a C:\Windows\inf\GETPLUSo.INF (non trovo la voce default uninstall) ma è un file di configurazione...non dovrebbe essere un file exe? (eppure ho abilitato sia i file che le cartelle nascoste)...

ops...gli LSP sono riconducibili ad avira...

[lo_straniero]

ragazzi aiutatemi a togliere questi trojan TROJAN.WIN32.AGENT.BCK
ne ho 3 tipi che quando li cancello ritornano di nuovo dove erano...

[Mazda RX8]

Originariamente inviato da lo_straniero

ragazzi aiutatemi a togliere questi trojan TROJAN.WIN32.AGENT.BCK
ne ho 3 tipi che quando li cancello ritornano di nuovo dove erano...

sono nascosti?? da hijackthis hai fixato quella stringa?

[lancetta]

Originariamente inviato da lo_straniero

ragazzi aiutatemi a togliere questi trojan TROJAN.WIN32.AGENT.BCK
ne ho 3 tipi che quando li cancello ritornano di nuovo dove erano...

posta in aiuto sono infetto http://www.hwupgrade.it/forum/forumdisplay.php?f=125 e comincia col usare Questo VUNDOFIX
sul desktop lancialo metti la spunta su "Run VundoFix as a task" ti darà un messaggio che vundofix si chiuderà e riaprirà in un minuto o meno, quando il programma si riaprirà clicca OK clicca su "Scan for Vundo" quando ha finito di fare la scansione clicca su "Remove vundo" clicca YES alla domanda se vuoi rimuovere i files,quindi inizierà a rimuovere le dll del vundo ,quando ha finito ti dirà che dovrà riavviare il pc clicca OK.
accendi il pc e posta il log che troverai in C:\vundofix.txt....
FixVundo http://securityresponse.symantec.com...r/FixVundo.exe
Scarica VirtumundoBeGone http://secured2k.home.comcast.net/to...undoBeGone.exe
(questo tool va avviato in modalità provvisoria, F8 all'avvio del computer)
naturalmente dopo che hai disabilitato il ripristino config di sistema se non sai come fare vedi QUI link.
oltre quelli fai girare anche Panda Antirootkit
decomprimi il file Zip, sul desktop
eseguilo(da amministratore del pc) stando connesso, dovrebbe aggiornarsi automaticamente, dopodichè partirà una scansione per verificare la presenza,di eventuali rootkit, sul P.C. ed eseguire eventuali pulizie.

scarica elistarA http://www.zonavirus.com/datos/desca...8/elistara.asp in fondo alla pagina Descargar ElistarA
lancialo, ti farà tre domande all'inizio,rispondi si tranne alla terza,("Quiere eliminar las pàgina de inicio y de busqueda del internet explorer" a questa rispondi no) dopo di chè fagli fare una scansione (Explorar) ..quando termina rilascia un log infosat.txt in C:
(è facile che ti zompi la pagina iniziale del browser)

è un trojan abbastanza rompiballe che di solito si porta il vundo,backdoor ed a volte ha componentistiche rootkit
Gira molto sul p2p
Fai il tutto e posta i log dove ti ho indicato per vedere poi il da farsi

[lo_straniero]

Originariamente inviato da Mazda RX8

sono nascosti?? da hijackthis hai fixato quella stringa?

si ho fixato ....sono nascosti manualmente non si trovano


ogfile of Trend Micro HijackThis v2.0.2
Scan saved at 23.31.27, on 30/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5700.0006)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\a-squared Free\a2service.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\__GameS__\medal airborne\UnrealEngine3\MOHAGame\pb\PnkBstrA.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\MSN Messenger\usnsvc.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=55245&clcid={SUB_CLCID}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://pack.google.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Diagnostica SpeedTouch USB] "C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [aol] "C:\Programmi\AOL\Active Virus Shield\avp.exe"
O4 - HKLM\..\Run: [SearchIndexer] rundll32.exe "C:\WINDOWS\system32\vftwtogd.dll",sitypnow
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} -
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} -
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{57F6F824-557B-480D-900B-60C81D672323}: NameServer = 193.70.152.15 193.70.152.25
O17 - HKLM\System\CS1\Services\Tcpip\..\{57F6F824-557B-480D-900B-60C81D672323}: NameServer = 193.70.152.15 193.70.152.25
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programmi\a-squared Free\a2service.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PunkBuster (PnkBstrA) - Unknown owner - C:\__GameS__\medal airborne\UnrealEngine3\MOHAGame\pb\PnkBstrA.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 5167 bytes

Originariamente inviato da lancetta

posta in aiuto sono infetto http://www.hwupgrade.it/forum/forumdisplay.php?f=125 e comincia col usare Questo VUNDOFIX
sul desktop lancialo metti la spunta su "Run VundoFix as a task" ti darà un messaggio che vundofix si chiuderà e riaprirà in un minuto o meno, quando il programma si riaprirà clicca OK clicca su "Scan for Vundo" quando ha finito di fare la scansione clicca su "Remove vundo" clicca YES alla domanda se vuoi rimuovere i files,quindi inizierà a rimuovere le dll del vundo ,quando ha finito ti dirà che dovrà riavviare il pc clicca OK.
accendi il pc e posta il log che troverai in C:\vundofix.txt....
FixVundo http://securityresponse.symantec.com...r/FixVundo.exe
Scarica VirtumundoBeGone http://secured2k.home.comcast.net/to...undoBeGone.exe
(questo tool va avviato in modalità provvisoria, F8 all'avvio del computer)
naturalmente dopo che hai disabilitato il ripristino config di sistema se non sai come fare vedi QUI link.
oltre quelli fai girare anche Panda Antirootkit
decomprimi il file Zip, sul desktop
eseguilo(da amministratore del pc) stando connesso, dovrebbe aggiornarsi automaticamente, dopodichè partirà una scansione per verificare la presenza,di eventuali rootkit, sul P.C. ed eseguire eventuali pulizie.

scarica elistarA http://www.zonavirus.com/datos/desca...8/elistara.asp in fondo alla pagina Descargar ElistarA
lancialo, ti farà tre domande all'inizio,rispondi si tranne alla terza,("Quiere eliminar las pàgina de inicio y de busqueda del internet explorer" a questa rispondi no) dopo di chè fagli fare una scansione (Explorar) ..quando termina rilascia un log infosat.txt in C:
(è facile che ti zompi la pagina iniziale del browser)

è un trojan abbastanza rompiballe che di solito si porta il vundo,backdoor ed a volte ha componentistiche rootkit
Gira molto sul p2p
Fai il tutto e posta i log dove ti ho indicato per vedere poi il da farsi

in totale devo installare 4 programmi hiihhi speriam bene grazie...ora ci provo

[lancetta]

Originariamente inviato da lo_straniero

si ho fixato ....sono nascosti manualmente non si trovano....................in totale devo installare 4 programmi hiihhi speriam bene grazie...ora ci provo

No! sono remover stand alone, senza installazione, devi solo dezippare ed eseguire nel caso di archivi,oppure eseguire direttamente nel caso di exe.

[Romagnolo1973]

AIUTO !! preambolo: ho messo sul pc EQSecure e mi va in loop analizzando un file che ne Avira ne Spyware terminator mi segnalano è quello del titolo e modifica anche il registro di sistema
Postato su VirusTotal mi dice:
File DSC000910.scr ricevuto il 2007.10.01 01:47:27 (CET)Antivirus Versione
Ultimo aggiornamento Risultato

AhnLab-V3 2007.9.29.0 2007.09.28 -
AntiVir 7.6.0.18 2007.09.30 -
Authentium 4.93.8 2007.09.29 Possibly a new variant of W32/NewMalware-LSU-based!Maximus
Avast 4.7.1043.0 2007.09.30 -
AVG 7.5.0.488 2007.10.01 SHeur.OWO
BitDefender 7.2 2007.10.01 -
CAT-QuickHeal 9.00 2007.09.29 TrojanDownloader.Banload.dui
ClamAV 0.91.2 2007.10.01 -
DrWeb 4.33 2007.09.30 -
eSafe 7.0.15.0 2007.09.30 Suspicious Trojan/Worm
eTrust-Vet 31.2.5174 2007.09.30 -
Ewido 4.0 2007.09.30 -
FileAdvisor 1 2007.10.01 -
Fortinet 3.11.0.0 2007.09.30 -
F-Prot 4.3.2.48 2007.09.29 W32/NewMalware-LSU-based!Maximus
F-Secure 6.70.13030.0 2007.10.01 Trojan-Downloader.Win32.Banload.dui
Ikarus T3.1.1.12 2007.10.01 -
Kaspersky 7.0.0.125 2007.10.01 Trojan-Downloader.Win32.Banload.dui
McAfee 5130 2007.09.28 -
Microsoft 1.2803 2007.10.01 -
NOD32v2 2561 2007.10.01 -
Norman 5.80.02 2007.09.28 -
Panda 9.0.0.4 2007.09.30 Trj/Dadobra.AEO
Prevx1 V2 2007.10.01 -
Rising 19.42.61.00 2007.09.30 -
Sophos 4.22.0 2007.10.01 Mal/DelpDldr-D
Sunbelt 2.2.907.0 2007.09.28 -
Symantec 10 2007.09.30 -
TheHacker 6.2.6.074 2007.09.30 -
VBA32 3.12.2.4 2007.09.30 Trojan-Downloader.Win32.Banload.dui
VirusBuster 4.3.26:9 2007.09.30 -
Webwasher-Gateway 6.0.1 2007.09.30 Worm.Win32.Malware.gen#ASPack (suspicious)

Informazioni addizionali
File size: 58880 bytes
MD5: 1c61cfb12d28a631c63eb90ef102e549
SHA1: 0b5546aeb9e6c21e7b5d2a7c12f6b3b812811959
packers: ASPACK
packers: ASPack
HT invece sentenzia questo LOG :
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 2.00.25, on 01/10/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Analog Devices\SoundMAX\Smax4.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\Comodo\Firewall\CPF.exe
C:\Programmi\Acronis\TrueImage\TrueImageMonitor.exe
C:\Programmi\File comuni\Acronis\Schedule2\schedhlp.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\Java\jre1.6.0_02\bin\jusched.exe
C:\WINDOWS\tsnpstd3.exe
C:\WINDOWS\vsnpstd3.exe
C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe
C:\Programmi\Analog Devices\Core\smax4pnp.exe
C:\Programmi\D-Tools\daemon.exe
C:\WINDOWS\system\DSC000910.scr
C:\Programmi\File comuni\Acronis\Schedule2\schedul2.exe
C:\Programmi\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\Comodo\Firewall\cmdagent.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\FreshDownload\fd.exe
C:\Programmi\Opera\Opera.exe
C:\Programmi\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.orkut.com/GLogin.aspx?don...w.orkut.com%2F
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://it.yahoo.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Class - {19C7F699-18D2-E477-219E-1D8CA8675509} - C:\WINDOWS\xlixg1.dll (file missing)
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O3 - Toolbar: FreshDownload Bar - {ED0E8CA5-42FB-4B18-997B-769E0408E79D} - C:\Programmi\FreshDownload\fdiebar.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programmi\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Comodo Firewall] "C:\Programmi\Comodo\Firewall\CPF.exe" /background
O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programmi\Acronis\TrueImage\TrueImageMonitor.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programmi\File comuni\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [tsnpstd3] C:\WINDOWS\tsnpstd3.exe
O4 - HKLM\..\Run: [snpstd3] C:\WINDOWS\vsnpstd3.exe
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programmi\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programmi\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [SharedAPPs] C:\WINDOWS\system\DSC000910.scr
O4 - HKLM\..\Run: [EQSysSecure] C:\Programmi\EQSysSecure\EQSysSecure.exe /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Programmi\eMule\emule.exe -AutoStart
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\npjpi160_02.dll
O9 - Extra button: Crea preferiti portatile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programmi\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmi\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Crea preferiti portatile... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programmi\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: FreshDownload - {E10E00F9-C2CB-42E2-82DD-691FACB607E4} - C:\Programmi\FreshDownload\fd.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.olidata.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{0491AA51-2189-4933-B90B-65CA12B25587}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{337E8610-3F59-4EE9-94FF-CC3688649AB8}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{84E45BD8-5EC7-46C7-BBB8-3252C2A93522}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0491AA51-2189-4933-B90B-65CA12B25587}: NameServer = 192.168.1.1
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programmi\File comuni\Acronis\Schedule2\schedul2.exe
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Programmi\Comodo\Firewall\cmdagent.exe
O23 - Service: EQService - EQSecure - C:\Programmi\EQSysSecure\EQService.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe
O23 - Service: SysDux - Unknown owner - \\?\C:\Programmi\File comuni\System\lpt3.exe (file missing)

--
End of file - 8089 bytes

UNA MANO PER FAVORE GRAZIE, scusate la lunghezza del post

[nV 25]

Originariamente inviato da Romagnolo1973

[...] Postato su VirusTotal mi dice...

AhnLab-V3 2007.9.29.0 2007.09.28 -
AntiVir 7.6.0.18 2007.09.30 -
Authentium 4.93.8 2007.09.29 Possibly a new variant of W32/NewMalware-LSU-based!Maximus
Avast 4.7.1043.0 2007.09.30 -
AVG 7.5.0.488 2007.10.01 SHeur.OWO
BitDefender 7.2 2007.10.01 -
CAT-QuickHeal 9.00 2007.09.29 TrojanDownloader.Banload.dui
ClamAV 0.91.2 2007.10.01 -
DrWeb 4.33 2007.09.30 -
eSafe 7.0.15.0 2007.09.30 Suspicious Trojan/Worm
eTrust-Vet 31.2.5174 2007.09.30 -
Ewido 4.0 2007.09.30 -
FileAdvisor 1 2007.10.01 -
Fortinet 3.11.0.0 2007.09.30 -
F-Prot 4.3.2.48 2007.09.29 W32/NewMalware-LSU-based!Maximus
F-Secure 6.70.13030.0 2007.10.01 Trojan-Downloader.Win32.Banload.dui
Ikarus T3.1.1.12 2007.10.01 -
Kaspersky 7.0.0.125 2007.10.01 Trojan-Downloader.Win32.Banload.dui
McAfee 5130 2007.09.28 -
Microsoft 1.2803 2007.10.01 -
NOD32v2 2561 2007.10.01 -
Norman 5.80.02 2007.09.28 -
Panda 9.0.0.4 2007.09.30 Trj/Dadobra.AEO
Prevx1 V2 2007.10.01 -
Rising 19.42.61.00 2007.09.30 -
Sophos 4.22.0 2007.10.01 Mal/DelpDldr-D
Sunbelt 2.2.907.0 2007.09.28 -
Symantec 10 2007.09.30 -
TheHacker 6.2.6.074 2007.09.30 -
VBA32 3.12.2.4 2007.09.30 Trojan-Downloader.Win32.Banload.dui
VirusBuster 4.3.26:9 2007.09.30 -
Webwasher-Gateway 6.0.1 2007.09.30 Worm.Win32.Malware.gen#ASPack (suspicious)
[...]

E' evidente che l'scr in questione (DSC000910.scr) non è un file buono...
Con HT fixa

• C:\WINDOWS\system\DSC000910.scr

• O2 - BHO: Class - {19C7F699-18D2-E477-219E-1D8CA8675509} - C:\WINDOWS\xlixg1.dll (file missing)

• O4 - HKLM\..\Run: [SharedAPPs] C:\WINDOWS\system\DSC000910.scr

Questo è sospetto:

• O23 - Service: SysDux - Unknown owner - \?C:ProgrammiFile comuniSystemlpt3.exe (file missing)

Prima di fixarlo, pensa cosa potrebbe essere...

[BEY0ND]

Originariamente inviato da nV 25

Questo è sospetto:

• O23 - Service: SysDux - Unknown owner - \?C:ProgrammiFile comuniSystemlpt3.exe (file missing)

più che sospetto direi che è il gromozon...

[Mazda RX8]

Originariamente inviato da lo_straniero

si ho fixato ....sono nascosti manualmente non si trovano

attiva la visualizzazione dei file nascosti

[nV 25]

Originariamente inviato da BEY0ND

più che sospetto direi che è il gromozon...

meglio...
curioso che glielo abbia identificato EQSecure invece di Antivir, non trovi?





NB:
per la milionesima volta, ripeto un concetto:
Gli HIPS DEVONO ESSERE INSTALLATI su un Pc del quale si abbia la RAGIONEVOLE CERTEZZA DI "VERGINITà" da malware....

Ciò non toglie che in talune occasioni (questa, per es, se si appura che sul Pc c'era gromozon...) non possano tornare utili visto che, ad es, vigilano ANCHE su ciò che và in esecuzione automatica....

[BEY0ND]

Originariamente inviato da nV 25

meglio...
curioso che glielo abbia identificato EQSecure invece di Antivir, non trovi?





NB:
per la milionesima volta, ripeto un concetto:
Gli HIPS DEVONO ESSERE INSTALLATI su un Pc del quale si abbia la RAGIONEVOLE CERTEZZA DI "VERGINITà" da malware....

Ciò non toglie che in talune occasioni (questa, per es, se si appura che sul Pc c'era gromozon...) non possano tornare utili visto che, ad es, vigilano ANCHE su ciò che và in esecuzione automatica....

esatto...bravi sti cinesi...