HiJackThis - Analisi Log - leggere Regole di Sezione

[juninho85]

prova a utilizzare la 1.99.1 anzichè la v2.0.2

[cerbert]

Logfile of HijackThis v1.99.1
Scan saved at 11.26.14, on 09/10/2007
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
???????????????????????????????
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINNT\System32\svchost.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
c:\Programmi\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
C:\PROGRA~1\OUTPOS~1.0\outpost.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\tcpsvcs.exe
C:\WINNT\System32\snmp.exe
c:\Programmi\Microsoft SQL Server\90\Shared\sqlbrowser.exe
C:\Programmi\VMware\VMware Workstation\vmware-authd.exe
C:\WINNT\System32\vmnat.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\vmnetdhcp.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\RunDll32.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\D-Tools\daemon.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Hewlett-Packard\OrderReminder\OrderReminder.exe
C:\WINNT\system32\internat.exe
C:\Programmi\Yahoo!\Messenger\YahooMessenger.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\Mozilla Thunderbird\thunderbird.exe
C:\Program Files\HijackThis199\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programmi\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [USBDetector] C:\USBStorage\USBDetector.exe
O4 - HKLM\..\Run: [Outpost Firewall] C:\PROGRA~1\OUTPOS~1.0\outpost.exe /waitservice
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [OrderReminder] C:\Programmi\Hewlett-Packard\OrderReminder\OrderReminder.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Programmi\Yahoo!\Messenger\YahooMessenger.exe" -quiet
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YahooMessenger.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YahooMessenger.exe
O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://secure.logmein.com/activex/RACtrl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{FA34D746-6868-42C3-9350-7762918D5525}: NameServer = 10.10.10.250
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programmi\File comuni\Microsoft Shared\Help\hxds.dll
O20 - Winlogon Notify: iexplore - red01.dll (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Servizio amministrativo di Gestione disco logico (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner - c:\Programmi\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing)
O23 - Service: OracleOraHome9ClientCache - Unknown owner - C:\Programmi\Oracle\OraHome92\BIN\ONRSD.EXE
O23 - Service: Outpost Firewall Service (OutpostFirewall) - Agnitum - C:\PROGRA~1\OUTPOS~1.0\outpost.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - Unknown owner - C:\Programmi\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINNT\System32\vmnetdhcp.exe
O23 - Service: VMware NAT Service - Unknown owner - C:\WINNT\System32\vmnat.exe

Idem...

[juninho85]

questo intanto

internat.exe

potrebbe essere maligno,fallo analizzare qui.
potrebbe essere qualche file in esecuzione avente un nome codificato con caratteri non europei

[Capitan_J]

Originariamente inviato da juninho85

questo intanto

internat.exe

potrebbe essere maligno,fallo analizzare qui.
potrebbe essere qualche file in esecuzione avente un nome codificato con caratteri non europei

Credo non sia nulla di preoccupante...su win2k è il servizio per le lingue in uso sul pc.

Piuttosto che è sta roba?

???????????????????????????????

un errore di hijack?

[cerbert]

Originariamente inviato da juninho85

questo intanto

internat.exe

potrebbe essere maligno,fallo analizzare qui.
potrebbe essere qualche file in esecuzione avente un nome codificato con caratteri non europei

Ecco il risultato dell'analisi:

File internat.exe ricevuto il 2007.10.09 13:22:09 (CET)
Stato corrente: finito
Risultato: 0/32 (0%)

Originariamente inviato da Capitan_J

Credo non sia nulla di preoccupante...su win2k è il servizio per le lingue in uso sul pc.

Piuttosto che è sta roba?

???????????????????????????????

un errore di hijack?

Anche grem mi dà la stessa cosa.
Guardando task manager corrisponde a "Services.exe", che però risulta pulito...

[Mazda RX8]

Originariamente inviato da cerbert

Ecco il risultato dell'analisi:




Anche grem mi dà la stessa cosa.
Guardando task manager corrisponde a "Services.exe", che però risulta pulito...

prova a fixarlo facendo xò il back-up...

[juninho85]

Originariamente inviato da cerbert

Ecco il risultato dell'analisi:

devi pazientare qualche minuto affinchè lo scan finisca

[paolo-fcb]

Originariamente inviato da lancetta

Effettivamente penso che oltre la deframmentazione ti convenga fare anche uno scandisk..penso pure che hai un pò il registro incasinato con tracce di soft disinstallati...il processo del nod ad esempio è quello principale....se effettivamente sei pulito comincerei a fare subito un back up......

Allora si, ho deframmentato, con auslogics disk defrag, la percentuale era alta, circa il 5%, ora è scesa allo 0,13. Scandisk lo fo subito; registro lo fixo quasi quotidianamente......
Si, di solito io mi faccio il backup della cartella documenti e di alcune altre cose per non restare fregato, però a proposito: cosa posso usare per fare il backup? Fra i vari nero, ashampoo, eccetera non ci capisco più nulla, io ho nero e uso il burning rom, ma forse dovrei usare il back it up?
Grazie

[done75]

e aggiungo io.... : e per fare backup del registro prima di fixaggi vari ed/od esperimenti e' meglio ERUNT o la funzione ESPORTA dell'editor di registro di windows??

[cerbert]

Originariamente inviato da juninho85

devi pazientare qualche minuto affinchè lo scan finisca

Ma "Stato Corrente: Finito" non significa appunto che ha finito?

[Mazda RX8]

Originariamente inviato da cerbert

Ma "Stato Corrente: Finito" non significa appunto che ha finito?

si, certo...

[juninho85]

Originariamente inviato da cerbert

Ma "Stato Corrente: Finito" non significa appunto che ha finito?

scusami,ero in modalità bimbominchia per qualche minuto
sì,il file è pulito

prova ad eseguire processxp e vedi a quale e quali file si appoggiano a services.exe

[cerbert]

Originariamente inviato da juninho85

scusami,ero in modalità bimbominchia per qualche minuto
sì,il file è pulito

prova ad eseguire processxp e vedi a quale e quali file si appoggiano a services.exe

Ecco processxp... sia benedetto Russinovich.
E' definitivo che ????????????????? è, in realtà, services.exe.
Il che mi mette in grossi casini, direi...

[juninho85]

perchè ti mette nei casini se mi è dato saperlo?

[cerbert]

Originariamente inviato da juninho85

perchè ti mette nei casini se mi è dato saperlo?

Beh... mi sento un po' a disagio a sapere che l'host dei servizi è contrassegnato dal sistema come Mister "???".

Tenendo conto che ieri mi ha shuttato il PC di autorità...

[juninho85]

Originariamente inviato da cerbert

Beh... mi sento un po' a disagio a sapere che l'host dei servizi è contrassegnato dal sistema come Mister "???".

Tenendo conto che ieri mi ha shuttato il PC di autorità...

in tal caso potrebbe esser cazzi sì...
evidenziando il file services.exe,nella casellla di sotto dovresti trovare indicati tutti i file a cui si appoggia....verifica che non ci sia qualcosa di anomalo

[cerbert]

Niente di anomalo, un po' di DLL di sistema, un po' di files .evt per l'event logging, un po' di file .nls per la localizzazione... e poi, ovviamente, l'immancabile ????????????????


ADDENDUM: ho convinto "con le buone" services.exe a ricaricarsi (leggi: l'ho killato di autorità, buttando giù il PC come conseguenza) e al riavvio si è presentato finalmente con il suo nome... i riavvii più "soft" non avevano dato lo stesso risultato... niente di meglio di un po' di sana violenza...

[Mazda RX8]

Originariamente inviato da cerbert

Tenendo conto che ieri mi ha shuttato il PC di autorità...

nn sei + amministratore??

[paolo-fcb]

Ragazzi, Lancetta in particolare, come lo scanno il disk? Se faccio risorse del computer-c-mouse dx-proprietà-strumenti-esegui scandisk non fa una mazza, se gli dico di controllare mettendo la spunta si impianta tutto e occupa il 100% dell'utilizzo cpu (lo vedo dal task manager), ci sono altri strumenti o programmi per fare lo scandisk? Io ricordo che nel vecchio caro win98 lo faceva all'avio di winzozz dal dos durante il boot, in xp è come se questa cosa non esistesse (esattamente come il defrag). Che devo fà? Sono letteralmente distrutto, e non solo per il pc, ci mancherebbe altro....

[Riverside]

Originariamente inviato da paolo-fcb

Ragazzi, Lancetta in particolare, come lo scanno il disk? Se faccio risorse del computer-c-mouse dx-proprietà-strumenti-esegui scandisk non fa una mazza, se gli dico di controllare mettendo la spunta .......

Metti la spunta sulla prima voce:



e clicca su Avvia
Ti verrà richiesto il riavvio di sistema.
Una volta riavviato si eseguirà il logon e, subito dopo, partiranno le tre fasi dello Scandisk.
Se non sbaglio (almeno leggendo i tuoi precedenti post) dovresti aver installato dei programmi per eseguire la deframmentazione (tipo Diskeeper); se fosse cosi, prima disinstallali.