HiJackThis - Analisi Log - leggere Regole di Sezione

[Gle89]

Devi assolutamente aggiornare il tuo XP con il service pack 2(e quindi di conseguenza aggiornare Internet Explorer alla versione 7), altrimenti sarai quasi sempre infetto inoltre fai queste scansioni:

CCLEANER: clicca qui per il download
una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate, togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le quelle comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia, clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Problemi, clicca sul tasto Trova problemi ed avvia una scansione; al termine della scansione clicca sulla voce Ripara selezionati e prosegui


ASQUARED FREE: clicca qui per il download
una volta installato, scarica gli aggiornamenti e poi, esegui una scansione del sistema in modalità Deep Scan e rimuovi tutto ciò che viene rilevato con esclusione dei riferimenti a Software, MIrc, fotocamere digitali e/o scanner eventualmente installati.

Aggiorna JAVA: pannello di controllo – java – in alto clicca su “aggiornamento” – in basso a destra clicca su “aggiorna adesso” – adesso segui le istruzioni.

[maxbale]

ciao a tutti...spero di postare nella sezione giusta...
ho avviato hijackthis e facendo annalizare il risultato del log sul sito omonimo una stringa mi è sembrata strana 4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE posto il log per cortesia potete dirmi se è tutto ok o se devo eliminare qualcosa?
grazie




costa troppo rieditare il proprio messaggio? (by xcdegasp)

[Mazda RX8]

ti 6 letto il primo post??

[maxbale]

ciao mazda
si scusa ...l ho letto velocemente...ti prego aiutami cosa mi è sfuggito?

[Mazda RX8]

Originariamente inviato da maxbale

ciao mazda
si scusa ...l ho letto velocemente...ti prego aiutami cosa mi è sfuggito?

leggiti la parte i grassetto e roosa...

[maxbale]

ok grazie mazda hai ragione se ho ben capito dovrei allegare il log...ho provato con gestisci allegati ma no riesco...una volta selezionato il log e clicco su carica mi da errore mi dici come devo fare
grazie

[Chill-Out]

Originariamente inviato da maxbale

ok grazie mazda hai ragione se ho ben capito dovrei allegare il log...ho provato con gestisci allegati ma no riesco...una volta selezionato il log e clicco su carica mi da errore mi dici come devo fare
grazie

hostalo in formato testo .txt su http://www.zshare.net/ indicando il link nel post

[maxbale]

http://www.zshare.net/download/48277732038cbd/

ok spero di esserci riuscito
grazie

[Chill-Out]

Originariamente inviato da maxbale

http://www.zshare.net/download/48277732038cbd/

ok spero di esserci riuscito
grazie

Fixare:
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

Per quanto riguarda questo oggetto: O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
Il file ALCMTR.EXE viene installato con i driver audio Realtek AC97
è considerato uno spyware a basso rischio, il processo non è essenziale al funzionamento dell'audio del Pc e può essere fissato senza problemi usando HijackThis oppure basta toglierlo dall'avvio automatico, di conseguenza non è necessario eliminare il file, decidi tu.

Non vedo Firewall attivo

[NetHak]

potete dare un'occhiata anche al mio log ? mi sembra pulito, ma vi spiego il problema e mi direte se è il caso che apro un topic dedicato e in quale sezione...
in pratica ogni tanto mi trovo il pc in questione che resta acceso quasi tutto il giorno e che non uso per navigare col comando cmd aperto e diversi comandi lanciati, oltre ad altre finestre aperte, come se qualcuno stesse usando il mio pc... le porte di vnc sono bloccate dal router...

edit
aggiunto il log... a volte nn me li carica nn so perchè

[Chill-Out]

Originariamente inviato da NetHak

potete dare un'occhiata anche al mio log ? mi sembra pulito, ma vi spiego il problema e mi direte se è il caso che apro un topic dedicato e in quale sezione...
in pratica ogni tanto mi trovo il pc in questione che resta acceso quasi tutto il giorno e che non uso per navigare col comando cmd aperto e diversi comandi lanciati, oltre ad altre finestre aperte, come se qualcuno stesse usando il mio pc... le porte di vnc sono bloccate dal router...

dov'è il tuo log?

[maxbale]

ok grazie mille Chill-Out sei molto gentile
scusa se aprofitto della tua gentilezza puoi per cortesia dirmi passo passo come fare a fixare con hijackthis...sono un po ignorante in materia
grazie

[maxbale]

scusa Chill-Out
ho letto solo ora che non hai visto attivo un firewall ...io uso quello di windows e dal pannello di controllo è attivo ...che altro posso fare per vedere che sia in funzione?
grazie

[Chill-Out]

ok grazie mille Chill-Out sei molto gentile
scusa se aprofitto della tua gentilezza puoi per cortesia dirmi passo passo come fare a fixare con hijackthis...sono un po ignorante in materia
grazie

Riesegui HJT clicca su Do a systen scan metti il segno di spuna nella casella bianca a sx della/e voce/i precedentemente indicate, clicca su Fix Checked

ho letto solo ora che non hai visto attivo un firewall ...io uso quello di windows e dal pannello di controllo è attivo ...che altro posso fare per vedere che sia in funzione?
grazie

se sei dietro Router puoi eventualmente accontentarti e sottolineo accontentarti del Firewall nativo di XP che non è rilevabile da HJT, il mio consiglio è quello di installare un Firewall degno di tale nome tipo Comodo, ma per questo ci sono i Thread ufficiali che ti consiglio di leggere.

[maxbale]

ok grazie Chill-Out
si è come dici te ho un router e comunque seguirò il tuo consiglio installando un Firewall come si deve...e quindi il fatto che tu non hai visto il firewall nel log è perchè hijackthis non rileva il firewall di windows???
grazie
P.S:
puoi dirmi che firewall usi?

[Mazda RX8]

Originariamente inviato da maxbale

ok grazie Chill-Out
si è come dici te ho un router e comunque seguirò il tuo consiglio installando un Firewall come si deve...e quindi il fatto che tu non hai visto il firewall nel log è perchè hijackthis non rileva il firewall di windows???
grazie
P.S:
puoi dirmi che firewall usi?

io uso zone alarm...

[Chill-Out]

ok grazie Chill-Out
si è come dici te ho un router e comunque seguirò il tuo consiglio installando un Firewall come si deve...e quindi il fatto che tu non hai visto il firewall nel log è perchè hijackthis non rileva il firewall di windows???

Esatto, scegli tu Comodo o ZoneAlarm, io opterei per il primo anche se in Inglese, ti consiglio di leggere i Thread uffciali.

[NetHak]

Originariamente inviato da NetHak

potete dare un'occhiata anche al mio log ? mi sembra pulito, ma vi spiego il problema e mi direte se è il caso che apro un topic dedicato e in quale sezione...
in pratica ogni tanto mi trovo il pc in questione che resta acceso quasi tutto il giorno e che non uso per navigare col comando cmd aperto e diversi comandi lanciati, oltre ad altre finestre aperte, come se qualcuno stesse usando il mio pc... le porte di vnc sono bloccate dal router...

edit
aggiunto il log... a volte nn me li carica nn so perchè

[Gle89]

NetHak

Se lo hai attivo, disabilita il ripristino di configurazione di sistema che dovrà rimanere disabilitato fino alla fine della disinfestazione
(start – programmi – accessori – utilità di sistema – ripristino di configurazione di sistema - impostazioni).

Ora apri di nuovo HiJackThis con la seconda opzione “do a system scan” e seleziona le voci che ti riporterò qui sotto, mettendo il segno di spunta verde alla sinistra di ogni voce. Alla fine premi “Fix Checked”in fondo e dai la conferma. Chiudi pure HiJackThis.

fixa questa:

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://peerguardian.sourceforge.net/genuine.html

pulisci con CCLEANER: clicca qui per il download
una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate, togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le quelle comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia, clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Problemi, clicca sul tasto Trova problemi ed avvia una scansione; al termine della scansione clicca sulla voce Ripara selezionati e prosegui

ASQUARED FREE: clicca qui per il download
una volta installato, scarica gli aggiornamenti e poi, esegui una scansione del sistema in modalità Deep Scan e rimuovi tutto ciò che viene rilevato con esclusione dei riferimenti a Software, MIrc, fotocamere digitali e/o scanner eventualmente installati.

Aggiorna INTERNET EXPLORER alla versione 7: clicca qui per il download

[giancai]

ciao a tutti...
qualke giorno fa ho installato il messenger plus live e per errore selezionai anche la spunta di fare come sponsor, una cosa del genere...
da quel momento quando navigo in internet mi apre in continuazione popup con l'intestazione CiD! ho provato anche a disinstallare il plus ma niente da fare...
ho quindi pensato di fare un log con hjackthis e postarlo:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10.50.46, on 12/11/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16544)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Adobe\Photoshop Elements 4.0\PhotoshopElementsFileAgent.exe
C:\Programmi\TOSHIBA\ConfigFree\CFSvcs.exe
C:\Programmi\LogMeIn\x86\RaMaint.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programmi\Apoint2K\Apoint.exe
C:\Programmi\TOSHIBA\E-KEY\CeEKey.exe
C:\Programmi\TOSHIBA\TouchPad\TPTray.exe
C:\WINDOWS\system32\TCtrlIOHook.exe
C:\Programmi\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe
C:\Programmi\TOSHIBA\Touch and Launch\PadExe.exe
C:\Programmi\TOSHIBA\Tvs\TvsTray.exe
C:\Programmi\TOSHIBA\ConfigFree\NDSTray.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\PROGRA~1\TEXTBR~1.0\Bin\INSTAN~1.EXE
C:\Programmi\Adobe\Photoshop Elements 4.0\apdproxy.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\LogMeIn\x86\LogMeInSystray.exe
C:\Programmi\TOSHIBA\TOSCDSPD\toscdspd.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Apoint2K\Apntex.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\raffy\Documenti\Nuova cartella\CalCheck.exe
C:\Programmi\Microsoft Office\OFFICE11\ONENOTEM.EXE
C:\Programmi\LogMeIn\x86\LogMeIn.exe
C:\Programmi\Alice ti aiuta\bin\mpbtn.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\msiexec.exe
C:\Programmi\Toshiba\TOSHIBA Controls\TFncKy.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://it.rd.yahoo.com/customize/yco.../info/ie6.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://it.rd.yahoo.com/customize/yco...//it.yahoo.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programmi\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [Apoint] C:\Programmi\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [CeEKEY] C:\Programmi\TOSHIBA\E-KEY\CeEKey.exe
O4 - HKLM\..\Run: [TPNF] C:\Programmi\TOSHIBA\TouchPad\TPTray.exe
O4 - HKLM\..\Run: [HWSetup] C:\Programmi\TOSHIBA\TOSHIBA Applet\HWSetup.exe hwSetUP
O4 - HKLM\..\Run: [SVPWUTIL] C:\Programmi\Toshiba\Windows Utilities\SVPWUTIL.exe SVPwUTIL
O4 - HKLM\..\Run: [TCtryIOHook] TCtrlIOHook.exe
O4 - HKLM\..\Run: [SmoothView] C:\Programmi\TOSHIBA\TOSHIBA Zooming Utility\SmoothView.exe
O4 - HKLM\..\Run: [PadTouch] C:\Programmi\TOSHIBA\Touch and Launch\PadExe.exe
O4 - HKLM\..\Run: [Tvs] C:\Programmi\TOSHIBA\Tvs\TvsTray.exe
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\Bin\INSTAN~1.EXE /h
O4 - HKLM\..\Run: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\Bin\REGIST~1.EXE
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programmi\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programmi\Adobe\Photoshop Elements 4.0\apdproxy.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Option Bib Logo Log] C:\Documents and Settings\All Users\Dati applicazioni\LICENSE ADMIN OPTION BIB\View mfcd.exe
O4 - HKLM\..\Run: [LogMeIn GUI] "C:\Programmi\LogMeIn\x86\LogMeInSystray.exe"
O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\Bin\REGIST~1.EXE
O4 - HKCU\..\Run: [TOSCDSPD] C:\Programmi\TOSHIBA\TOSCDSPD\toscdspd.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [window wait] C:\DOCUME~1\gabriele\DATIAP~1\BURNSL~1\up meal.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Microsoft Office OneNote 2003 Quick Launch.lnk = C:\Programmi\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Alice ti aiuta.lnk = C:\Programmi\Alice ti aiuta\bin\matcli.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Controllo del Calendario di Ulead Photo Express.lnk = C:\Documents and Settings\raffy\Documenti\Nuova cartella\CalCheck.exe
O8 - Extra context menu item: Aggiungi all'elenco di stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Anteprima Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Stampa ad alta velocità Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_03\bin\npjpi150_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_03\bin\npjpi150_03.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab56986.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{00A01745-80BD-4F24-934B-C8E1888907DB}: NameServer = 151.99.125.2,151.99.0.100
O17 - HKLM\System\CS1\Services\Tcpip\..\{00A01745-80BD-4F24-934B-C8E1888907DB}: NameServer = 151.99.125.2,151.99.0.100
O23 - Service: Adobe Active File Monitor V4 (AdobeActiveFileMonitor4.0) - Unknown owner - C:\Programmi\Adobe\Photoshop Elements 4.0\PhotoshopElementsFileAgent.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Programmi\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: LogMeIn Maintenance Service (LMIMaint) - LogMeIn, Inc. - C:\Programmi\LogMeIn\x86\RaMaint.exe
O23 - Service: LogMeIn - LogMeIn, Inc. - C:\Programmi\LogMeIn\x86\LogMeIn.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe

fatemi sapere se c'è qualche problema!
grazie!