HiJackThis - Analisi Log - leggere Regole di Sezione

[wjmat]

Originariamente inviato da uomoalkalino

boh...cmq lo elimino, mi sa ke è un virus ke fram po mi annienta

Fai controllare quel file su www.virustotal.com e su http://virscan.org/
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollale nella discussione

[uomoalkalino]

Originariamente inviato da wjmat

Fai controllare quel file su www.virustotal.com e su http://virscan.org/
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollale nella discussione

mmm il problema è che l'applicazione cmd32.exe nn esiste...

[uomoalkalino]

Originariamente inviato da uomoalkalino

mmm il problema è che l'applicazione cmd32.exe nn esiste...

allora si ce l'ho fatta
praticamente ho segiuto questa guida:
http://www.symantec.com/security_res...021212-5114-99
poi basta eliminare in modalità provvisoria(previo back-up) le chiavi ke contengono il nome del virus o quello ke è...
vi posto il log finale...

[wjmat]

Originariamente inviato da uomoalkalino

allora si ce l'ho fatta
praticamente ho segiuto questa guida:
http://www.symantec.com/security_res...021212-5114-99
poi basta eliminare in modalità provvisoria(previo back-up) le chiavi ke contengono il nome del virus o quello ke è...
vi posto il log finale...

non so da dove sia uscita quella infezione, nel log iniziale non c'era...

se ti sembra di essere a posto (dai log vedo questo, ma potrebbe esserci altro che puoi vedere solo tu)
dai un'occhiata al trattamento di prevenzione / post disinfezione, ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti

panda e ad-aware io li rimpiazzerei con quelli consigliati nel trattamento

[xcdegasp]

Originariamente inviato da uomoalkalino

allora si ce l'ho fatta
praticamente ho segiuto questa guida:
http://www.symantec.com/security_res...021212-5114-99
poi basta eliminare in modalità provvisoria(previo back-up) le chiavi ke contengono il nome del virus o quello ke è...
vi posto il log finale...

ti è craschato qualcosa facendo quella manovra che hai fatto inquanto era comparsa questa voce nell'ultimo log:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

[uomoalkalino]

Originariamente inviato da xcdegasp

ti è craschato qualcosa facendo quella manovra che hai fatto inquanto era comparsa questa voce nell'ultimo log:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

si, solita schermata blu e riavvio

[xcdegasp]

Originariamente inviato da uomoalkalino

si, solita schermata blu e riavvio

ci sarà un problema se compare un bsod che per l'appunto non è sicuramente una situazione normale

[uomoalkalino]

Originariamente inviato da xcdegasp

ci sarà un problema se compare un bsod che per l'appunto non è sicuramente una situazione normale

si infatti il problema xsiste, credevo di averlo risolto ma invece il problema era un altro, vabbè l'unica soluzione è formattare...

[wjmat]

Originariamente inviato da uomoalkalino

si infatti il problema xsiste, credevo di averlo risolto ma invece il problema era un altro, vabbè l'unica soluzione è formattare...

Qui stiamo andando off-topic...
Apriti una discussione tutta tua, spieghi brevemente il problema e poi segui la guida alla disinfezione per infetti ed esegui tutte le scansioni ed il caricamento dei relativi log nelle modalità e nell'ordine indicato.

[Gle89]

Originariamente inviato da aemme65

Mi date un'occhiata al file log, credo di avere un problema

Ciao, puoi spiegarci che tipo di problema hai?

effettivamente ci sono in avvio due voci sconosciute sia da me che da google (che da HJT) intanto attiva la visualizzazione di file nascosti e dei file di sistema e vai su http://www.virustotal.com/it/ e fai analizzare questi percorsi:
C:\WINDOWS\system32\powkrjvu.dll
C:\WINDOWS\system32\teocvhrb.dll

alla fine della scansione fornisci i due link della pagina

[wjmat]

Originariamente inviato da aemme65

Mi si aprono un sacco di schede in firefox, ma le ho chiuse prima che si collegassero al sito

segui qui la guida per la rimozione di Vundo e posta in quella discussione tutti i log richiesti secondo le modalità .

[federico_78]

Penso di avere qualche problema! Il pc mi si blocca improvvisamente e poi riprende a funzionare....poi si blocca ancora...poi funziona...etc...etc... Sembra che carichi qualche applicazione che gli occupa tutta la memoria...
Ci sono delle voci che mi sembrano strane:
O4 - HKUS\S-1-5-19\..\RunOnce: [nlpo_01] cmd.exe /c md "%USERPROFILE%\Impostazioni locali\Temp" (User 'SERVIZIO LOCALE')

O4 - HKUS\S-1-5-20\..\RunOnce: [nlpo_01] cmd.exe /c md "%USERPROFILE%\Impostazioni locali\Temp" (User 'SERVIZIO DI RETE')

Ciao e grazie!!!!!

[wjmat]

Originariamente inviato da federico_78

Penso di avere qualche problema! Il pc mi si blocca improvvisamente e poi riprende a funzionare....poi si blocca ancora...poi funziona...etc...etc... Sembra che carichi qualche applicazione che gli occupa tutta la memoria...
Ci sono delle voci che mi sembrano strane:
O4 - HKUS\S-1-5-19\..\RunOnce: [nlpo_01] cmd.exe /c md "%USERPROFILE%\Impostazioni locali\Temp" (User 'SERVIZIO LOCALE')

O4 - HKUS\S-1-5-20\..\RunOnce: [nlpo_01] cmd.exe /c md "%USERPROFILE%\Impostazioni locali\Temp" (User 'SERVIZIO DI RETE')

Ciao e grazie!!!!!

• Lancia HiJackThis
• Clicca Do a scan only
• Metti la spunta a fianco delle righe che ti segnalo qui sotto
• Clicca su Fix Checked
• Riavvia il pc
• Lancia HiJackThis
• Do a system scan and save a logfile
• Carica il nuovo log con la funzione gestisci allegati

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ecc.) e non le usi disinstallale pure.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programmi\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [Windows Defender] "C:\Programmi\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SecurDisc] C:\Programmi\Nero\Nero8\InCD\NBHGui.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Nero\Nero8\InCD\InCD.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [nlpo_01] cmd.exe /c md "%USERPROFILE%\Impostazioni locali\Temp" (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nlpo_01] cmd.exe /c md "%USERPROFILE%\Impostazioni locali\Temp" (User 'SERVIZIO DI RETE')
O16  - tutte le voci senza riferimenti a microsoft

al riavvio vediamo come va

[Gigizzu]

Mi date un'occhiata al log allegato.Antivir ieri mi ha trovato un trojan e ho fatto un po' di fatica ad eliminarlo...non vorrei che sia rimasto in giro qualcosa.
Grazie
Ciao

[Chill-Out]

Originariamente inviato da Gigizzu

Mi date un'occhiata al log allegato.Antivir ieri mi ha trovato un trojan e ho fatto un po' di fatica ad eliminarlo...non vorrei che sia rimasto in giro qualcosa.
Grazie
Ciao

Dal log non emergono tracce di infezione, sarebbe opportuno aggiornare IE alla versione 7 ed installare il SP3 a tal proposito ti suggerisco di leggere questo 3D http://www.hwupgrade.it/forum/showthread.php?t=1726383

Ciao

[Gigizzu]

Originariamente inviato da Chill-Out

Dal log non emergono tracce di infezione, sarebbe opportuno aggiornare IE alla versione 7 ed installare il SP3 a tal proposito ti suggerisco di leggere questo 3D http://www.hwupgrade.it/forum/showthread.php?t=1726383

Ciao

Grazie,
non uso mai IE navigo sempre con firefox....
Ciao

[Chill-Out]

Originariamente inviato da Gigizzu

Grazie,
non uso mai IE navigo sempre con firefox....
Ciao

Sempre meglio aggiornarlo

[federico_78]

Originariamente inviato da wjmat

• Lancia HiJackThis
• Clicca Do a scan only
• Metti la spunta a fianco delle righe che ti segnalo qui sotto
• Clicca su Fix Checked
• Riavvia il pc
• Lancia HiJackThis
• Do a system scan and save a logfile
• Carica il nuovo log con la funzione gestisci allegati

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ecc.) e non le usi disinstallale pure.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programmi\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [Windows Defender] "C:\Programmi\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SecurDisc] C:\Programmi\Nero\Nero8\InCD\NBHGui.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Nero\Nero8\InCD\InCD.exe
O4 - HKUS\S-1-5-19\..\RunOnce: [nlpo_01] cmd.exe /c md "%USERPROFILE%\Impostazioni locali\Temp" (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nlpo_01] cmd.exe /c md "%USERPROFILE%\Impostazioni locali\Temp" (User 'SERVIZIO DI RETE')
O16  - tutte le voci senza riferimenti a microsoft

al riavvio vediamo come va

Ecco il nuovo log... che dici??

Comunque continua a bloccarsi!!!
Ora ho riavviato in modalità provvisoria e stò facendo una scansione on-line con F-secure ed una scansione con Gmer.
Antivir, Spyware Terminator non mi hanno trovato nulla (a parte i soliti cookies), A-squared mi si blocca e non riesce a completare la scansione!

[FulValBot]

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17.06.34, on 20/09/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\EXPERTool ATI\TBPANEL.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\Explorer.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Steam\Steam.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Miranda IM\miranda32.exe
C:\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [Gainward] C:\Program Files\EXPERTool ATI\TBPanel.exe /A
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVIZIO DI RETE')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix: 
O15 - Trusted Zone: http://quakelive.idsoftware.com
O15 - Trusted Zone: http://download.windowsupdate.com
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab2.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary...o.cab56649.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6D9A45B5-8FD7-4AFE-B397-F1859F610313}: NameServer = 85.255.116.126,85.255.112.215
O17 - HKLM\System\CS1\Services\Tcpip\..\{6D9A45B5-8FD7-4AFE-B397-F1859F610313}: NameServer = 85.255.116.126,85.255.112.215
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - C:\Windows\System32\DreamScene.dll
O23 - Service: Andrea ADI Filters Service (AEADIFilters) - Andrea Electronics Corporation - C:\Windows\system32\AEADISRV.EXE
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: Capture Device Service - InterVideo Inc. - C:\Program Files\Common Files\InterVideo\DeviceService\DevSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\Windows\system32\PnkBstrB.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: Windows Tribute Service - Unknown owner - C:\Windows\system32\kdzie.exe

--
End of file - 6295 bytes

aiuto ho un file chiamato kdzie.exe non può essere rimosso in alcun modo, inoltre ho un certo zlob.dnschanger e i miei dns sono cambiati e non posso + rimettere quelli che avevo prima aiutoooooo!!!

[fener2008]

buongiorno , potreste analizzare questo log di un pc di un mio amico ,
grazie