HiJackThis - Analisi Log - leggere Regole di Sezione

[Alevalex]

Sono riuscito a risolvere il problema con messenger...(errore 8100030d) credevo di avere beccato un virus invece dovevo cancellare cartelle e file che contenevano cache...La soluzione al problema la fornisce proprio windows live help, anche se in inglese, però con me ha funzionato...
Se a qualcuno può interessare qui c'è la risposta al problema : http://messenger-support.spaces.live...3F!13937.entry
Grazie.

[vegahardware]

Ciao a tutti,
avevo preso uno strano virus (TR/Gendal.3499729) aprendo un keygen fasullo...
Ho fatto una bella pulizia seguendo le vs. preziosa guide...
Potreste ad ogni modo, dare un occhiata se tutto è in ordine?

Ecco il log: http://www.fileqube.com/file/QAWZxqnS175002

[Kohai]

Ragazzi buonasera a tutti. Una domanda stupidina e quindi vogliate perdonare la mia ignoranza . Mi trovo nell'home page di trend micro per scaricare hijackthis e ci sono 3 scelte da effettuare: l'installer, lo zip e l'executable. Quale di queste devo usare per scaricare il programma? Un grazie anticipato a tutti quanti

[wjmat]

Originariamente inviato da Kohai

Ragazzi buonasera a tutti. Una domanda stupidina e quindi vogliate perdonare la mia ignoranza . Mi trovo nell'home page di trend micro per scaricare hijackthis e ci sono 3 scelte da effettuare: l'installer, lo zip e l'executable. Quale di queste devo usare per scaricare il programma? Un grazie anticipato a tutti quanti

ciao

ti consiglio l'installer in quando verrà messo tutto in programmi e se dovrai ripescare qualche backup sei sicuro che saranno li, la versione zip invece dopo estratta non si sa mai che fine può fare

[wjmat]

Originariamente inviato da vegahardware

Ciao a tutti,
avevo preso uno strano virus (TR/Gendal.3499729) aprendo un keygen fasullo...
Ho fatto una bella pulizia seguendo le vs. preziosa guide...
Potreste ad ogni modo, dare un occhiata se tutto è in ordine?

Ecco il log: http://filesup.net/1V5TQ5BZTA0O/hijackthis.txt.html

caricalo su uno dei server remoti indicati nel primo post, grazie

[vegahardware]

Originariamente inviato da wjmat

caricalo su uno dei server remoti indicati nel primo post, grazie

L'ho caricato su un altro server e modificato sul post iniziale...
ad ogni modo eccolo qui: http://www.fileqube.com/file/QAWZxqnS175002

[wjmat]

Originariamente inviato da vegahardware

L'ho caricato su un altro server e modificato sul post iniziale...
ad ogni modo eccolo qui: http://www.fileqube.com/file/QAWZxqnS175002

Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio ()

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)

O2 - BHO: (no name) - {259F616C-A300-44F5-B04A-ED001A26C85C} - (no file)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/flashplayer/current/swflash.cab
O23 - Service: getPlus(R) Helper - Unknown owner - C:\Programmi\NOS\bin\getPlus_HelperSvc.exe (file missing)

questi sembrerebbero di canon ma per sicurezza falli controllare suwww.virustotal.com e su http://virscan.org/
Una volta sui siti clicca su sfoglia -> cerca i file -> conferma -> Clicca Invia o Upload e attendi l'esito.
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollali nella discussione

C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\CNAP2RPK.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\CNAB8SWK.EXE

[vegahardware]

Originariamente inviato da wjmat

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

Scusami, la voce sopra a cosa si riferisce? Può essere la barra dei menù che ho aggiunto inserendo una chiave nel registro, dato che IE7 non la mette di default...



Inoltre, ho visto altre voci che vorrei eliminare al fine di velocizzare l'avvio cosa mi consigli di togliere? Fra queste voci:

O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Programmi\TechSmith\SnagIt 9\SnagItBHO.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre6\bin\ssv.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\Programmi\FlashFXP\IEFlash.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Programmi\TechSmith\SnagIt 9\SnagItIEAddin.dll

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Default user')

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: Hide Files and Folders (HideFilesAndFolders_S) - Unknown owner - C:\WINDOWS\System32\hffsrv.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPBOID.EXE
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Nero BackItUp Scheduler 3 - Unknown owner - C:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe (file missing)
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Programmi\File comuni\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: SolidConverterPDFReadSpool (SCPDFReadSpool) - Solid Documents, LLC - C:\WINDOWS\Installer\MSI81C.tmp
O23 - Service: VNC Server Version 4 (WinVNC4) - RealVNC Ltd. - C:\Programmi\RealVNC\VNC4\WinVNC4.exe

Da quello che ho capito verranno richiamate ogni qual volta si utilizza in software in questione!

Ecco gli esiti della scansione sui 2 file Canon:

http://www.virustotal.com/it/analisi...810cebfff3f463
http://www.virustotal.com/it/analisi...0346eea5b3f166
http://virscan.org/report/535745c6c9...79938328b.html
http://virscan.org/report/0d912322b5...ec3ff8616.html

[wjmat]

Originariamente inviato da vegahardware

Scusami, la voce sopra a cosa si riferisce? Può essere la barra dei menù che ho aggiunto inserendo una chiave nel registro, dato che IE7 non la mette di default...

la voce 06 è una restrizione e non dipende dalla tua modifica

le cose più grosse per velocizzare te le ho già indicate

Rimuovere ctfmon.exe dall'avvio
info microsoft ■ x XP ■ x Vista ■ rimozione automatica + 3D su hwupgrade

al massimo pui mettere in avviop manuale i servizi legati a nero e vnc

[vegahardware]

Questo è il log pulito... speriamo!

hijackthis.txt

GRAZIE DI TUTTO!!!

[Kohai]

Originariamente inviato da wjmat

ciao

ti consiglio l'installer in quando verrà messo tutto in programmi e se dovrai ripescare qualche backup sei sicuro che saranno li, la versione zip invece dopo estratta non si sa mai che fine può fare

Ti ringrazio tanto del consiglio! Da un po di tempo il mio pc e' diventato lentino ed anche se faccio spesso scansioni con tutti i programmi di sicurezza che ho, preferisco che voi esperti mi ci buttiate un occhiata al log per vedere se e' tutto a posto.....
Un grazie ancora ed a presto. Ciao!

[Kohai]

Originariamente inviato da wjmat

ciao

ti consiglio l'installer in quando verrà messo tutto in programmi e se dovrai ripescare qualche backup sei sicuro che saranno li, la versione zip invece dopo estratta non si sa mai che fine può fare

Ragazzi scusate, ho installato hijack this e fatta scansione, pero' quando cerco di salvare il log dentro "gestisci allegati" per poterlo postare mi dice che il file e' non valido e non carica nulla...come devo fare? Devo rinominarlo? O sbaglio procedura? Scusate l'ignoranza...

[Kohai]

Originariamente inviato da Kohai

Ragazzi scusate, ho installato hijack this e fatta scansione, pero' quando cerco di salvare il log dentro "gestisci allegati" per poterlo postare mi dice che il file e' non valido e non carica nulla...come devo fare? Devo rinominarlo? O sbaglio procedura? Scusate l'ignoranza...

Penso di aver risolto, mi scuso per l'autoquote
Ho fatto l'upload su wikisend, questi sono i riferimenti:

hijackthis.log

http://wikisend.com/download/501718/hijackthis.log

Spero di non aver sbagliato nulla... Eventualmente correggetemi e/o spiegatemi meglio come fare. Grazie di tutto.

[marisat]

Ragazzi ho problema che non sono riuscito a risolvere, continuano aprirsi nuovo finestre appena cliko da qulche parte uso l'ultima versione del firefox .

Ho disinstallato e reinstallato firefox ma niente ho installato una estensione per bloccare i popup ABP ma niente

mi date una occhiata al log

http://s1.xzshare.com/594693961-hijackthis.log

[xcdegasp]

Originariamente inviato da marisat

Ragazzi ho problema che non sono riuscito a risolvere, continuano aprirsi nuovo finestre appena cliko da qulche parte uso l'ultima versione del firefox .

Ho disinstallato e reinstallato firefox ma niente ho installato una estensione per bloccare i popup ABP ma niente

mi date una occhiata al log

http://s1.xzshare.com/594693961-hijackthis.log

riesegui HiJackThis optando per l'opzione "Scan Only", al termine il pulsante in basso a sinistra si chiamerà "Fix Checked", quindi seleziona le righe da fixare e premi tale tasto.
Fixa:

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [vdrzi] "c:\users\^^marjan^^\appdata\local\vdrzi.exe" vdrzi

inoltre devi assolutamente aggiornare il parco software pertanto ti consiglio di visitare urgentemente questo link http://secunia.com/vulnerability_scanning/online/ ed eseguire la scansione del sistema, dopo qualche minuto ti mostrerà la lista di software da aggiornare immediatamente.


Inoltre hai la firma irregolare, tratto dal Regolamento del Forum:

1.5 - Avatar, signature e sito personale
b) Signature: 3 righe a 1024 solo testo con un massimo di 3 smiles dell'Hardware Upgrade Forum oppure un'immagine 100 X 50 X 5KB e una riga di testo (non deve andare a capo).

sei pregato di modificarla il prima possibile

[xcdegasp]

Originariamente inviato da Kohai

Penso di aver risolto, mi scuso per l'autoquote
Ho fatto l'upload su wikisend, questi sono i riferimenti:

hijackthis.log

http://wikisend.com/download/501718/hijackthis.log

Spero di non aver sbagliato nulla... Eventualmente correggetemi e/o spiegatemi meglio come fare. Grazie di tutto.

bastava un solo link

Fixa:

O2 - BHO: (no name) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - (no file)
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O24 - Desktop Component 0: Pagina iniziale corrente - about:Home
O24 - Desktop Component 1: Aqua Real - 7db39a0d-580f-4be9-9195-8bfcd226f6c2

in particolare le due voci O6 dovevano essere rilevate e rimosse da Malwarebytes, sicuro di aver applicato un azione dopo la scansione completa?
preferisco farti fixare anche le O24


ps: se stai seguendo la guida per gli infetti non dovresti pubblicare qui il log di hijackthis ma nello stesso thread in cui pubblicherai i report delle varie scansioni

[xcdegasp]

Originariamente inviato da vegahardware

Questo è il log pulito... speriamo!

Allegato 69117

GRAZIE DI TUTTO!!!

una sola voce da fixare ma comunque marginale:

O23 - Service: Nero BackItUp Scheduler 3 - Unknown owner - C:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe (file missing)

quindi sei pulito

[marisat]

Mi sembra di aver risolto grazie tante a xcdegasp

[Kohai]

Originariamente inviato da xcdegasp

bastava un solo link

Fixa:

O2 - BHO: (no name) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - (no file)
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O24 - Desktop Component 0: Pagina iniziale corrente - about:Home
O24 - Desktop Component 1: Aqua Real - 7db39a0d-580f-4be9-9195-8bfcd226f6c2

in particolare le due voci O6 dovevano essere rilevate e rimosse da Malwarebytes, sicuro di aver applicato un azione dopo la scansione completa?
preferisco farti fixare anche le O24


ps: se stai seguendo la guida per gli infetti non dovresti pubblicare qui il log di hijackthis ma nello stesso thread in cui pubblicherai i report delle varie scansioni

Ti ringrazio tantissimo xcdegasp per l'aiuto. Allora: la 02 sarebbe un rimasuglio di skype (per quanto da profano ne son riuscito a sapere); le 06 malwarebytes me le ha gia' trovate ma non sapendo se concedere oppure no il permesso per cambiare quei valori con il timore che fossere falsi positivi, le ho messe nella lista ignora dello stesso mbam, quindi mi confermi che posso far fare la correzione? Ho cercato molto su internet e qui da noi ma non ho mai trovato una risposta soddisfacente. Le 024, per la prima non saprei ma la seconda sarebbe un vecchio screen saver che ho cancellato tempo addietro. Poi: non penso di avere il pc infetto, piu' che altro ero curioso di sapere in che condizioni di salute si trovasse il mio pc, e poi avrei una domanda da farti sempre se posso, sperando di non essere troppo ot : vorrei sapere se alcune voci di registro che sono registrate nel mio pc di programmi che oramai non sono piu' presenti perche' cancellati, posso eliminarle, come per fare un esempio:
- editor registro di sistema - hkey_current_user - software - bit torrent/spywareteminator/skype/altri.... ecco praticamente posso cancellare queste voci di programmi non piu' presenti? Oppure non devo toccare nulla?
Grazie tante dell'aiuto, a prestissimo!

[Kohai]

Scusami xcdegasp una domandina: visto che non son molto pratico di hijacthis, vorrei sapere se basta fixare i punti di cui mi hai detto o dovrei cancellarli manualmente e se si, gentilmente dirmi come fare, grazie tante