HiJackThis - Analisi Log - leggere Regole di Sezione

[Broncofix]

Originariamente inviato da Broncofix

Salve raga, da qualche giorno dopo aver scaricato ed avviato sconsideratamente una qualche sorta di file trojan (non mi chiedete il nome ma è saltato fuori da uno di quei file keygen) ogni tanto ricevo degli strani avvisi da parte di kaspersky che mi avvisa di aver messo in quarantena qualche file o processo sospetto. Dopo aver fatto qualche altro controllo con lo stesso kasp e ad-aware per esser più sicuro mi son deciso a fare una scansione con hijackthis. Unico problema: per me il risultato della scansione suona peggio dell'arabo. Mi dareste una mano a capire se il mio pc è infetto?!
Grazie infinite a tutti coloro che perderanno un pò del loro tempo dietro al mio caso. Saluti

c'è qualcuno che potrebbe aiutarmi a capire se il mio log è pulito!? Ho già postato il log nella pagina precedente (584) Grazie ancora!

[wjmat]

Originariamente inviato da Broncofix

Salve raga, da qualche giorno dopo aver scaricato ed avviato sconsideratamente una qualche sorta di file trojan (non mi chiedete il nome ma è saltato fuori da uno di quei file keygen) ogni tanto ricevo degli strani avvisi da parte di kaspersky che mi avvisa di aver messo in quarantena qualche file o processo sospetto. Dopo aver fatto qualche altro controllo con lo stesso kasp e ad-aware per esser più sicuro mi son deciso a fare una scansione con hijackthis. Unico problema: per me il risultato della scansione suona peggio dell'arabo. Mi dareste una mano a capire se il mio pc è infetto?!
Grazie infinite a tutti coloro che perderanno un pò del loro tempo dietro al mio caso. Saluti

Ciao

Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio ()

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows Vista (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16890)

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Ad-Watch] C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

devi aggiornare
Windows al service pack 2
Internet Explorer alla versione 8
non si vede o è disattivato il firewall
per tenere aggiornati anche gli altri programmi vulnerabili e per consigli vari leggi qui


adaware puoi anche rimuoverlo


Fai Start → Esegui → digita regedit (invio)
naviga fino alla seguente chiave di registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Nel pannello di destra doppio click su Userinit ed elimini C:\Users\Administrator\mpprbv.exe \s (invio)
Deve rimanere così (virgola compresa) C:\WINDOWS\system32\userinit.exe,

[xcdegasp]

Originariamente inviato da Broncofix

c'è qualcuno che potrebbe aiutarmi a capire se il mio log è pulito!? Ho già postato il log nella pagina precedente (584) Grazie ancora!

ti chiederei di modificare la firma perchè viola il Regolamento del Forum:

1.5 - Avatar, signature e sito personale
b) Signature: 3 righe a 1024 solo testo con un massimo di 3 smiles dell'Hardware Upgrade Forum oppure un'immagine 100 X 50 X 5KB e una riga di testo (non deve andare a capo).

grazie

[Broncofix]

Originariamente inviato da wjmat

Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows Vista (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16890)

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Ad-Watch] C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

devi aggiornare
Windows al service pack 2
Internet Explorer alla versione 8
non si vede o è disattivato il firewall
per tenere aggiornati anche gli altri programmi vulnerabili e per consigli vari leggi qui


adaware puoi anche rimuoverlo

Ciao, ho fatto tutto quello che mi hai detto in merito al "fixaggio" delle quattro voci da te indicate e alla modifica nel registro di windows.

Vorrei capire solo alcune cose:
- come mai non si vede il firewall se ho attivo quello di KIS?
- dal log si capisce che versione di windows vista utilizzo?
- sono infetto da qualche programma malevolo? (era questo il motivo della mia richiesta d'aiuto)
- infine quando dici 'ad-aware puoi rimuoverlo' cosa intendi?

Allego nuova scansione: mi diresti se ora è tutto ok? Grazie ancora!

P.S. : a tutti i moderatori entro questa sera modificherò la mia firma quando l'ho inserita anni fa non mi erano stati posti limiti.

[Baghi90]

Originariamente inviato da Baghi90

Scusami Chill-out pensavo di aver copiato il precedente invece ho sbagiato!
Ecco qui:

http://www.mediafire.com/?zt4baeekjn1

Volevo dire che non mi fa entrare più normalmente,ora uso il modo provvisorio.
Mi appare un messaggio,nonostante dia "ok" mi continua ad apparire,dicendomi riguardo un errore dell inizializzazione!

Grazie in anticipo

[wjmat]

Originariamente inviato da Broncofix

Ciao, ho fatto tutto quello che mi hai detto in merito al "fixaggio" delle quattro voci da te indicate e alla modifica nel registro di windows.

- come mai non si vede il firewall se ho attivo quello di KIS?

se hai kis sei a posto ho confuso con kav

- dal log si capisce che versione di windows vista utilizzo?

si vede che non hai sp installati

- sono infetto da qualche programma malevolo? (era questo il motivo della mia richiesta d'aiuto)

si vede solo quel richiamo nella stringa di userinit

- infine quando dici 'ad-aware puoi rimuoverlo' cosa intendi?

che puoi disinstallarlo rimpiazzandolo con quelli consigliati nel trattamento


questa stringa non è ancora a posto

F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\Users\Administrator\mpprbv.exe \s,

[Chill-Out]

Originariamente inviato da Baghi90

Volevo dire che non mi fa entrare più normalmente,ora uso il modo provvisorio.
Mi appare un messaggio,nonostante dia "ok" mi continua ad apparire,dicendomi riguardo un errore dell inizializzazione!

Grazie in anticipo

Con il Browser chiuso esegui HJT, clicca su Do a system scan only, metti il segno di sunta nella casella bianca a sx delle sotto indicate voci e clicca su Fix cheked

O1 - Hosts: 27.0.0.1 microsof
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - (no file)
O4 - HKCU\..\Run: [OnShare] "C:\Program Files\OnShare\OnShare.exe"
O4 - HKCU\..\Run: [calc] rundll32.exe C:\Users\Fabio\ntuser.dll,_IWMPEvents@0
Close
O4 - Startup: scandisk.dll

vedo che il log è stato fatto in modalità normale, quindi riesce ad accedere al PC solo dalla modalità provvisoria da quando ed in seguito a quale evento?

[Alevalex]

Ciao, mi potreste gentilmente dare una controllata al log.
Un tagliando ogni tanto non guasta mai..

[Baghi90]

Originariamente inviato da Chill-Out

Con il Browser chiuso esegui HJT, clicca su Do a system scan only, metti il segno di sunta nella casella bianca a sx delle sotto indicate voci e clicca su Fix cheked



vedo che il log è stato fatto in modalità normale, quindi riesce ad accedere al PC solo dalla modalità provvisoria da quando ed in seguito a quale evento?

Fatto..
Devo segnalare il fatto che due voci sono scomparse..sarà il fatto che ho passato l antivirus in modalità provvisoria.

Comunque sia due le ho signate come mi hai detto.
Ho rifatto nuovamente lo scan con Hijack:

http://www.mediafire.com/?yn4rjzomqxt

Mi dispiace disturbarti e ti ringrazio ancora per l aiuto.

Comunque sono dovuto passare a modalità provvisoria dopo questa mattina,tornato da scuola,acceso il computer schermo nero. Acceso ben 3 volte,dopo di che sono andato in modalità provvisoria.
Successivamente rivado in modalità normale e mi dà "errore di inizializzazione ecc"

[Chill-Out]

Originariamente inviato da Baghi90

Successivamente rivado in modalità normale e mi dà "errore di inizializzazione ecc"

Riporta per esteso l'errore

[Baghi90]

Originariamente inviato da Chill-Out

Riporta per esteso l'errore

ok..vedo ri riandare in modalità "normale" e trascriverò l errore.

[Baghi90]

Questo è il messaggio.

" ERRORE DI INIZIALIZZAZIONE DEL PROCESSO DI ACCESSO ( scusate il maiuscolo ma era per evidenziare il titolo)

Inizializzazione del processo di accesso Interattivo non riuscito,per ulteriori dettagli,vedere il registro eventi "

spero vi sia di aiuto

[Chill-Out]

Originariamente inviato da Baghi90

Questo è il messaggio.

" ERRORE DI INIZIALIZZAZIONE DEL PROCESSO DI ACCESSO ( scusate il maiuscolo ma era per evidenziare il titolo)

Inizializzazione del processo di accesso Interattivo non riuscito,per ulteriori dettagli,vedere il registro eventi "

spero vi sia di aiuto

Prova a ripristinare il sistema all'ultimo Punto di ripristino

[Broncofix]

Originariamente inviato da wjmat

questa stringa non è ancora a posto

F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\Users\Administrator\mpprbv.exe \s,

Si, in effetti non avevo ancora risolto il problema prima di fare il secondo log.
Ora che l'ho fatto non mi compare più quella riga. Ma di cosa si trattava? Era qualche processo malevolo?

Chiedo poi agli amministratori se ora la firma con l'eliminazione di due immagini va bene... Di nuovo grazie per l'aiuto e per i consigli.

[Chill-Out]

Originariamente inviato da Broncofix

Si, in effetti non avevo ancora risolto il problema prima di fare il secondo log.
Ora che l'ho fatto non mi compare più quella riga. Ma di cosa si trattava? Era qualche processo malevolo?

Chiedo poi agli amministratori se ora la firma con l'eliminazione di due immagini va bene... Di nuovo grazie per l'aiuto e per i consigli.

Hai PVT

[manidiburro]

vi allego il log!!
oltre a un controllo generale, sapreste dirmi cos'è la voce "FLEXnet Licensing Service - Macrovision Europe Ltd"?
grazie

[Baghi90]

Originariamente inviato da Chill-Out

Prova a ripristinare il sistema all'ultimo Punto di ripristino

Fatto,si collega..Metto la password per entrare con il mio account e rimanere Caricando all infinito.
Lasciato così per ben due ore.
dopo di che ho spento e mi sono collegato nuovamente in modalità provvisoria con rete.
Ormai ci sbatto la testa contro

[Chill-Out]

Originariamente inviato da Baghi90

Fatto,si collega..Metto la password per entrare con il mio account e rimanere Caricando all infinito.
Lasciato così per ben due ore.
dopo di che ho spento e mi sono collegato nuovamente in modalità provvisoria con rete.
Ormai ci sbatto la testa contro

Ti suggerirei di seguire esattamente nell'ordine indicato la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione.

Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione.

NB: i log andranno allegati in una nuova discussione che andrai ad aprire qui http://www.hwupgrade.it/forum/forumdisplay.php?f=125

[Baghi90]

Originariamente inviato da Chill-Out

Ti suggerirei di seguire esattamente nell'ordine indicato la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione.

Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione.

NB: i log andranno allegati in una nuova discussione che andrai ad aprire qui http://www.hwupgrade.it/forum/forumdisplay.php?f=125

ok..grazie mille,veramente.
Vedrò di fare domani che fra poco devo chiudere per continuare lo studio.
Grazie ancora

[Chill-Out]

Originariamente inviato da Baghi90

ok..grazie mille,veramente.
Vedrò di fare domani che fra poco devo chiudere per continuare lo studio.
Grazie ancora

Prego, buon studio