HiJackThis - Analisi Log - leggere Regole di Sezione

[Chill-Out]

Originariamente inviato da n.forciniti

Salve a tutti e grazie anticipatamente per l'aiuto che potrete dami.
Il mio problema è il seguente, 3gg fa avevo il pc "strano" ovvero era molto lento mi si aprivano finestre a caso, ecc., ho provato ha formattare una prima volta, e tutto sembrava funzionare correttamente, ma dopo un po avira mi segnala il fiel csrcs.exe, lo elimino, ed a ogni avvio windows mi da la scritta "Impossibile trovare il file csrss.exe.......", inoltre facendo continue scansioni con avira mi rileva sempre virus.
Pensando di risolvere il problema in modo veloce ho riformattato ma il risultato è identico. Dopo una ricerca sui forum, in particolare su questo, ho seguito la procedura da voi indicata e vi allego il mio log generato da HiJackThis.
Grazie.

Con il Browser chiuso esegui HJT, clicca su Do a system scan only, metti il segno di spunta nella casella bianca a sx delle sottoindicate voci e clicca su Fix checked

F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
O4 - HKLM\..\Policies\Explorer\Run: [csrcs] C:\WINDOWS\system32\csrcs.exe

aggiorna Avira ripeti scansione completa ed aggiornaci sul problema.

[Chill-Out]

Originariamente inviato da grasul

Ciao a tutti, facendo la solita manutenzione ho notato che sono attive diverse voci CTFMON.EXE, mi potete dire se devo fixarle e se ci sono anche altre voci da fixare? Grazie

Il log è OK, devi aggiornare IE alla versione 8 ed installare un Firewall.

[Chill-Out]

Originariamente inviato da Paulgas

Signori, ho bisogno di una mano da chi se ne intende più di me.
Non so per quale motivo, ma sono incappato in un trojan (Rootkit.gen), che Avira mi trova ad ogni riavvio fatto attraverso la chiusura "normale" di Windows. Sì, xkè l'effetto di questo trojan è che puntualmente dopo alcuni minuti di lavoro (dipende, da 1 o anche a 30...) il pc si blocca, muovo il mouse ma non posso cliccare niente. Il trojan lo vede su windows/temp/1.tmp.
Ho fatto un log con hijakthis, spero qualcuno mi dica cosa devo fare, non penso faccia benissimo al pc continuare a riavviarlo con il tasto di riavvio...

Ti suggerisco di seguire esattamente nell'ordine indicato la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione.

Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione.

NB: i log per il controllo andranno allegati in una nuova discussione che andrai ad aprire qui http://www.hwupgrade.it/forum/forumdisplay.php?f=125

[xcdegasp]

Originariamente inviato da Robialpa

Già, bello tonto eh

Ecco il link corretto:
hijackthis - log.log

il log è pulito, il malware che ti ha individuato è un noto falso positivo (falso allarme) sui driver del mouse della logitech quindi reinstalla il driver del mouse e poi fagli ignorare quel file che lo infastidisce.
sostituisci acrobat reader con foxit reader e poi fixa questa voce:

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime

[xcdegasp]

Originariamente inviato da Dani88

spero sia giusto stavolta...
HiJackFree.log

fixa:

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "H:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [msnmsgr] "C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe" /background

stavolta è perfetto, emergono parecchi servizi che puoi disabilitare inquanto inutili in sezione windows troverai le guide di riferimento

[Robialpa]

Originariamente inviato da xcdegasp

il log è pulito, il malware che ti ha individuato è un noto falso positivo (falso allarme) sui driver del mouse della logitech quindi reinstalla il driver del mouse e poi fagli ignorare quel file che lo infastidisce.
sostituisci acrobat reader con foxit reader e poi fixa questa voce:

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime

Molte grazie.
Ho eseguito diligentemente
Non conoscevo foxit, e lo trovo un'ottima alternativa ad acrobat dato che ultimamente acrobat non funzionava più correttamente.

[xcdegasp]

@ Robialpa: ottimo, poi quando a cadenza regolare tipo ogni mese fai un salto su questo link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente, così sei sicura d'avere sempre un pc costantemente aggiornato. purtroppo su windows è talmente facile dimenticare qualche aggiornamento di un programma che si usa raramente e questo può diventare una porta d'ingresso per il malware se capitassi su un sito costruito appositaente per sfruttare certe falle..

[Robialpa]

Originariamente inviato da xcdegasp

@ Robialpa: ottimo, poi quando a cadenza regolare tipo ogni mese fai un salto su questo link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente, così sei sicura d'avere sempre un pc costantemente aggiornato. purtroppo su windows è talmente facile dimenticare qualche aggiornamento di un programma che si usa raramente e questo può diventare una porta d'ingresso per il malware se capitassi su un sito costruito appositaente per sfruttare certe falle..

Anche questo non lo conoscevo. L'ho messo nei segnalibri, così non mi potrà sfuggire!
Ancora grazie!

Ho anche annotato la lista IP da bloccare come riportato sotto al tuo profilo. Conviene eh

[Fatjon]

Ciao a tutti,

è da 2 giorni che in continuazione Avira mi rileva in continuazione un Trojan su 'C:\Windows\temp\d8732d8.dll' ma non riesce ne a eliminarlo e nemmeno a spostarlo in quarantena, ho provato con Malwarebytes, Superantispyware, asquared... ma non lo rilevano, ho provato a eliminarlo con FileAssasin di Malwarebytes ma mi dice che non ha i diritti..nemmeno manualmente riesco ad eliminarlo..
Ho fatto una scansione con HitmanPro il quale me lo ha trovato subito e mi ha consigliato di eliminarlo facendo il riavvio del sistema, infatti nella fase di riavvio lo eliminava, ho avviato il sistema e non c'era più.. ma dopo un pò è ricomparso, e Avira ancora mi avvisa in continuazione..

non so più cosa fare..

Vi posto il log Hijack This, se qualcuno riesce a individuare il problema o a darmi una qualche dritta vi Ringrazio anticipatamente

[n.forciniti]

Originariamente inviato da Chill-Out

Con il Browser chiuso esegui HJT, clicca su Do a system scan only, metti il segno di spunta nella casella bianca a sx delle sottoindicate voci e clicca su Fix checked



aggiorna Avira ripeti scansione completa ed aggiornaci sul problema.

Grazie per le indicazioni fornite.
Il problema relativo al file csrcs.exe sembra risolto. Ho aggiornato Avira, ho eseguito due scansioni complete, e non ho rilevato virus.
Sono "pulito" oppure devo fare qualche altra cosa per debellare i maledetti virus & C.?

[xcdegasp]

Originariamente inviato da Robialpa

Anche questo non lo conoscevo. L'ho messo nei segnalibri, così non mi potrà sfuggire!
Ancora grazie!

Ho anche annotato la lista IP da bloccare come riportato sotto al tuo profilo. Conviene eh

consigliato ma non indispensabile se usi i dns di opendns, cioè anzicchè usare i dns che verrebbero assegnati in automatico dal provider al router puoi forzare l'uso dei dns di opendns che hanno un utulissima funzione di filtrare le richieste DNS (cioè commutare gli indirizzi scritti in stile umano in indirizzi numerici) e impedire che vengano contattati server ritenuti maligni o comunque fonte di infezione.
questo fa sì che venga creata una nuova barriera di protezione, proprio come usare una lista di ip da bannare, solo che ci pensa il dns a tenere la lista aggiornata e fare il lavoro di scrematura

dai una letta anche a Protezione del Computer: consigli e valutazioni lo troverai sicuramente molto utile e fonte di grande ispirazione

Originariamente inviato da Fatjon

Ciao a tutti,

è da 2 giorni che in continuazione Avira mi rileva in continuazione un Trojan su 'C:\Windows\temp\d8732d8.dll' ma non riesce ne a eliminarlo e nemmeno a spostarlo in quarantena, ho provato con Malwarebytes, Superantispyware, asquared... ma non lo rilevano, ho provato a eliminarlo con FileAssasin di Malwarebytes ma mi dice che non ha i diritti..nemmeno manualmente riesco ad eliminarlo..
Ho fatto una scansione con HitmanPro il quale me lo ha trovato subito e mi ha consigliato di eliminarlo facendo il riavvio del sistema, infatti nella fase di riavvio lo eliminava, ho avviato il sistema e non c'era più.. ma dopo un pò è ricomparso, e Avira ancora mi avvisa in continuazione..

non so più cosa fare..

Vi posto il log Hijack This, se qualcuno riesce a individuare il problema o a darmi una qualche dritta vi Ringrazio anticipatamente

sei su windows a 64bit quindi dovevi usare hijackFREE, in prima pagina hai tutte le indicazioni che ti servono

sei infetto da un rootkit quindi è inutile usare il solo hijackFREE, segui la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti
ovviamente in un nuovo thread e includi anche un report di una scansione completa fatta con avira

[Robialpa]

Originariamente inviato da xcdegasp

consigliato ma non indispensabile se usi i dns di opendns, cioè anzicchè usare i dns che verrebbero assegnati in automatico dal provider al router puoi forzare l'uso dei dns di opendns che hanno un utulissima funzione di filtrare le richieste DNS (cioè commutare gli indirizzi scritti in stile umano in indirizzi numerici) e impedire che vengano contattati server ritenuti maligni o comunque fonte di infezione.
questo fa sì che venga creata una nuova barriera di protezione, proprio come usare una lista di ip da bannare, solo che ci pensa il dns a tenere la lista aggiornata e fare il lavoro di scrematura

dai una letta anche a Protezione del Computer: consigli e valutazioni lo troverai sicuramente molto utile e fonte di grande ispirazione

So che ormai ho abusato del thread, ma rispetto al tuo ultimo intervento vorrei chiederti se abbia senso installare opendns se si accede ad internet tramite router?

[frankitiello]

da qualche giorno il mio computer impiega oltre 5 minuti per l'avvio.
In pratica è il tempo che passa da quando esce la schermata del desktop e il suono d'avvio di windows. Ho disinstallato avast 4.8 perchè non compariva più alcuna icona, ho provato a reinstallarlo ma l'installazione è stata bloccata da una sinistra schermata blu.
Non so cosa fare, invio il log di Hjc. Se potete aiutatemi, grazie mille!!

[Chill-Out]

Originariamente inviato da n.forciniti

Grazie per le indicazioni fornite.
Il problema relativo al file csrcs.exe sembra risolto. Ho aggiornato Avira, ho eseguito due scansioni complete, e non ho rilevato virus.
Sono "pulito" oppure devo fare qualche altra cosa per debellare i maledetti virus & C.?

Direi che siamo OK, ti suggerisco la lettura di questo 3D http://www.hwupgrade.it/forum/showthread.php?t=1726383

[Chill-Out]

Originariamente inviato da frankitiello

da qualche giorno il mio computer impiega oltre 5 minuti per l'avvio.
In pratica è il tempo che passa da quando esce la schermata del desktop e il suono d'avvio di windows. Ho disinstallato avast 4.8 perchè non compariva più alcuna icona, ho provato a reinstallarlo ma l'installazione è stata bloccata da una sinistra schermata blu.
Non so cosa fare, invio il log di Hjc. Se potete aiutatemi, grazie mille!!

Ciao e benvenuto, ti suggerisco di iniziare dagli aggiornamenti necessari, SP3 e IE8.

[frankitiello]

Salve, il mio computer continua ad essere molto lento in avvio.
Pochi minuti dopo aver installato Nod32, mi è stato segnalato questo messaggio d'allarme:

"02/04/2010 19.29.56 AMON file C:\WINDOWS\TEMP\sig22A.tmp Win32/Rootkit.Kryptik.AF cavallo di troia posto in quarantena. - cancellato NT AUTHORITY\SYSTEM Evento occorso su un file modificato dall'applicazione: C:\Programmi\Alwil Software\Avast5\AvastSvc.exe. Il file è stato inserito nella quarantena".

a) cosa devo fare?
b) c'è un modo per disinstallare Avast alternativo a Star--->Pannello di controllo---->Installazione applicazione----> rimuovi?

Nonostante clicchi ripetutamente su "rimuovi", Avast non si schioda da là!

Aiutatemi, ho fatto un log Hjc che allego.

Grazie mille a tutti per la pazienza e la competenza!

[Broncofix]

salve sig.ri, ho timore di aver preso qualche infezioncina tramite msn. dareste un'occhiatina al log del mio sistema. grazie a chiunque vorrà perdere 2 minuti del suo tempo per aiutarmi.

[Chill-Out]

Originariamente inviato da frankitiello

da qualche giorno il mio computer impiega oltre 5 minuti per l'avvio.
In pratica è il tempo che passa da quando esce la schermata del desktop e il suono d'avvio di windows. Ho disinstallato avast 4.8 perchè non compariva più alcuna icona, ho provato a reinstallarlo ma l'installazione è stata bloccata da una sinistra schermata blu.
Non so cosa fare, invio il log di Hjc. Se potete aiutatemi, grazie mille!!

Originariamente inviato da Chill-Out

Ciao e benvenuto, ti suggerisco di iniziare dagli aggiornamenti necessari, SP3 e IE8.

Originariamente inviato da frankitiello

Salve, il mio computer continua ad essere molto lento in avvio.
Pochi minuti dopo aver installato Nod32, mi è stato segnalato questo messaggio d'allarme:

"02/04/2010 19.29.56 AMON file C:\WINDOWS\TEMP\sig22A.tmp Win32/Rootkit.Kryptik.AF cavallo di troia posto in quarantena. - cancellato NT AUTHORITY\SYSTEM Evento occorso su un file modificato dall'applicazione: C:\Programmi\Alwil Software\Avast5\AvastSvc.exe. Il file è stato inserito nella quarantena".

a) cosa devo fare?
b) c'è un modo per disinstallare Avast alternativo a Star--->Pannello di controllo---->Installazione applicazione----> rimuovi?

Nonostante clicchi ripetutamente su "rimuovi", Avast non si schioda da là!

Aiutatemi, ho fatto un log Hjc che allego.

Grazie mille a tutti per la pazienza e la competenza!

Come indicato in precedenza è necessario aggiornare il SO al SP3, inoltre dal log di HJT risulta installa Avast per quale motivo installare il Nod?

Questo 3D è dedicato al solo controllo del log di HJT se desideri fare un controllo approfondito segui esattamente nell'ordine indicato la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione.

Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione.

NB: i log per il controllo andranno allegati in una nuova discussione che andrai ad aprire qui http://www.hwupgrade.it/forum/forumdisplay.php?f=125

[Chill-Out]

Originariamente inviato da Broncofix

salve sig.ri, ho timore di aver preso qualche infezioncina tramite msn. dareste un'occhiatina al log del mio sistema. grazie a chiunque vorrà perdere 2 minuti del suo tempo per aiutarmi.

Ciao, dal log non emerge nulla.

[paolo-fcb]

ciao regà, allora temo di avere 1 virus, si spegne il pc da solo, vediamo se da qui potete aiutarmi, grazie......

http://wikisend.com/download/913488/hijackthis.log

http://www.mediafire.com/file/zjjmgy...hijackthis.log

sono lo stesso file l'ho uploadato su due siti