HiJackThis - Analisi Log - leggere Regole di Sezione

[Peppe89]

Mi controllate il log. Grazie!
http://wikisend.com/download/463606/hijackthis.log

[Chill-Out]

Originariamente inviato da Peppe89

Mi controllate il log. Grazie!
http://wikisend.com/download/463606/hijackthis.log

Segui esattamente nell'ordine indicato la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione.

Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione.

NB: i log per il controllo andranno allegati in nuova discussione che andrai ad aprire qui http://www.hwupgrade.it/forum/forumdisplay.php?f=125

[peddinira]

Originariamente inviato da xcdegasp

scusa ti avevo confuso con un altro e le 4 ore di sonno non aiutano a essere lucidi... sì il resto è tutto ok
ottimo ora sei a posto, mi raccomando usalo con regolarità quel sito che ti agevola nel mantenere il pc aggiornato

Ma figurati! Grazie infinite a te ed a tutto il thread per il bellissimo lavoro che fate e per tutto il tempo che ci dedicate!

[xcdegasp]

Originariamente inviato da Peppe89

Mi controllate il log. Grazie!
http://wikisend.com/download/463606/hijackthis.log

fixa:

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [iTunesHelper] C:\Programmi\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [EWABQAF7KL] C:\DOCUME~1\Arianna\IMPOST~1\Temp\Bmd.exe
O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background (User 'Default user')
O20 - Winlogon Notify: avgrsstarter - avgrsstx.dll (file missing)
O20 - Winlogon Notify: csbdll - csbdll.dll (file missing)
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

il pc è infetto sicuramente a causa dei mancati aggiornamenti di avg (possiedi la 8.0 quando è da tempo uscita la 9.0), di java (possiedi la 1.5.0_04 quando attualmente siamo alla 1.6.0_20b) e acrobat reader (possiedi la 9.0 quando siamo alla 9.3)

segui la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti



per controllare quanti e quali aggiornamenti ti mancano nel pc puoi andare al seguente link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente tra cui acrobat reader che volendo potresti sostituire con il più funzionale "foxit reader" (http://www.foxitsoftware.com/pdf/reader/) che è sempre gratuito ma molto più leggero e veloce

[xcdegasp]

Originariamente inviato da peddinira

Ma figurati! Grazie infinite a te ed a tutto il thread per il bellissimo lavoro che fate e per tutto il tempo che ci dedicate!

grazie mille a te

[scudnet]

da notare che solo con hijackfree di emisoft anti malware alcuni file di sistema risultano in parte infetti, mentre con vari antivirus nulla!

esempio su specifiche risultati:

Name: svchost.exe
Good: 1
Bad: 2

svchost.exe
LogiGuard LLC offers premium internet security services. When we are on the internet, we need protection. With LogiGuard security products, we can surf, shop, and research without the fear of spyware, adware or any other malicious third party stealing our name, numbers, or passwords. Identity theft is a big issue nowadays and we can't afford to be without the absolute best protection on our PC or our network. LogiGuard can provide us with the latest in security news updates. Keep ourself in the know about the latest in virus and spyware definitions

svchost.exe %systempath%\ svchost.exe is a system process belonging to the Microsoft Windows Operating System which handles processes executed from DLLs.

svchost.exe %winpath%\ Win32.Jeefo.a


ho antivir personal

Log rimosso, leggere le Regole di sezione o la prima pagina del presente 3D.

[Ste868686]

ho preso un virus attraverso una crack che avast mi ha bloccato.
Mi pare che era un dropper o qualcosa del genere.

Cmq anche se avast l'ha fermato meglio controllare:

Notete qualcosa che non va, anche tipo processi inutli accesi?

grazie

[Ste868686]

e la lista dei processi automatici

[Chill-Out]

Originariamente inviato da Ste868686

ho preso un virus attraverso una crack che avast mi ha bloccato.
Mi pare che era un dropper o qualcosa del genere.

Cmq anche se avast l'ha fermato meglio controllare:

Notete qualcosa che non va, anche tipo processi inutli accesi?

grazie

Il Regolamento del Forum parla chiaro

1. Cosa non è consentito fare nel forum

11. Aprire discussioni riguardanti pornografia, pirateria (niente crack, serials, warez o qualsiasi richiesta tecnica di natura illecita - in particolare quelle su radio, televisione, satelliti e telefonia -) e pubblicità di alcun tipo, oltre a qualsiasi attivita' illecita ai sensi delle vigenti leggi italiane.

pertanto sono 5GG di sospensione.

Ricordo inoltre che il 3D è dedicato solo ed esclusivamente al controllo del log di HJT.

[Tanzoso]

ciao a tutti:-)
Facendo una scansione con HIJACKTHIS trovo questo servizio che prima non c'era:

O23 - Service: Application Driver Auto Removal Service (01) (appdrvrem01) - Protection Technology - C:\Windows\System32\appdrvrem01.exe

Su HIJACKTHIS SECURITIY informazione lo danno come neutrale,ma leggendo in giro per la rete dicono che potrebbe essere un ROOTKIT!!!!
Ho da poco installato daemon tool pro (potrebbe essere un servizio di questo programma!?)e mi ritrovo su gestione dispositivi/controller IDE ATA/ATAPI questi due canali:
ATA channel 01;ATA channel 02!!!
Questo servizio potrebbe attivare questi due canali?
Questi due canali fanno parte dei dischi virtuali di daemon tool?

Tante domande............... speriamo in qualche risposta!;-)

Ciao e grazie

[Tanzoso]

Originariamente inviato da Tanzoso

ciao a tutti:-)
Facendo una scansione con HIJACKTHIS trovo questo servizio che prima non c'era:
O23 - Service: Application Driver Auto Removal Service (01) (appdrvrem01) - Protection Technology - C:\Windows\System32\appdrvrem01.exe
Su HIJACKTHIS SECURITIY informazione lo danno come neutrale,ma leggendo in giro per la rete dicono che potrebbe essere un ROOTKIT!!!!
Ho da poco installato daemon tool pro (potrebbe essere un servizio di questo programma!?)e mi ritrovo su gestione dispositivi/controller IDE ATA/ATAPI questi due canali:
ATA channel 01;ATA channel 02!!!
Questo servizio potrebbe attivare questi due canali?
Questi due canali fanno parte dei dischi virtuali di daemon tool?

Tante domande................ speriamo in qualche risposta!;-)

Ciao e grazie

Mi faccio delle domande e mi do anche la risposta!

Non sono pazzo ma ho capito che si installa con un gioco che usa la protezione StarForce;-)

[Peppe89]

Originariamente inviato da xcdegasp

fixa:

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [iTunesHelper] C:\Programmi\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [EWABQAF7KL] C:\DOCUME~1\Arianna\IMPOST~1\Temp\Bmd.exe
O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background (User 'Default user')
O20 - Winlogon Notify: avgrsstarter - avgrsstx.dll (file missing)
O20 - Winlogon Notify: csbdll - csbdll.dll (file missing)
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

il pc è infetto sicuramente a causa dei mancati aggiornamenti di avg (possiedi la 8.0 quando è da tempo uscita la 9.0), di java (possiedi la 1.5.0_04 quando attualmente siamo alla 1.6.0_20b) e acrobat reader (possiedi la 9.0 quando siamo alla 9.3)

segui la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti



per controllare quanti e quali aggiornamenti ti mancano nel pc puoi andare al seguente link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente tra cui acrobat reader che volendo potresti sostituire con il più funzionale "foxit reader" (http://www.foxitsoftware.com/pdf/reader/) che è sempre gratuito ma molto più leggero e veloce

Grazie mille!!!

[Giant Lizard]

c'è un pc su cui sto lavorando, che ogni tanto si spegne (credo sia per surriscaldamento, ma non ne sono sicuro). Intanto ho fatto un'analisi con HiJackThis, vi allego il log.

Notate qualcosa che non va?

[sonovaio]

Originariamente inviato da sonovaio

Salve a tutti.
Da qualche settimana il mio pc è rallentato. E' un comportamento strano però, che non mi era mai capitato. Per farvelo capire ve ne descrivo i principali sintomi:
- quando sono su internet (sia con IE7 che con firefox) a un certo momento il processo dell'explorer va a 100 e internet si blocca. Devo sbloccarlo con task manager e ci mette sempre un bel pò
- dopo un paio d'ore dall'accensione la ventola attacca a girare a 1000 come se il pc fosse sotto sforzo (anche s enn sta lavorando affatto), per poi placarsi dopo qualche ora
- l'audio del pc è come se "ballasse". Già fin dall'accensione la classica musichetta di windows non è fluida come dovrebbe ma "trema". Lo stesso accade se mi connetto su youtube per vedere un video (che ogni tot secondi variabili da 2 a 5/6 "saltella") o se devo ascoltare musica con un lettore audio senza essere connesso a internet
- in generale il pc scorre in modo meno fluido.

Premetto che avevo un antivirus nod 32 e un firewall sygate. Oggi ho installato e fatto partire spybot, spyware blaster, spyware terminator, malwarebites (tutti mi hanno trovato un pò di cacca da togliere ma il problema è rimasto) e hijackthis di cui vi riporto il log.
Sapreste dirmi cosa dovrei togliere (quei BHO per esempio...)? O in che altro modo risolvere il problema?
Grazie



link del log di hijackthis:

http://wikisend.com/download/533056/hijackthis.log



link del log ottenuto con RSIT:

http://wikisend.com/download/699430/log.txt

Originariamente inviato da xcdegasp

vai al seguente link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente tra cui acrobat reader che volendo potresti sostituire con il più funzionale "foxit reader" (http://www.foxitsoftware.com/pdf/reader/) che è sempre gratuito ma molto più leggero e veloce

rsit è sempre hijackthis unica differenza che usa l'hijackthis aggiornato, quindi dopo aver aggiornato il pc riscarica hijackthis e rifai il log

Innanzitutto grazie per la risposta così dettagliata.
C'ho messo giorni per aggiornare sia da secunia che per fare altre operazioni di pulitura perchè di volta in volta scoprivo un problema nuovo.
Per esempio che non so per quale motivo non ricevevo più gli aggiornamenti da microsoft, e prima di installare la service pack 3 (che non avevo) ne ho dovuto installare altri 91.
Poi che il firewall di microsoft era disattivato e stavo solo col sygate.
Facendo una scansione col Nod 32 me la fa ma prima mi appare la scritta "Si è verificato un errore durante il controllo del settore di boot attivo di 1. Disco fisico. Errore nella lettura del settore."
e "Si è verificato un errore durante il controllo del settore MBR di 2. Disco fisico. Errore nella lettura del settore." (scritte che ancora appaiono se avvio il Nod).
Poi ho provato a scaricare combofix, ma non mi faceva partire la scansione perchè mi trovava il Norton Security Scan (che non avevo mai installato io!) e che c'è voluto l'ira di Dio per rimuoverlo! E dopo il combofix ho fatto una passata col CCleaner.
Insomma un bel casino (secondo voi Spyware Terminator m'intralcia qualcosa in tutto questo?).
Comunque, diciamo che dopo tutte queste procedure va leggermente leggermente meglio in quanto a velocità, riavvio e cose simili, ma i problemi veri e propri sono rimasti (specie quello dell'audio).

Cmq ecco i log richiesti a cui ho aggiunto combofix:
Sono quelli di hijackthis, rsit (dopo aver passato combofix) e dello stesso combofix:

hijackthis: http://wikisend.com/download/855690/hijackthis.log
rsit: http://wikisend.com/download/470944/log.txt
combofix: http://wikisend.com/download/447830/log.txt

[xcdegasp]

Originariamente inviato da Giant Lizard

c'è un pc su cui sto lavorando, che ogni tanto si spegne (credo sia per surriscaldamento, ma non ne sono sicuro). Intanto ho fatto un'analisi con HiJackThis, vi allego il log.

Notate qualcosa che non va?

la versione di hijackthis è obsoleta, fixa:

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [imjpmig] D:\IME\IMJP\imjpmig.exe /RemAdvDef /AIMEREG /Migration /SetPreload
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Programmi\Alcohol Soft\Alcohol 52\AxAutoMntSrv.exe" -automount

occhio a questo file che risulta in esecuzione:

C:\DOCUME~1\Setzuko\IMPOST~1\Temp\RtkBtMnt.exe

non è in esecuzione automatica quindi è qualcosa che è stato eseguito in quel momento

[xcdegasp]

Originariamente inviato da sonovaio

Innanzitutto grazie per la risposta così dettagliata.
C'ho messo giorni per aggiornare sia da secunia che per fare altre operazioni di pulitura perchè di volta in volta scoprivo un problema nuovo.
Per esempio che non so per quale motivo non ricevevo più gli aggiornamenti da microsoft, e prima di installare la service pack 3 (che non avevo) ne ho dovuto installare altri 91.
Poi che il firewall di microsoft era disattivato e stavo solo col sygate.
Facendo una scansione col Nod 32 me la fa ma prima mi appare la scritta "Si è verificato un errore durante il controllo del settore di boot attivo di 1. Disco fisico. Errore nella lettura del settore."
e "Si è verificato un errore durante il controllo del settore MBR di 2. Disco fisico. Errore nella lettura del settore." (scritte che ancora appaiono se avvio il Nod).
Poi ho provato a scaricare combofix, ma non mi faceva partire la scansione perchè mi trovava il Norton Security Scan (che non avevo mai installato io!) e che c'è voluto l'ira di Dio per rimuoverlo! E dopo il combofix ho fatto una passata col CCleaner.
Insomma un bel casino (secondo voi Spyware Terminator m'intralcia qualcosa in tutto questo?).
Comunque, diciamo che dopo tutte queste procedure va leggermente leggermente meglio in quanto a velocità, riavvio e cose simili, ma i problemi veri e propri sono rimasti (specie quello dell'audio).

Cmq ecco i log richiesti a cui ho aggiunto combofix:
Sono quelli di hijackthis, rsit (dopo aver passato combofix) e dello stesso combofix:

hijackthis: http://wikisend.com/download/855690/hijackthis.log
rsit: http://wikisend.com/download/470944/log.txt
combofix: http://wikisend.com/download/447830/log.txt

disinstalla sygate visto che è cessato il suo sviluppo 7 anni fa' e semmai installa OnlineArmor-free oppure Comodo-Firewall

fixa:

O4 - HKLM\..\Run: [Omnipage] C:\Programmi\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programmi\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programmi\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [swg] "C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\BLACKENED\Impostazioni locali\Dati applicazioni\Google\Update\GoogleUpdate.exe" /c
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O23 - Service: Utilità di pianificazione di LiveUpdate automatico - Unknown owner - C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)

ribadisco che acrobat reader lo potresti sostituire con il più funzionale "foxit reader" (http://www.foxitsoftware.com/pdf/reader/) che è sempre gratuito ma molto più leggero e veloce

spyware terminator può rallentare molto il pc se si attiva un opzione (attualmente non la ricordo in maniera mnemonica perchè è da un anno che non lo uso più) che consente una maggiore analisi pertanto ti consiglio di stopparlo e metetre in esecuzione automatica prevx.

devi reinstallare daemon tools inquanto compromesso da combofix e ti farei reinstallare nod32


inoltre hai solamente 1gb di spazio disco libero su 38gb disponibili, tyroppo poco per avere windows stabile!!!

[Giant Lizard]

Originariamente inviato da xcdegasp

la versione di hijackthis è obsoleta, fixa:

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [imjpmig] D:\IME\IMJP\imjpmig.exe /RemAdvDef /AIMEREG /Migration /SetPreload
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Programmi\Alcohol Soft\Alcohol 52\AxAutoMntSrv.exe" -automount

occhio a questo file che risulta in esecuzione:

C:\DOCUME~1\Setzuko\IMPOST~1\Temp\RtkBtMnt.exe

non è in esecuzione automatica quindi è qualcosa che è stato eseguito in quel momento

in che senso è obsoleta? L'ho scaricato dal sito proprio ieri, dovrebbe essere l'ultima versione, no?

fixare...come? Col programma in automatico?

Per quanto riguarda il file in esecuzione, pare sia un processo della scheda audio (audio che, tra l'altro, su questo computer ha vari problemi da sempre), è normale? Che consigli di fare?

Grazie mille dell'aiuto

[xcdegasp]

probabilmente non hai visitato il vero sito del produttore perchè sul sito trendmicro l'ultima versione è v2.0.4
http://free.antivirus.com/hijackthis/


per fixa intendo:
riesegui HiJackThis optando per l'opzione "Scan Only", al termine il pulsante in basso a sinistra si chiamerà "Fix Checked", quindi seleziona le righe da fixare e premi tale tasto.


allora potrebbe essere corretto magari prova a riscaricare i driver audio dal sito della scheda madre (o del produttore del notebook nel caso fosse un notebook) e intsllare quelli nuovi

[Ste868686]

ho preso un virus prontamente bloccato da avast
C'è qualcosa che non va? Anche processi inutili

Ho win 7 64 bit

[endimen]

Stavolta tocca al portatile!

Quando avvio qualche programma compare sempre più spesso questo messaggio:

C:\Windows\System32|wshBth.dll non è destinato all'utilizzo con Windows o contiene un errore. Provare a reinstallare il programma dal supporto di installazione originale o rivolgersi all'amministratore di sistema o al fornitore del software

e in qualche caso impedisce il corretto funzionamento del programma. In particolare non riescono più i trasferimenti dei file tramite bluetooth.

La scansione di Prevx ha indentificato come rischio elevato c:\windows\nircmd.exe

Ecco il log di hijackthis