1000 tentativi inutili...worm e dialer??

[Astertrilly]

Ciao a tutti!
Non sono un'esperta, ma anche grazie ai vostri consigli su questo forum sto imparando molto!
Dunque..appena formattato il notebook ho avuto la BRILLANTE idea di installare l'update di Kav navigando col solo SP1...nn vi dico...una festa x virus e company.
Continuamente mi viene richiesto di connettermi (connessione remota)...è un dialer??
come è possibile che nn riesca a rimuoverlo???
vado con ordine, questo è quello che ho fatto:
- scansione con BitDefender 8
- scansione con Ad Aware
- scansione con Ewido
- log di HijackThis da cui ho eliminato un LINKBOT.M WORM, tipicamente collegato con C:\WINDOWS\system32\winIogon.exe

Vi posto il log, nn ho eliminato altro.
Ho tralasciato qualcosa?Devo fare qualcos'altro??sono disperata....nn ditemi che devo formattare un'altra volta....uffa

Logfile of HijackThis v1.99.1
Scan saved at 0.56.40, on 11/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\Programmi\Softwin\BitDefender8\bdmcon.exe
C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programmi\Softwin\BitDefender8\bdnagent.exe
C:\Documents and Settings\utente\Desktop\ewido anti-spyware 4.0\ewido.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe
C:\WINDOWS\system32\wuauclt.exe
c:\SWSetup\SP30329\agrsmmsg.exe
C:\Documents and Settings\utente\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.virgilio.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {05041043-0C5F-46A4-A959-58D2A1F73262} - C:\WINDOWS\System32\qomkigd.dll
O4 - HKLM\..\Run: [Cpqset] C:\Programmi\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [Windows Logon Application] C:\WINDOWS\system32\winIogon.exe
O4 - HKLM\..\Run: [BDMCon] "C:\Programmi\Softwin\BitDefender8\bdmcon.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "C:\Programmi\Softwin\BitDefender8\bdnagent.exe"
O4 - HKLM\..\Run: [!ewido] "C:\Documents and Settings\utente\Desktop\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Invia a &Bluetooth - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1168284605875
O20 - Winlogon Notify: qomkigd - C:\WINDOWS\SYSTEM32\qomkigd.dll
O23 - Service: Adobe LT Service (ALTS) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Windows Terminal Services - Unknown owner - C:\WINDOWS\system32\spoolsc.exe (file missing)
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

[bReAkDoWn]

Riavvia il sistema in modalità provvisoria (all'avvio premi f8 prima che compaia la schermata di caricamento di Windows e seleziona modalità provvisoria).
Quindi esegui hijackthis, seleziona do a system scan only, spunta le seguenti linee e premi fix checked.

O2 - BHO: (no name) - {05041043-0C5F-46A4-A959-58D2A1F73262} - C:\WINDOWS\System32\qomkigd.dll
O4 - HKLM\..\Run: [Windows Logon Application] C:\WINDOWS\system32\winIogon.exe
O20 - Winlogon Notify: qomkigd - C:\WINDOWS\SYSTEM32\qomkigd.dll
O23 - Service: Adobe LT Service (ALTS) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)
O23 - Service: Windows Terminal Services - Unknown owner - C:\WINDOWS\system32\spoolsc.exe (file missing)

Riavvia in modalità standard e controlla con un nuovo log di hjthis che le voce eliminate non siano ricomparse.
Alla fine fai una scansione con l'antivirus aggiornato, per togliere eventuali tracce rimaste.
Ciao!

[Astertrilly]

Grazie della risposta!
Ho fatto come mi hai detto, ma i file WinIogon nn me li elimina xchè mi dice che devo chiudere tutte le finestre Windows Explorer e Internet Explorer aperte xchè l'operazione vada a buon fine!!
sono disperata....ma come diavolo si fa a togliere questo simpatico file???

[bReAkDoWn]

Originariamente inviato da Astertrilly

Grazie della risposta!
Ho fatto come mi hai detto, ma i file WinIogon nn me li elimina xchè mi dice che devo chiudere tutte le finestre Windows Explorer e Internet Explorer aperte xchè l'operazione vada a buon fine!!
sono disperata....ma come diavolo si fa a togliere questo simpatico file???

E' rimasto solo il file o anche la voce nel log?

[Astertrilly]

la voce del log purtroppo!!!
queste voci nn si cancellano:

O2 - BHO: (no name) - {05041043-0C5F-46A4-A959-58D2A1F73262} - C:\WINDOWS\system32\qomkigd.dll

O20 - Winlogon Notify: qomkigd - C:\WINDOWS\SYSTEM32\qomkigd.dll

O23 - Service: Adobe LT Service (ALTS) - Unknown owner - C:\WINDOWS\system32\msasvc.exe (file missing)

nn c'è rimedio??

[bReAkDoWn]

Sì, il rimedio c'è.. Adesso ti fornisco quello più risolutivo:

Puoi scaricare the avenger da qua: http://swandog46.geekstogo.com/avenger.zip
Esegui seleziona input script manually, lente di ingrandimento, copia lo script nella finestra, click done, semaforo verde e rispondi di sì. Il pc sarà riavviato.
---- SCRIPT DA COPIARE ---

registry values to replace with dummy:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

Files to delete:
C:\WINDOWS\SYSTEM32\qomkigd.dll
C:\WINDOWS\system32\msasvc.exe

registry keys to delete:
HKLM\system\controlset002\services\ALTS
HKLM\system\controlset002\services\ALTS
HKLM\system\controlset001\services\ALTS
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{05041043-0C5F-46A4-A959-58D2A1F73262}

Quando il sistema si sarà riavviato ricontrolla con hijackthis.

[Astertrilly]

6 un grande!!
allora: questo è il risultato di avenger:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\xwhvquoy

*******************

Script file located at: \??\C:\WINDOWS\system32\bkhminku.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\SYSTEM32\qomkigd.dll deleted successfully.


File C:\WINDOWS\system32\msasvc.exe not found!
Deletion of file C:\WINDOWS\system32\msasvc.exe failed!

Could not process line:
C:\WINDOWS\system32\msasvc.exe
Status: 0xc0000034



Registry key HKLM\system\controlset002\services\ALTS not found!
Deletion of registry key HKLM\system\controlset002\services\ALTS failed!

Could not process line:
HKLM\system\controlset002\services\ALTS
Status: 0xc0000034



Registry key HKLM\system\controlset002\services\ALTS not found!
Deletion of registry key HKLM\system\controlset002\services\ALTS failed!

Could not process line:
HKLM\system\controlset002\services\ALTS
Status: 0xc0000034

Registry key HKLM\system\controlset001\services\ALTS deleted successfully.
Registry value HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|AppInit_DLLs replaced with dummy successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{05041043-0C5F-46A4-A959-58D2A1F73262} deleted successfully.

Completed script processing.

*******************

Finished! Terminate.


e questo è il nuovo log:

Logfile of HijackThis v1.99.1
Scan saved at 14.03.11, on 11/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe
C:\Programmi\Softwin\BitDefender8\bdmcon.exe
C:\Programmi\Softwin\BitDefender8\bdnagent.exe
C:\Documents and Settings\utente\Desktop\ewido anti-spyware 4.0\ewido.exe
C:\WINDOWS\AGRSMMSG.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\utente\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.virgilio.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [Cpqset] C:\Programmi\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [BDMCon] "C:\Programmi\Softwin\BitDefender8\bdmcon.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "C:\Programmi\Softwin\BitDefender8\bdnagent.exe"
O4 - HKLM\..\Run: [!ewido] "C:\Documents and Settings\utente\Desktop\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Invia a &Bluetooth - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1168284605875
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)



pensi che sia tutto apposto ora??

[bReAkDoWn]

Il log adesso è pulito. All'inizio parlavi di Kaspersky.. disinstalla bitdefender, perchè 2 antivirus assieme convivono male, aggiorna kaspersky e fai una scansione completa.
Se poi non riscontri altri problemi vai tranquilla.

[Astertrilly]

ora ho messo la versione free di AVG 7.5, ma mi dice che il database interno dei virus è obsoleto e nn riesco ad aggiornarlo. Poi ho Bitdefender 8 Free. Ma prima avevo Kav che ora è disinstallato. Cosa mi consigli di tenere come buon antivirus?? e firewall-antispyre? ho ad aware e ewido sul pc.
Nn me ne intendo molto, si vede eh?

[wearethechampions]

per quest'ultima richiesta domanda sui 3D ufficiale

Thread uffciale degli antivirus A PAGAMENTO
http://www.hwupgrade.it/forum/showthread.php?t=1003156
Thread ufficiale degli antivirus FREEWARE
http://www.hwupgrade.it/forum/showthread.php?t=1003144