GUIDA alla rimozione virus da MSN Messenger (Thread semi-ufficiale).

[Riverside]

Lancetta, volevo un tuo parere: ho provato EliStartA (a parte che non mi ha trovato nulla) però ho visto che esegue una analisi approfondita e completa del sistema (e ripulisce tutto), quindi stavo pensando di aggiungerlo alla Guida, tu che ne pensi?

[Riverside]

Originariamente inviato da Leopredator

oi! ragazzi io non ho detto questo! solo il fatto che in questo forum si discute di informatica vuol dire che siete dei geni, io voglio solo essere sicuro al 110% di non mandare a puttane il computer...

Nessuno di noi ha la pretesa di essere un genio.
Se ti vuoi fare una idea di cosa succede all'interno di questa discussione (vedi utenti che, come te, ci sono passati) rileggilo tutto, con molta calma, e poi fai un pò come credi.
Non dobbiamo essere noi a convincerti.

[lancetta]

Ma quale geni però fratello cerca di essere un attimo più elastico mentalmente se vuoi essere sicuro che non scriviamo cazzate leggiti i post di questo topic e vedrai che tanta gente ha risolto così,con un aiuto, aggratis che non fa mai male, e con la soddisfazione di essersi arricchiti un pizzico in piu sull'uso del pc con nuove consapevolezze.Questo è il ns spirito.Se vuoi un altra certezza cerca nel forum le discussioni mie e del socio,ti farai sicuramente un mare di risate,me vedrai anche quanta gente abbiamo aiutato,semplicemente perchè ci piace e facciamo anche noi ulteriore esperienza.Poi arrivi tu e ci dici: Non è che combino casini? Permetti che le palline girino un pò?E comunque scusami per come mi sono rivolto a te..però sai com'è......

[lancetta]

Originariamente inviato da Riverside

Lancetta, volevo un tuo parere: ho provato EliStartA (a parte che non mi ha trovato nulla) però ho visto che esegue una analisi approfondita e completa del sistema (e ripulisce tutto), quindi stavo pensando di aggiungerlo alla Guida, tu che ne pensi?

Non è male come idea basta che mi nomini nella guida no scherzo,comunque come aggiunta può accompagnare poichè ristabilisce e reintegra abolizioni create dal malware..a tal proposito ne ho trovato un altro.però è un pò vecchiotto lo testo e ti faccio sapere.

[Riverside]

Originariamente inviato da lancetta

Non è male come idea basta che mi nomini nella guida no scherzo,comunque come aggiunta può accompagnare poichè ristabilisce e reintegra abolizioni create dal malware..a tal proposito ne ho trovato un altro però è un pò vecchiotto lo testo e ti faccio sapere.

Perfetto, aspetto che tu testi l'altro e mi fai sapere, poi aggiorno la Guida e lo aggiungiamo sotto la voce quartieri spagnoli
Oggi, ho dato una occhiata sommaria a quel Sito, ed ho notato che di tool di quel genere ce ne sono diversi: sarebbe da verificare quali siano i più utili e, segnalarti sul Forum, come strumenti di supporto.

[lancetta]

Originariamente inviato da Riverside

Perfetto, aspetto che tu testi l'altro e mi fai sapere, poi aggiorno la Guida e lo aggiungiamo sotto la voce quartieri spagnoli
Oggi, ho dato una occhiata sommaria a quel Sito, ed ho notato che di tool di quel genere ce ne sono diversi: sarebbe da verificare quali siano i più utili e, segnalarti sul Forum, come strumenti di supporto.

Infatti è lì che sto pescando a piene mani Notte socio

[Em4nu3le]

Originariamente inviato da Riverside

Log MSNFIX pulito (ovvero non ha rilevato nulla che possa ricondurre ad un virus preso tramite MSN Messenger)

Log di Hthis:
1) aggiorna Internet Explorer (hai ancora la versione 6)

Questi sono da fixare:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [Application Layer Gateway Service] aIg.exe
O4 - HKLM\..\RunServices: [Application Layer Gateway Service] aIg.exe
O4 - HKLM\..\RunServices: [] .exe

Comunque cè qualcosa che non mi convince, quindi:

SYSCLEAN TRENDMICRO clicca qui per il download
Non è necessaria l'installazione (è un tool stand-alone); una volta lanciato, individua e rimuove gli eventuali virus worm e malware presenti nella memoria del P.C., nel file di registro di Windows, nelle cartelle di sistema e in qualsiasi altra ubicazione del disco locale.
● crea, sul Desktop, una apposita cartella sul Desktop e, al suo interno, inserisci Sysclean
● scarica le definizioni dei virus (vengono aggiornate, quotidianamente):
clicca qui per il download
● scompatta all’interno della cartella creata, il file zippato contenente le definizioni
● disabilita il ripristino configurazione di sistema
● riavvia il P.C., in modalità provvisoria
● esegui Sysclean ed attendi il responso finale.

Come li fixo i file che mi hai indicato?

Come riavvio in modalità provvisoria?

Perdona l'ignoranza

[Houdini87]

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 9.29.25, on 16/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\a-squared Free\a2service.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Intel Audio Studio\IntelAudioStudio.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Logitech\Video\LogiTray.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\Winamp\Winampa.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Programmi\QuickTime\QTTask.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Programmi\Microsoft Encarta\Microsoft Encarta 2007 - Premium DVD\EDICT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\LVComsX.exe
C:\Programmi\Logitech\Video\FxSvr2.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programmi\MSN Messenger\livecall.exe
C:\Programmi\MSN Messenger\usnsvc.exe
C:\Programmi\PeerGuardian2\pg2.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\utente\Desktop\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
R3 - URLSearchHook: (no name) - {bd0e4d83-654e-4213-965b-fcbe887061f4} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {49E0E0F0-5C30-11D4-945D-000000000000} - C:\WINDOWS\system32\iehelper3.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [IntelAudioStudio] "C:\Programmi\Intel Audio Studio\IntelAudioStudio.exe" TRAY
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programmi\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programmi\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programmi\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [StartCCC] C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKCU\..\Run: [E07IXLRD_158781] "C:\Programmi\Microsoft Encarta\Microsoft Encarta 2007 - Premium DVD\EDICT.EXE" -m
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Barra di ricerca di Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programmi\File comuni\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{C40908A6-38C4-4035-9D11-7A7BC6C80454}: NameServer = 85.37.17.49 85.38.28.91
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programmi\a-squared Free\a2service.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programmi\File comuni\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

--
End of file - 6905 bytes


ecco qui dopo aver finito con la terza parte....

[Riverside]

Originariamente inviato da Houdini87

ecco qui dopo aver finito con la terza parte....

Ok, il log è a posto.
Ti suggerisco:
● di aggiornare il Java (hai, ancora la versione 1.5.0.6);
● di aggiornare MSN Messenger (hai, ancora la versione 6.0);
● di prendere in seria considerazione la sostituzione dell'antivirus (sul Forum trovi il Thread Ufficiale, dove potrai reperire tutte le informazioni che ti servono o chiedere consigli).

Per quanto riguarda i software indicati nella Guida, lascia installati, CCleaner, Asquared e ADS Revealer.
Il primo utilizzalo con frequenza, il secondo almeno con cadenza settimanale, il terzo ogni tanto.
Tieni, anche Hthis, potrebbe, sempre, tornare utile.

[Yack]

ci ho messo un attimo ma ho trovato quello che mi avevi detto: in user init c'era questo, effettivamente il nome è duplicato! Significa che sta per esplodermi il pc?

c:\windows\system32\userinit.exe,userinit.exe

[Houdini87]

Originariamente inviato da Riverside

Ok, il log è a posto.
Ti suggerisco:
● di aggiornare il Java (hai, ancora la versione 1.5.0.6);
● di aggiornare MSN Messenger (hai, ancora la versione 6.0);
● di prendere in seria considerazione la sostituzione dell'antivirus (sul Forum trovi il Thread Ufficiale, dove potrai reperire tutte le informazioni che ti servono o chiedere consigli).

Per quanto riguarda i software indicati nella Guida, lascia installati, CCleaner, Asquared e ADS Revealer.
Il primo utilizzalo con frequenza, il secondo almeno con cadenza settimanale, il terzo ogni tanto.
Tieni, anche Hthis, potrebbe, sempre, tornare utile.

messanger ho 8.1....
per java come faccio ad aggiornarlo??

[Riverside]

Originariamente inviato da Em4nu3le

Come li fixo i file che mi hai indicato?

● Rilancia Hthis e fai caricare la lista
● nella lista cerchi le voci che ti ho indicato ed a fianco di ciascuna di esse (a sinistra) metti la spunta
● infine, clicca sul tasto Fix Checked

Originariamente inviato da Em4nu3le

Come riavvio in modalità provvisoria?

Lascia perdere questo passaggio ed esegui questo:

Scarica ELISTARTA TOOL: clicca qui per EliStartA
● scorri, fino in fondo, la pagina Web che si aprirà e clicca su Descargar ElistarA per scaricare il Tool (per comodità, posizionalo su Desktop)
● una volta scaricato, lancia il Tool
● alla prima domanda, rispondi SI
● alla seconda, rispondi NO
● alla terza rispondi SI
● si apre la finestra di scansione, clicca su Explorar
● terminata la scansione, chiudi il Tool e provvedi a riavviare il sistema
● verrà rilasciato un log dal nome infosat.txt in C: (clicca su Risorse del Computer, poi su Disco Locale C:, trovi il log, e lo alleghi, alla discussione, con la funzione Gestisci allegati)
Nota bene: dopo aver lanciato Explorer, si renderà necessario reimpostare la propria pagina Web predefinita

Riallega, anche, un nuovo log di Hthis.

[rew40]

ecco i log... comunque a quanto ho capito su msnfix non ha trovato niente... quindi forse il problema non è di msn... ditemi un pò voi

[Riverside]

Originariamente inviato da Houdini87

per java come faccio ad aggiornarlo??

● Start
● Panello di Controllo (se non viene visualizzato in modalità classica, in alto a sinistra clicca sulla voce passa alla visualizzazione classica)
● clicca sulla icona Java per accedere al suo pannello di controllo
● clicca sulla scheda Aggiornamento e poi sul pulsante Aggiorna adesso

[Houdini87]

Originariamente inviato da Riverside

● Start
● Panello di Controllo (se non viene visualizzato in modalità classica, in alto a sinistra clicca sulla voce passa alla visualizzazione classica)
● clicca sulla icona Java per accedere al suo pannello di controllo
● clicca sulla scheda Aggiornamento e poi sul pulsante Aggiorna adesso

come mai tu hai letto che ho messanger 6.0 e invece ho l'8.1??coem mai non l'ha letto che ho l'8.1??

[nellosamr]

ieri ho ricevuto (da una persona fidata) il file img112 (o qualcosa di simile) con qualcosa di scritto...dubitando ho stupidamente accettato e ora mi trovo un worm nel pc
ho seguito la procedura ed ecco i log:

[Riverside]

Originariamente inviato da rew40

ecco i log... comunque a quanto ho capito su msnfix non ha trovato niente... quindi forse il problema non è di msn... ditemi un pò voi

Non esattamente tutta sta roba, che si trova in C:\WINDOWS deve sparire (Risorse del Computer – Disco Locale C: - apri la cartella Windows e, uno alla volta, li elimini - poi svuota il Cestino):

DC58712.zip
hahahha.zip
img09-11-07.zip
img4851.zip
myspace.zip
pic5485.zip
September11thTribute.zip
DC58712.zip
hahahha.zip
img09-11-07.zip
img4851.zip
myspace.zip
pic5485.zip
September11thTribute.zip

Per quanto riguarda il log di Hthis:
Aggiorna Internet Explorer (sei ancora alla versione v6.00 SP2)

Queste due voci sono da fixare:
C:\WINDOWS\winfp.exe
O4 - HKLM\..\Run: [Audio Device Manager] winfp.exe

Questa voce:
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
è un riferimento alla scheda audio Realtek (la puoi fixare oppure, lasciala li; il mio suggerimento è di fixarla)

Poi, prosegui e completa la terza parte della procedura.

[lancetta]

Originariamente inviato da Yack

ci ho messo un attimo ma ho trovato quello che mi avevi detto: in user init c'era questo, effettivamente il nome è duplicato! Significa che sta per esplodermi il pc?

c:\windows\system32\userinit.exe,userinit.exe

devi aprire un post a parte qui http://www.hwupgrade.it/forum/forumdisplay.php?f=125 perchè hai risolto un problema ma c'è ne sono altri..tranquillo...che il tuo pc non farà bum!
nel post riporta che cosa ha trovato panda antirootkit
e fa fareun giro a questo elistarA http://www.zonavirus.com/datos/desca...8/elistara.asp in fondo alla pagina Descargar ElistarA
lancialo, ti farà tre domande all'inizio,rispondi si tranne alla seconda, dopo di chè fagli fare una scansione (Explorar) ..quando termina rilascia un log infosat.txt in C:

[coast]

Ciao a tutti, seguo il forum solo da spettatore, ma adesso ho un problema.
Ho accettato un file zip da msn, ed ora mi ritrovo "infettato",
Come antivirus uso Antivir Guard, ed ho gia fatto una scansione con spyboot ma niente...

Il virus credo che sia il famoso myphoto ect...Infatti, se guardo tra le conversazioni salvate ci sono messaggi del tipo:

[Osservare che cosa ho trovato: immagini più nude della o di Justin Timberlake :-O


Guardare il mio nuovo film ballante :$ :-O


Jany y Fabry sta inviando C:\WINDOWS\JPGimage5.zip



Ma io non ho mai inviato e scritto queste cose...help me pleae

praticamente il virus mi scrive da solo queste cose...

[lancetta]

Originariamente inviato da Houdini87

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
R3 - URLSearchHook: (no name) - {bd0e4d83-654e-4213-965b-fcbe887061f4} - (no file)

Fixa ste 2 voci..niente di pericoloso (Yahoo e Coolstreaming)solo che sono vuote quindi inutili
e se volete un consiglio evitate di installare tutte ste toolbar che non fanno altro che appesantire e falsarvi i risultati di ricerca....