[risolto][win XP] Registrar.exe - problema di eliminazione

[Roberto Mura]

Ciao a tutti! Ho un problema con uno spyware dal nome TODO.exe; in un'altra discussione si è detto che viene ricollegato con registrar.exe etc... io questo spyware lo posso tenere a bada col mio Zone Alarm, ma tuttavia è ben comprensibile come anch'io desideri sbarazzarmene al più presto.

Ho seguito le istruzioni rilasciate fedelmente, ma SDFix in provvisoria non ha rilevato nulla, e HJT non fixa smvss.exe.

Che fare?

Inoltre, mi vengono dei dubbi: per far lavorare SDFix in provvisoria, mi sono loggato come administrator, è giusto? O devo loggarmi diversamente? Inoltre, come si fa a fixare quel file? Se lo cerco con HJT, mi dice che non è un file LOG valido. Dunque? Ripeto, neanche SDFix ha trovato nulla in provvisoria, e il report segnala "No Trojan Files Found". Aiuto, per favore! Il log di gmer non riesco a caricarlo, mi dà errore, non essendo supportato, e ve lo invio come file .txt

[murack83pa]

ciao,segui queste istruzioni(ogni passo è importante):

1-Provvedi a svuotare del suo contenuto la cartella Prefetch procedendo in questa maniera:
● clicca su Risorse del Computer
● clicca su Disco locale C:
● cerca, all’interno delle cartelle che verranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimini tutte le voci conservate al suo interno (mi raccomando, non eliminare la cartella)

2-Scarica CCLEANER: DOWNLOAD
una volta installato, lancia il programma, nel menu di sinistra portati alla voce Opzioni e nella finestra successiva clicca su:
● Impostazioni, e spunta la voce Cancellazione sicura (lenta)
poi su:
● Avanzate, togli la spunta alla voce Cancella solo file più vecchi di 48 ore
● alla voce Pulizia, spunta tutte le voci comprese nella sezione Avanzate
● nel menu a sinistra, clicca sulla voce Pulizia, clicca su tasto Avvia Pulizia per eseguire la scansione
● sempre nel menu a sinistra, clicca sulla voce Registro, spunta tutte le voci comprese nella sezione, clicca sul tasto Trova problemi ed avvia una scansione; al termine della scansione clicca sulla voce Ripara selezionati e prosegui

NB:è importante utilizzare CCLEANER nelle modalità su indicate

3-segui la guida alla disinfezione, esegui tutti i programmi indicati, e poi a fine scansione posta tutti i log

questi programmi c permettono di avere uno screen completo dell'infezione del tuo pc (oltre che a debellare molte infezioni), x eventuali dubbi o problemi, chiedi pure

NB: Il ripristino configurazione sistema è fondamentale che sia disattivato,altrimenti la procedura è totalmente inutile

precisazioni sui programmi della guida: PREVX CSI è un tool di rilevamento malware, ma nn rimuove nulla, a fine scansione nn devi scaricare la versione a pagamento x la rimozione, chiudi la finestra di dialogo, nn chiudere il programma, e vai su options e poi save log x poter poi pubblicare qui il log (il rapporto di scansione)

come scansione online fai quella con bitdefender (l'unica che rimuove i virus insieme a quella di f-secure):
http://www.bitdefender.com/scan8/ie.html

riguardo infine ESET ADS REVEALER, nn ti preoccupare dei nomi che compaiono a fine scansione, cancella tutte le voci, nn elimini alcuni file,ok?

MODALITA' DI PUBBLICAZIONE DEI LOG RICHIESTI:

1- se il relativo txt generato è max 20 kb, allegarlo alla discussione, utilizzando l'apposita funzione GESTISCI ALLEGATI;
2- se superiore a 20 kb, ogni singolo log, esclusivamente in formato txt, deve essere caricato su FileUp, pubblicando, per ogni log, il link che verrà rilasciato per il download.
E' preferibile pubblicare i log in un unico post

[Roberto Mura]

CCleaner ce l'ho, i ripristini sono disattivati. Grazie per la vostra attenzione, domani eseguo le tappe e vi farò sapere in mattinata (non risiedo in Italia e da me è notte fonda). Grazie ancora.

[Roberto Mura]

Nella scasione di ADS appaiono però cose troppo personali, come indirizzi e-mail di familiari...devo proprio rendere pubblici certi dati?

[lancetta]

Originariamente inviato da Roberto Mura

Nella scasione di ADS appaiono però cose troppo personali, come indirizzi e-mail di familiari...devo proprio rendere pubblici certi dati?

no.... cancella e basta

[Roberto Mura]

Ho fatto le scansioni, tranne quella online di bitdefender (ogni 2-3 ore qua ci sono dei piccoli black-out, che disabilitano la connessione ad internet per alcuni secondi, a sufficienza per bloccare le scansioni lunghe ) Ad ogni modo, ho 4 log da mostrarvi, spero siano sufficienti. Ho eliminato (o quarantenato, secondo le vostre istruzioni) alcuni problemi, ma credo che quel balordo di TODO ancora ci sia.

[Roberto Mura]

Ho eseguito le scansioni, tranne quella con bitdefender, pioché qua, a parte la connessione lenta che rallenta le cose, ho il problema dei mini black-out che invalidano la connessione per alcuni secondi, bloccando ogni operazione troppo lunga (per i download grandi, ho dovuto installare un tool di memorizzazione e ripresa dei download ) Ho quarantenato alcune infezioni che a-squared mi ha indicato, ma quel balordo di TODO ancora è presente. Ho 4 log da mostrare, spero siano sufficienti. Ciao!

http://www.fileup.itadib.com/downloa...WBZhJZYVxFhg89

http://www.fileup.itadib.com/downloa...3YmVeCQ69PQJw8

http://www.fileup.itadib.com/downloa...eflhJWorq6nnnn

http://www.fileup.itadib.com/downloa...4rzJIWpauvvlKq

[xcdegasp]

sei infetto dal vundu:
http://www.hwupgrade.it/forum/showthread.php?t=1603273

quindi segui la procedura descritta nel primo post di quel thread e vedrai che riotterrai il pc funzionante

[Roberto Mura]

Allora, ho brutte notizie.

Il malware non è Vundo, perché nessuna delle scansioni in provvisoria ha trovato nulla (proprio nulla!!); l'unico che ha trovato qualcosa è CSI, ma come sapete non posso fare niente, perché mi invita ad acquistare la licenza per eliminare il file.

Presento i log, e faccio notare che alcuni programmi non ne hanno creati, in quanto la scansione ha dato esito negativo.

Quel maledetto TODO.exe chiede ancora i permessi per accedere al web, permessi che nego ogni volta, ma impostare la regola del firewall per bloccarlo sempre è impossibile, in quanto, come segnalato da altri utenti nella discussione a cui mi ero agganciato, l'eseguibile, che sta nella directory Cocuments and Settings\Roberto\Impostazioni locali\Temp, cambia di continuo il numero iniziale, così da ottenere nomi come 85exhmunml43.exe, o 17exhmunml43.exe, etc...

Come noterete dai log, ho 2 XP installati, uno su C: la parte infetta, e uno su E: esente da infezione (almeno da QUESTA infezione).

Il CSI.txt non è un log (non potevo farne) ma la directory del file che mi ha segnalato come infetto.

http://www.fileup.itadib.com/downloa...JXiElNhbuBlJYd

http://www.fileup.itadib.com/downloa...AOlpGmQy2hnO9G

http://www.fileup.itadib.com/downloa...oXK0ce40p1jYT8

http://www.fileup.itadib.com/downloa...Z4ZF0X5fUrDWpm

http://www.fileup.itadib.com/downloa...Yw56VBvcespBFm

http://www.fileup.itadib.com/downloa...72sM5nwudZTYCk

http://www.fileup.itadib.com/downloa...yMuwuyzdkqWgil

[murack83pa]

ciao,

EDIT: Aspetta che nn ho cpt il primo log

cosa è il primo log? il log di prevx csi xchè nn l'hai postato?

il tuo problema dovrebbe essere simile a questo:
http://www.hwupgrade.it/forum/showth...light=TODO.exe

fixa queste voci in hijackthis:

O4 - HKLM\..\Run: [devenv] C:\WINDOWS\system\smvss.exe /w

O20 - Winlogon Notify: yayywvs - yayywvs.dll (file missing)

scarica avenger: DOWNLOAD
lo scompatti in una sua cartella dedicata,
avvia avenger,
seleziona input script manually,
clicca sulla lente d'ingrandimento,
inserisci il seguente script (tutto quello che è compreso nel quote):

files to delete:
C:\WINDOWS\system\smvss.exe /w

Cliccare su done, Cliccare sul semaforo, Rispondere sì 2 volte;il pc dovrebbe riavviarsi, casomai lo riavvii manualmente

allega il log di avenger

utilizza ccleaner pulendo tutto il pc, anche il registro d windows

svuota la cache di JAVASUN:
● Start
● Panello di Controllo (se non viene visualizzato in modalità classica, in alto a sinistra clicca sulla voce passa alla visualizzazione classica)
● clicca sulla icona Java per accedere al Pannello di controllo
● clicca sulla scheda Generale
● vai all'ultima sezione File temporanei Internet
● clicca sul pulsante Impostazioni
● clicca sul pulsante Elimina file e poi conferma con OK

Provvedi a svuotare del suo contenuto la cartella Prefetch (senza cancellare la cartella)

proporrei anche una bella pulitura degli ads, con hijackthis:
● lancia Hijackthis_v2
● clicca sulla voce Open the Misc Tool section
● clicca su Open ADS Spy
● togli la spunta alla voce Quick scan (Windows base folder only)
● lascia la spunta alla voce Ignore safe system info streams
● togli la spunta alla voce Calculate MD5 Checksum of streams
● clicca su Scan
● se venissero rilevati ADS spunta tutte le caselline e clicca su Remove Selected


posta un nuovo log di hijackthis

credo sia necessario l'utilizzo di un altro tool, attendi altre istruzioni

conosci questi programmi?

O4 - HKLM\..\Run: [Option Bib Logo Log] C:\Documents and Settings\All Users\Dati applicazioni\LICENSE ADMIN OPTION BIB\Idle Math.exe

O4 - HKCU\..\Run: [window wait] C:\DOCUME~1\Roberto\DATIAP~1\BURNSL~1\up meal.exe

io direi di segarli, nn mi convincono....

[Roberto Mura]

Una cosa: come si fa a "fixare" in hijachthis?

[murack83pa]

Originariamente inviato da Roberto Mura

Una cosa: come si fa a "fixare" in hijachthis?

riavvia di nuovbo hijackthis, questa volta solo "do a system scan only", a fine scansione, nell'elenco selezioni le voci che ho indicato e poi clicca su fix


quei programmi che ho indicato li conosci? altrimenti fixa anche quelle voci

EDIT: nn capisco xchè nn hai postato il log di prevx csi, forse mi è sfuggito qualke passaggio, cmq quel file è un falso positivo se hai utilizzato systemscan

[Roberto Mura]

prevx non l'ho postato perché non ha creato log

Ho eseguito i passaggi, "attendo nuove istruzioni"

Gli ADS li ho eliminati, ma in C: non ce n'era neppure uno.

http://www.fileup.itadib.com/downloa...C75kWEEq5HeFTe

http://www.fileup.itadib.com/downloa...m4k5ULOWR6s6wa

[Roberto Mura]

PS: Ho fixato tutte e quattro le voci.

[murack83pa]

Originariamente inviato da Roberto Mura

PS: Ho fixato tutte e quattro le voci.

roberto, come spesso mi capita, ho aggiunto una s in piu nello script di avenger

inserisci questo script correto in avenger , poi posta log di avenger e di hijackthis:

files to delete:
C:\WINDOWS\system\smvss.exe /w

quindi quei programmi nn li conoscevi?

[Roberto Mura]

Allego il file di Hijacthis...il nuovo log di avenger che mi hai dato lo rifiuta, dicendo che non è valido

http://www.fileup.itadib.com/downloa...ejbCPUAlLY5MZE

[Roberto Mura]

PS: i programmini non li conoscevo...ancora però è presto per sapere se si è eliminato il TODO.exe

[murack83pa]

Originariamente inviato da Roberto Mura

PS: i programmini non li conoscevo...ancora però è presto per sapere se si è eliminato il TODO.exe

beh...quel file xò ora nn c'è piu....

vedi se riesci a fare la scansione con bitdefender

[Roberto Mura]

Ok, spero non duri troppo... e per lo script di avenger non accettato?

[murack83pa]

Originariamente inviato da Roberto Mura

Ok, spero non duri troppo... e per lo script di avenger non accettato?

fai questa scansione... e vedi se riesci ad ultimarla senza problemi: se c riesci credo sia già un buon risultato...

nn fare nulla mentre fa la scansione