[urgente] rimuovere uno spyware

[andorra24]

Originariamente inviato da Stev-O

cmq per sapere le voci "sospette" occorre possedere quel senso critico che ti può dare solo l'esperienza

Concordo.

[Telikalikput]

Avesse un soldino per ogni log pulito, a quest'ora sarebbe la professoressa più ricca d'italia. Anche se in un certo senso lo è già....

[andorra24]

Originariamente inviato da wgator

Ciao,

bè... Andorra è una persona "speciale" in questo settore. Ormai ha memorizzato perfettamente tutti i processi "legittimi" di Windows e dei principali programmi. Leggendo le sue risposte e vedendo la sua velocità di analisi, sono convinto che, ogni volta che legge un log, "googli" non più di un paio di voci al massimo.

All'inizio tentavo di analizzarli anch'io i log degli utenti ma lei mi batteva sempre di parecchi minuti, poi ho desistito.
Per un log "mediamente appestato" io devo "googlare" cinque o sei volte...

Nulla da dire: campionessa italiana di Hijachthis

Molto gentile.

[Stev-O]

Originariamente inviato da Telikalikput

Avesse un soldino per ogni log pulito, a quest'ora sarebbe la professoressa più ricca d'italia. Anche se in un certo senso lo è già....

questa non è farina del tuo sacco
http://www.hwupgrade.it/forum/showpo...postcount=1041

[andorra24]

Originariamente inviato da Telikalikput

Avesse un soldino per ogni log pulito, a quest'ora sarebbe la professoressa più ricca d'italia. Anche se in un certo senso lo è già....

Beh lo faccio per puro hobby e passatempo.

[Stev-O]

Originariamente inviato da andorra24

Molto gentile.

cmq io una "partita" andata ritorno e bella in campo neutro la farei

[Telikalikput]

Originariamente inviato da Stev-O

questa non è farina del tuo sacco
http://www.hwupgrade.it/forum/showpo...postcount=1041

Giuro che non lo sapevo... comunque, come direbbero i latini: "Repetita iuvant"

[Stev-O]

è interessante il fatto che "ci mettiamo tutti d'accordo"

[Marilson]

allora, ringrazio nuovamente tutti anche a chi, ora nn ricordo, ha fatto la diesamina corretta in quanto mia sorella ha installato il messenger plus. Ora ho rimosso tutto ma purtroppo i pop up di casino & c continuano ad apparire. Chiaramente adaware.lop c'è ancora, non ho il cd di windows con me altrimenti avrei provveduto senza pensarci 2 volte a un bel formattino, ora occorrerà attendere fino a pasqua per poterlo fare. Il fatto è che le scansioni di kaspesky e di lavasoft danno esito negativo... ora ne faccio un'altra su symantec e posto il logfile sia di questa che di hijackthis. Per chi mi chiedeva degli .exe, li ho eliminati

[andorra24]

Originariamente inviato da Marilson

allora, ringrazio nuovamente tutti anche a chi, ora nn ricordo, ha fatto la diesamina corretta in quanto mia sorella ha installato il messenger plus. Ora ho rimosso tutto ma purtroppo i pop up di casino & c continuano ad apparire. Chiaramente adaware.lop c'è ancora, non ho il cd di windows con me altrimenti avrei provveduto senza pensarci 2 volte a un bel formattino, ora occorrerà attendere fino a pasqua per poterlo fare. Il fatto è che le scansioni di kaspesky e di lavasoft danno esito negativo... ora ne faccio un'altra su symantec e posto il logfile sia di questa che di hijackthis. Per chi mi chiedeva degli .exe, li ho eliminati

Hai fatto la scansione con ewido? http://download.ewido.net/ewido-setup.exe

Vai nel pannello di controllo/installazione applicazioni e disinstalla il MessengerPlus e controlla se c'e' anche il Lop installato e togli pure quello.

[Marilson]

cominciamo:

C:\Programmi\Adverts\uninst.exe è infettato con Download.Adware.Lop
C:\Documents and Settings\Home Computer\Dati applicazioni\meal itch pure\4745.del è infettato con Adware.Lop

ora posto altra roba

[Marilson]

ecco il rapporto di ewido

---------------------------------------------------------
ewido anti-malware - Rapporto Scansione
---------------------------------------------------------

+ Creato il: 21.33.14, 19/02/2006
+ Report-Checksum: 51C55D53

+ Risultati scansione:

C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.66.220.17.154 : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.Yieldmanager : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@atdmt[1].txt -> TrackingCookie.Atdmt : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.Newyorkcasino : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@casalemedia[2].txt -> TrackingCookie.Casalemedia : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@doubleclick[1].txt -> TrackingCookie.Doubleclick : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@lop[1].txt -> TrackingCookie.Lop : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@mediaplex[1].txt -> TrackingCookie.Mediaplex : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.2o7 : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.2o7 : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@paypopup[2].txt -> TrackingCookie.Paypopup : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.Reliablestats : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home [email protected][1].txt -> TrackingCookie.Dbbsrv : Pulito con Backup
C:\Documents and Settings\Home Computer\Cookies\home computer@web-stat[2].txt -> TrackingCookie.Web-stat : Pulito con Backup
C:\Documents and Settings\Home Computer\Menu Avvio\appunti[1].exe -> Dialer.Generic : Pulito con Backup
C:\Programmi\Adverts\uninst.exe -> Adware.Lop : Pulito con Backup
D:\Documenti\Installazioni\(APP).Real.One.Player.Plus.9.0.full+.login.crack\RealOne.Player.and.iQfx3.and.vTuner.Plus.v4.0\RealOnePlayer.exe -> Dropper.Pakes : Pulito con Backup
D:\Documenti\Installazioni\(APP).Real.One.Player.Plus.9.0.full+.login.crack\RealOne.Player.and.iQfx3.and.vTuner.Plus.v4.0 ( OK! ).zip/RealOne.Player.and.iQfx3.and.vTuner.Plus.v4.0/RealOnePlayer.exe -> Dropper.Pakes : Errore durante la pulizia


::Fine Rapporto

e questo è il rapporto di hijackthis successivo alla scansione con ewido

Logfile of HijackThis v1.99.1
Scan saved at 21.35.06, on 19/02/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\Garzanti Linguistica\Hazon clic\HAZON.EXE
C:\Programmi\File comuni\Real\Update_OB\evntsvc.exe
C:\Programmi\File comuni\PCSuite\DataLayer\DataLayer.exe
C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\FILECO~1\PCSuite\Services\SERVIC~1.EXE
D:\eMule\emule.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Documents and Settings\Home Computer\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ansa.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [KAVPersonal50] C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKLM\..\Run: [Hazon clic] "C:\Programmi\Garzanti Linguistica\Hazon clic\HAZON.EXE" -I
O4 - HKLM\..\Run: [TkBellExe] C:\Programmi\File comuni\Real\Update_OB\evntsvc.exe -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DataLayer] C:\Programmi\File comuni\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\RunOnce: [MessengerPlusUninstall] C:\WINDOWS\system32\cmd.exe /C "C:\DOCUME~1\HOMECO~1\IMPOST~1\Temp\MsgPlusUninst.bat"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\RunOnce: [remititit14551] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del
O4 - HKCU\..\RunOnce: [remititit9949] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Cerca con Google - res://c:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Traduci parola in italiano - res://c:\programmi\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Link a ritroso - res://c:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pagine simili - res://c:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://c:\programmi\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) - https://www-secure.symantec.com/tech...l/LSSupCtl.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary...r.cab31267.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary...o.cab32846.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/tech...l/SymAData.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary...n.cab31267.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

cmq trovo assurdo che un plugin di microsoft, e dico di microsoft, sia infettato.. assurdo per non dire scandaloso

[andorra24]

Hai disinstallato MessengerPlus dal pannello di controllo? Fixa queste:

O4 - HKLM\..\RunOnce: [MessengerPlusUninstall] C:\WINDOWS\system32\cmd.exe /C "C:\DOCUME~1\HOMECO~1\IMPOST~1\Temp\MsgPlusUninst.bat"
O4 - HKCU\..\RunOnce: [remititit14551] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del
O4 - HKCU\..\RunOnce: [remititit9949] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del

[Stev-O]

sarebbe più "salutare" e "igienico" editare la parte FINALE del log di EWIDO:ormai non serve+...

[Stev-O]

Originariamente inviato da andorra24

Hai disinstallato MessengerPlus dal pannello di controllo? Fixa queste:

O4 - HKLM\..\RunOnce: [MessengerPlusUninstall] C:\WINDOWS\system32\cmd.exe /C "C:\DOCUME~1\HOMECO~1\IMPOST~1\Temp\MsgPlusUninst.bat"
O4 - HKCU\..\RunOnce: [remititit14551] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del
O4 - HKCU\..\RunOnce: [remititit9949] C:\WINDOWS\system32\command.com /c del C:\DOCUME~1\HOMECO~1\DATIAP~1\MEALIT~1\4745.del

è già un po' che ne sento parlare (male): cos'ha questo messenger plus?

[andorra24]

Originariamente inviato da Stev-O

è già un po' che ne sento parlare (male): cos'ha questo messenger plus?

Ha uno sponsorino rappresentato da un adware chiamato Lop che ovviamente crea fastidi. Pero' durante l'installazione di MessengerPlus e' possibile evitare di installare anche lo sponsor e il plugin rimane pulito. Chi distrattamente installa tutto invece si becca l'adware.

[Stev-O]

ah un po' come il gain-trickler del divxpro5 che fu: solo che quello lo dovevi tenere, perchè se lo rimuovevi non andava più il codec....
andrebbe messa in evidenza questa cosa in modo che gli utenti del "tiro dritto" nelle installazioni siano avvertiti

[Marilson]

fatto, tnx

[71104]

Originariamente inviato da Marilson

cmq trovo assurdo che un plugin di microsoft, e dico di microsoft, sia infettato.. assurdo per non dire scandaloso

se Messenger Plus fosse di Microsoft non occorrerebbe installarlo a parte... di software Microsoft contenenti codice spy ne esistono a bizzeffe, ma quasi nessun programma di sicurezza è in grado di rilevarli. che vi credete, a Microsoft sanno il fatto loro

[Stev-O]

qui si aprirebbe un discorso a parte che si potrebbe denominare: "gli interessi di cassetta"