WebRebates

[marco24]

Logfile of HijackThis v1.98.2
Scan saved at 20.02.38, on 19/08/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Sygate\SPF\smc.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Norton SystemWorks\Norton Antivirus\navapsvc.exe
C:\PROGRA~1\NORTON~1\NORTON~2\NPROTECT.EXE
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\PROGRA~1\NORTON~1\NORTON~2\SPEEDD~1\NOPDB.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Norton SystemWorks\Norton Antivirus\SAVScan.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Lexmark X74-X75\lxbbbmgr.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb07.exe
C:\WINDOWS\System32\GSICON.EXE
C:\WINDOWS\System32\dslagent.exe
C:\Programmi\Lexmark X74-X75\lxbbbmon.exe
C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programmi\Analog Devices\SoundMAX\Smax4.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\Messenger Plus! 3\MsgPlus.exe
C:\Program Files\ASUS\Probe\AsusProb.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programmi\Nikon\NkView6\NkvMon.exe
C:\Programmi\FreePOPs\freepopsd.exe
C:\Documents and Settings\Fabio\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton SystemWorks\Norton Antivirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton SystemWorks\Norton Antivirus\NavShExt.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Lexmark X74-X75] "C:\Programmi\Lexmark X74-X75\lxbbbmgr.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb07.exe
O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programmi\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [ASUS Probe] C:\Program Files\ASUS\Probe\AsusProb.exe
O4 - HKLM\..\Run: [WebRebates0] "C:\Programmi\Web_Rebates\WebRebates0.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: Collegamento a freepopsd.lnk = C:\Programmi\FreePOPs\freepopsd.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programmi\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: NkvMon.exe.lnk = C:\Programmi\Nikon\NkView6\NkvMon.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Scarica con FlashGet - C:\Programmi\FlashGet\jc_link.htm
O8 - Extra context menu item: Scarica tutto con FlashGet - C:\Programmi\FlashGet\jc_all.htm
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} - http://www.xblock.com/download/xclean_micro.exe

[netquik]

O4 - HKLM\..\Run: [WebRebates0] "C:\Programmi\Web_Rebates\WebRebates0.exe"


e eleimina la cartella


ciao

[marco24]

La questione è che comunque in c:\programmi la cartella web_rebates non c'è!

[netquik]

uh?!

non è che è nascosta?

[Sifr]

Sì in effetti spywareguide è davvero ottimo come scanner!

Cmq, se hai PestPatrol puoi provare con quello (ti serve la vers. registrata per rimuovere quello che trova, se non sbaglio).

Visto che ci sono, vi posto questi 2 link con qualche info per rimuoverlo manualmente.. Molto interessante il secondo, avrete molto tempo per divertirvi

http://www.pestpatrol.com/PestInfo/e...moneymaker.asp

e...

http://www.securemost.com/articles/rm_toprebates.htm


Buona fortuna!!!

Sifr

[Plug & Pray!]

Ma pensa te... il pc che ho ripulito aveva anche questo...
...TrojanDownloader.Win32.Agent.y.......comunque Kav5 sembra averlo rimosso completamente...(certo che il propietario non si fa mancare nulla e... ) ora vediamo se si ripresenta o no, nel caso userò la procedura descritta nel link che hai dato....grassieee

[marco24]

Forse ci sono riuscito con ScanSpyware... sembra non esserci più traccia. Ora però controllo il registro con il suddetto link. Meglio essere sicuri!!!

[marco24]

Eccallà... lascio il pc acceso connesso ad internet un'ora... senza nulla di aperto... soltanto explorer aperto su hwupgrade e torno a casa con webrebates bloccato dal firewall che cerca di accedere ad internet!!!
Perchè?
Non stavo scaricando assolutamente nulla.
Che fare?

[Ronie]

provate con
webroot spy sweeper...
funziona meglio di spybot e adware messi insieme

[marco24]

Ma cazzo... io dico come fa un'azienda come la Symantec a non aver creato un tool di rimozione per sta cippa di Webrebates?
In rete si trova poco o nulla!!!

[lmdf]

Originariamente inviato da Ronie
provate con
webroot spy sweeper...
funziona meglio di spybot e adware messi insieme

Quoto.
Spy sweeper trova un sacco di roba.
E'ottimo.
Ciao.

[Sifr]

Ciao,
io ormai credo di averlo stroncato (al massimo saranno rimasti un paio di files ormai innocui, disattivi, isolati e inutili), la difficoltà sta nel fatto che WEB-REBATES è davvero poco diffuso (circa lo 0.1 % di tutti gli spyware \ adware e così via) per cui non esistono appositi tool di rimozione. PestPatrol dice di essere in grado di rimuoverlo, in effetti trova moltissimi files relativi al suddeto porcone, tuttavia

a) non so se sono tutti

b) per rimuovere tutti devi comprare la versione PRO

per cui, ti dico un po' di cose da fare (che sono quelle che mi hanno permesso di dormire sogni tranquilli ).

1) Vai su Installazione Applicazioni e rimuovi ogni voce relativa a NEWDOT.NET - WEBEREBATES - QSEARCH (ho motivo di credere che questa barra di navigazione sia complice!! ).

AD OGNI DISINSTALLAZIONE, RIAVVIA IL COMPUTER!!! (ovvero, non disinstallare tutto in una sola volta, è importante!).

Dopo aver rimosso web-rebates, quest'ultimo, oltre a non essere sparito del tutto, mi ha provocato la disattivazione di INTERNET - FIREWALL - ANTIVIRUS (non può essere una coincidenza!!). In questo caso, lancia HJT e rimuovi ogni voce relativa ai 3 progr. citati sopra, quindi rimuovi i files a cui fanno riferimento.

2)Riavvia di nuovo il computer, lancira PestPatrol e rimuovi manualmente (è una palla assurda, ma abb. importante) tutti i files che ti dice.

3)Controlla il sito che ho scritto prima per vedere se ancora è rimasto,

4)Fa una scansione online con lo scan di spywareguide.com

5)Riavvia e incrocia le dita

Bye
Simone

[agma]

Beccato anch'io
Ma da dove diavolo è entrato? Usa qualche porta in particolare? Il kerio e l'avg mi sono impazziti appena ho fatto un search su Themexp.org

Piano piano ho cancellato tutto manualmente e ora sto facendo una scansioni con tutto quello che ho, vedremo che succederà

[Sifr]

Azz.. allora confermi altri miei sospetti... anche themexp.org probabilmente è complice.. o forse un tema che hai scaricato da lì (themexp in questo caso non sarebbe particolarmente complice)...
Vi dico con precisione il percorso che ho fatto prima di beccare webrebates:

-> Navigo su themexp
-> Scarico un tema
-> Mentre lo installo, per sbaglio gli dico di installare anche QSEARCH
-> QSEARCH è una barra di navigazione, altamente inutile
-> Mi ritrovo con web-rebates fra i processi del task manager

Ora, non mi ricordo di preciso perchè, ma sono sicuro che le 2 cose sono collegate... c'erano strani riferimenti QSEARCH \ WEBREBATES, per cui credo che la barra di navigazione sia colpevole.. e visto che anche tu te lo sei beccato da themexp, o è lo stesso tema ke fa il lamer, oppure è themexp...

Bye
Sifr

[agma]

Io ancora non avevo visto nulla su Themexp.org! Ho solo scritto una parola nella barra di ricerca in alto a destra e premuto invio ed è successo il finimondo!!!

Ho fatto una scansione con AVG, Ad-Aware SE 1.04 e Spybot, aggiornati.
Tutti e tre hanno trovato qualcosa che ho rimosso, anche Ad-Watch ha bloccato dei tentativi di modifica del regitro da parte di msbb.exe / webrebate0.exe e diverse altre schifezze che ho poi cercato e cancellato dal registro.
Per ora va tutto bene, ad-watch è aperto e non segnala anomalie, aspettiamo e vediamo che altro succede, intanto incrocio le dita