HiJackThis - Analisi Log - leggere Regole di Sezione

[YMen]

Originariamente inviato da stinger76

Platform: Windows XP SP1 (WinNT 5.01.2600)

Ti conviene mettere il SP2

[stinger76]

La settimana prossima formatto ed installo direttamente il sistema operativo con sp2...................

[BravoGT83]

Originariamente inviato da YMen

Che sono ?
C:\WINDOWS\system32\nvraidservice.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe

Questo è abbastanza sospetto:
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan.cab

E inoltre fixa questo:
O23 - Service: cFosSpeed System Service (cFosSpeedS) - Unknown owner - C:\Programmi\cFosSpeed\spd.exe" -service (file missing)

nn consigliare quello che ti dice analizzatore...
http://www.liutilities.com/products/...rary/unsecapp/

un consiglio cerca qualcosa in + sul web di quei file prima di consigliare

quelli che hai segnalato solo quello file missing va fixato

[BravoGT83]

Originariamente inviato da MixPix

Quello sospetto potrebbe dipendere dalla scansione on line che ho fatto ieri con Kapersky...
Grazie per l'aiuto...

si è quello

[BravoGT83]

Originariamente inviato da stinger76

Ciao per favore mi dite a cosa si riferisce la voce 017 nel log?

Logfile of HijackThis v1.99.1
Scan saved at 16.00.10, on 18/05/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\locator.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\Programmi\Commander Pro\UPServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmi\Commander Pro\UPS.EXE
C:\Programmi\Sygate\SPF\smc.exe
C:\Programmi\Emule\emule.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\downloads\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Programmi\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [SpySweeper] "C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - Global Startup: Spy Sweeper Fix.lnk = C:\Programmi\Webroot\Spy Sweeper\SpySweeperFix.bat
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {3EB4F9EA-51A6-48DA-846A-0D69DCBA39EF} (DownloadManager Control) - http://download.akamaitools.com.edge...oadManager.ocx
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1100463089406
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2...ll/xscan53.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {E36C5562-C4E0-4220-BCB2-1C671E3A5916} (Seagate SeaTools English Online) - http://www.seagate.com/support/disc/...npseatools.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/is...89/mcfscan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{73AA623C-4A91-49DD-AAB8-B119956ABCA7}: NameServer = 217.141.251.204 151.99.125.1
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: LEC TranslateDotNet Server - Language Engineering Corporation, LLC - C:\Programmi\Power Translator\LogoMedia TranslateDotNet Server.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\System32\oodag.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programmi\Sygate\SPF\smc.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programmi\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: UPSmart - Unknown owner - C:\Programmi\Commander Pro\UPServ.exe

nn ce nulla anomalo

l'unica è per gli ip che non saprei...

cmq sp2 è meglio metterlo con tutti gli aggiornamenti possibili

[stinger76]

Ho scoperto che sono i dns perchè ho provato ad eliminarli e non mi andava più il browser......
Appena metto l'sp2 dico pure addio a IE e passo alla concorrenza....

[juninho85]

Originariamente inviato da stinger76

Trovato ,sono i dns........

ma và

[71104]

questo thread mi sembra una trovata ben sensata, però sarebbe ancora meglio automatizzare il tutto: l'utente sospettoso di infezione o certamente infettato posta/invia il log da qualche parte, un programma automatico si spulcia il log per benino e segnala tutte le cose "strane"; per riconoscere se una cosa è "strana" oppure no può utilizzare un database.
badate che io non ho la minima voglia ne' tantomeno il tempo di fare tutto il software necessario ^^ il mio voleva essere solo un consiglio allo staff di HwUpgrade.
potreste impostare il tutto come un servizio di sicurezza offerto da voi, e non sarebbe affatto male!!

[71104]

ecco cosa potreste usare per creare il database iniziale:
http://www.liutilities.com/products/...rocesslibrary/
poi magari potreste aggiornarlo

[juninho85]

Originariamente inviato da 71104

ecco cosa potreste usare per creare il database iniziale:
http://www.liutilities.com/products/...rocesslibrary/
poi magari potreste aggiornarlo

interessante

[BravoGT83]

Originariamente inviato da 71104

ecco cosa potreste usare per creare il database iniziale:
http://www.liutilities.com/products/...rocesslibrary/
poi magari potreste aggiornarlo

purtroppo è inglese o ce anche in italiano...

[BravoGT83]

Originariamente inviato da 71104

questo thread mi sembra una trovata ben sensata, però sarebbe ancora meglio automatizzare il tutto: l'utente sospettoso di infezione o certamente infettato posta/invia il log da qualche parte, un programma automatico si spulcia il log per benino e segnala tutte le cose "strane"; per riconoscere se una cosa è "strana" oppure no può utilizzare un database.
badate che io non ho la minima voglia ne' tantomeno il tempo di fare tutto il software necessario ^^ il mio voleva essere solo un consiglio allo staff di HwUpgrade.
potreste impostare il tutto come un servizio di sicurezza offerto da voi, e non sarebbe affatto male!!

sarebbe una cosa utilissima

[juninho85]

Originariamente inviato da BravoGT83

purtroppo è inglese o ce anche in italiano...

poco importa..quello che c'interessa è sapere quali file sono malware e quali invece sono porcessi di windows

[BravoGT83]

Originariamente inviato da juninho85

poco importa..quello che c'interessa è sapere quali file sono malware e quali invece sono porcessi di windows

lo so...

la mia domanda è quello di se si puo scrivere in italiano...

visto che tutti sono in inglese

[71104]

poi magari addirittura volendo proprio fare una cosa da sboroni () nel database si potrebbe pure mettere (in corrispondenza con le cose sospette) un link ad un sito con la descrizione della bestiaccia (se disponibile) ed eventualmente un altro link dove poter scaricare un tool di rimozione; così sarebbe veramente da paura!! cioè, addio virus a tutti i frequentatori di HwUpdrage

qualcuno però si dovrebbe occupare della manutenzione del database *tutti guardano bluepix*

[BravoGT83]

Originariamente inviato da 71104

poi magari addirittura volendo proprio fare una cosa da sboroni () nel database si potrebbe pure mettere (in corrispondenza con le cose sospette) un link ad un sito con la descrizione della bestiaccia (se disponibile) ed eventualmente un altro link dove poter scaricare un tool di rimozione; così sarebbe veramente da paura!! cioè, addio virus a tutti i frequentatori di HwUpdrage

qualcuno però si dovrebbe occupare della manutenzione del database *tutti guardano bluepix*

ci vuole anche tanto tempo

[71104]

Originariamente inviato da BravoGT83

ci vuole anche tanto tempo

no, neanche vero: secondo me ci vuole tanto tempo solo le prime volte, poi una volta che chi mantiene il db (tutti guardano bluepix ) è riuscito ad organizzarsi con l'aiuto di Google e a trovare i siti giusti (quelli più aggiornati e con più informazioni), alla fine diventa semplicemente un lavoro quotidiano di consultazione degli stessi siti e di pochi aggiornamenti settimanali al db. se bluepix () facesse questo anziché scrivere in tutti i thread in cui si richiede il log di HJT, di fatica non ne farebbe ne' più ne' meno (imho).
e comunque penso che questo thread debba come minimo essere messo in rilievo... modders?

[NtBIG]

secondo voi, perchè HijackThis non fixa le cose che gli dico di fixare?
ho dei file missing che non riesco a fargli sistemare...
Logfile of HijackThis v1.99.1
Scan saved at 12.39.02, on 21/05/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RunDll32.exe
C:\Programmi\Logitech\MouseWare\system\em_exec.exe
C:\Programmi\Motherboard Monitor 5\MBM5.EXE
C:\PROGRA~1\IMMERS~1\TOUCHS~1\Clients\Desktop\IDesktop.exe
C:\progra~1\softwin\bitdef~1\bdmcon.exe
C:\progra~1\softwin\bitdef~1\bdswitch.exe
C:\Programmi\TuneUp Utilities 2004\MemOptimizer.exe
C:\Programmi\IDA\ida.exe
c:\Programmi\Immersion Corporation\TouchSense\Server\TouchSense.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe
C:\Programmi\Softwin\BitDefender8\vsserv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Internet Explorer\iexplore.exe
E:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bandit.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://gw.aliceadsl.it/home
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bandit.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: IE 4.x-6.x BHO for Internet Download Accelerator - {2A646672-9C3A-4C28-9A7A-1FB0F63F28B6} - C:\Programmi\IDA\idaiehlp.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [SoundFusion] RunDll32 hercplgs.cpl,BootEntryPoint
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [MBM 5] "C:\Programmi\Motherboard Monitor 5\MBM5.EXE"
O4 - HKLM\..\Run: [IDesktop.2.5] c:\PROGRA~1\IMMERS~1\TOUCHS~1\Clients\Desktop\IDesktop.exe 1
O4 - HKLM\..\Run: [BDMCon] C:\progra~1\softwin\bitdef~1\bdmcon.exe
O4 - HKLM\..\Run: [BDSwitchAgent] C:\progra~1\softwin\bitdef~1\bdswitch.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Programmi\TuneUp Utilities 2004\MemOptimizer.exe" autostart
O4 - HKCU\..\Run: [Internet Download Accelerator] C:\Programmi\IDA\ida.exe -autorun
O8 - Extra context menu item: &Google Search - res://C:\Programmi\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Collegamenti a ritroso - res://C:\Programmi\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Download ALL with IDA - C:\Programmi\IDA\idaieall.htm
O8 - Extra context menu item: Download with IDA - C:\Programmi\IDA\idaie.htm
O8 - Extra context menu item: Pagine simili - res://C:\Programmi\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://C:\Programmi\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Crea preferiti portatile - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programmi\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Internet Download Accelerator - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - C:\Programmi\IDA\ida.exe
O9 - Extra 'Tools' menuitem: &Internet Download Accelerator - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - C:\Programmi\IDA\ida.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {8EC18CE2-D7B4-11D2-88C8-006008A717FD} (NCSView Class) - http://ww3.atlanteitaliano.it/ecwplugins/ncs.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/ms...downloader.cab
O16 - DPF: {C36112BF-2FA3-4694-8603-3B510EA3B465} (Lycos File Upload Component) - http://f008.mail.lycos.it/app/uploader/FileUploader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{208CB714-7522-4117-B543-DA43A8ED0BE6}: NameServer = 151.99.125.2 151.99.125.3
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: RadClock - Unknown owner - C:\WINDOWS\system32\RadClock.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programmi\TuneUp Utilities 2004\WinStylerThemeSvc.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programmi\Softwin\BitDefender8\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

c'è modo di risolvere il problema?

[KruKi]

anche a un mio amico piccolo problema, nonostante faccio il fix a togliere la prima pagina in modalita provvisoria mi ricompare sempre

[Bandit]

è normale che ci siano 5 schvot che occupano circa 33000Kb