[risolto][win Xp] Braviax.exe

[Chill-Out]

Originariamente inviato da MaD85

Scusate io intanto che fo'?

Con il Browser chiuso esegui HJT, clicca su Do a system scan only, metti il segno du spunta nella casella bianca a sx delle sottoindicate voci e clicca su Fix cheked

O4 - HKLM\..\Run: [tvcc] C:\WINDOWS\system32\tvcc.exe
O4 - HKCU\..\Run: [tvcc] C:\WINDOWS\system32\tvcc.exe
O4 - HKCU\..\Run: [sys32_nov] C:\Documents and Settings\Mulo\sys32_nov.exe
O16 - DPF: {C237A80A-4C55-4C68-BAA9-CBE4408D12B2} (F-Secure Online Scanner 4.0 Launcher) - http://download.sp.f-secure.com/ols/...fslauncher.cab

successivamente ripeti scansione completa con MBAM e A2

Riepilogo log da allegare:
MBAM
A2
Nuovo log HJT

[MaD85]

Originariamente inviato da Chill-Out

Con il Browser chiuso esegui HJT, clicca su Do a system scan only, metti il segno du spunta nella casella bianca a sx delle sottoindicate voci e clicca su Fix cheked



successivamente ripeti scansione completa con MBAM e A2

Riepilogo log da allegare:
MBAM
A2
Nuovo log HJT

Ecco i log.

MBAM prima della quarantena >> http://wikisend.com/download/548874/mbam-log-2009-09-04 (11-00-21).txt
MBAM dopo >> http://wikisend.com/download/601870/mbam-log-2009-09-04 (11-00-26).txt
HJT >> http://wikisend.com/download/602130/hijackthis.log

A2 che cos'e' pero'?

E visto che ci sto vi chiedo un'altra cosa, usando CCleaner per riparare le chiavi di registro, da un po' di tempo mi si presenta sempre la stessa chiave ad ogni scansione, anche se la riparo ogni volta:



Si puo' risolvere? Non lo so eliminare la voce, oppure capire qual'e' il problema...

[Chill-Out]

A2 = a-squared, attendo il log.

Estratto dal log di MBAM

Elementi dato del registro infetti:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

No action taken - significa che non hai ripristinavo i valori di default inerenti il Centro sicurezza OC di Win valuta tu cosa fare

Per quanto concerne Ccleaner quella è una chiave appartenente ad Avira Antivir

[Alessia90]

Io ho cancellato molti dei programmi che ho utilizzato per eliminarlo.
Posso postare adesso il log di Hijackthis così potete dirmi se il mio pc è ancora infetto.
Ci sono anche altri programmi che posso utilizzare in modo da postare qui il log per avere conferme ancora più sicure?

Ecco il log di Hijackthis (scusate ma nelle regole di sezione non ho capito bene come dovevo postarlo e non riesco ad allegare il file):

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13.51.05, on 04/09/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16876)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Programmi\hpq\HP Wireless Assistant\HP Wireless Assistant.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Programmi\HP\QuickPlay\QPService.exe
C:\Programmi\Hp\HP Software Update\HPWuSchd2.exe
C:\Programmi\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe
C:\Programmi\PowerISO\PWRISOVM.EXE
C:\Programmi\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Nokia\Nokia PC Suite 6\PCSync2.exe
C:\Programmi\Windows Media Player\WMPNSCFG.exe
C:\Programmi\Alice ti aiuta\bin\mpbtn.exe
C:\Programmi\HP\Digital Imaging\bin\hpqimzone.exe
C:\Programmi\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Hewlett-Packard\Shared\hpqwmiex.exe
C:\WINDOWS\system32\mqsvc.exe
C:\WINDOWS\system32\mqtgsvc.exe
C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
C:\WINDOWS\system32\dllhost.exe
C:\Programmi\PC Connectivity Solution\Transports\NclUSBSrv.exe
C:\Programmi\PC Connectivity Solution\Transports\NclRSSrv.exe
C:\Programmi\File comuni\Nokia\MPAPI\MPAPI3s.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Java\jre1.5.0_06\bin\jucheck.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.virgilio.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Programmi\hpq\HP Wireless Assistant\HP Wireless Assistant.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] CHDAudPropShortcut.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QPService] "C:\Programmi\HP\QuickPlay\QPService.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Programmi\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [Cpqset] C:\Programmi\Hewlett-Packard\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [RecGuard] C:\Windows\SMINST\RecGuard.exe
O4 - HKLM\..\Run: [PWRISOVM.EXE] C:\Programmi\PowerISO\PWRISOVM.EXE
O4 - HKLM\..\Run: [AVP] "C:\Programmi\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe"
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Nokia.PCSync] "C:\Programmi\Nokia\Nokia PC Suite 6\PCSync2.exe" /NoDialog
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programmi\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Ritaglio schermata e avvio di OneNote 2007.lnk = C:\Programmi\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Alice ti aiuta.lnk = C:\Programmi\Alice ti aiuta\bin\matcli.exe
O4 - Global Startup: Avvio rapido HP Photosmart Premier.lnk = C:\Programmi\HP\Digital Imaging\bin\hpqthb08.exe
O8 - Extra context menu item: Add to Banner Ad Blocker - C:\Programmi\Kaspersky Lab\Kaspersky Internet Security 2009\ie_banner_deny.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre6\bin\jp2iexp.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre6\bin\jp2iexp.dll
O9 - Extra button: Web traffic protection statistics - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programmi\Kaspersky Lab\Kaspersky Internet Security 2009\SCIEPlgn.dll
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=IT_IT&c=64&bd=pavilion&pf=laptop
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab56986.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://sweetale29.spaces.live.com//P...d/MsnPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/.../GAME_UNO1.cab
O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} (OnlineScanner Control) - http://download.eset.com/special/eos/OnlineScanner.cab
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://sweetale29.spaces.live.com/Ph...cab?10,0,916,0
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4E925318-A84A-4187-BF66-0B46D34BF5EC}: NameServer = 85.37.17.39 85.38.28.71
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Programmi\Microsoft Office\Office12\GrooveSystemServices.dll
O23 - Service: AddFiltr - Hewlett-Packard Development Company, L.P. - C:\Programmi\Hewlett-Packard\HP Quick Launch Buttons\AddFiltr.exe
O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Internet Security 2009\avp.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Programmi\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - c:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 9001 bytes

[xcdegasp]

@ Alessia90:

vai al seguente link http://secunia.com/vulnerability_scanning/online/ , premi "start scanner", nella nuova finestra metti il segno di spunta sulla casella "Enable thorough system inspection" e poi premi "start", dopo qualche minuto ti mostrerà l'elenco del software da aggiornare assolutamente tra cui acrobat reader che volendo potresti sostituire con il più funzionale "foxit reader" (http://www.foxitsoftware.com/pdf/reader/) che è sempre gratuito ma molto più leggero e veloce


poi fai un log con malwarebytes, un log con a-squared, un log con prevx ed infine un nuovo log con a-squared ma i log devi pubblicarli hostandoli su uno di quei server indicati e copiandone qui il link per scaricarli.

1. Malwarebytes Anti-Malware -> info e download
   dopo averlo installato è necessario aggiornarlo e solo dopo eseguire la scansione completa del sistema, è altresì richiesto eliminare tutti gli oggetti identificati e salvare il log della scansione (il file di log da allegare per il controlo si trova nel Tab "File di log").
   
   
2. A-Squared Free v4.x (eseguite l'aggiornamento riavviate il programma e poi eseguite la
   scansione COMPLETA) -> download | guida
   _ esiste anche la versione che non richiede installazione: a-squared emergency USB -> download / a-squared Command Line Scanner -> download | guida
   è da eseguire da linea di comando utile anche su pc in cui non si gode di privilegi di utenza d'Amministratore.
   a fine scansione premere "sposta in Quarantena" e poi "Salva Rapporto" quindi pubblicare questo rapporto (= log) verrà mostrato dove verrà salvato, in caso ci si dimenticasse i logs sono archiviati in %USERPROFILE%\My Documents\a-squared\Reports ovvero C:\Documents and Settings\nomeutente\My Documents\a-squared\Reports
   
   
3. Prevx 3.0 -> download | guida (necessita di connessione internet)
   a fine scansione eseguire una stampa del monitor o della finestra di Prevx e salvare il log ("options" -> "save a log file")
   
   
4. HiJackThis -> download
   avviatelo e premete "scan & log" poi salvare il report generato
   si raccomanda di scompattare HiJackThis in una directory esclusiva, quindi non sul desktop!
   se si desiderasse farsi analizzare solo questo log allora dovete usare HiJackThis - Analisi Log - leggere Regole di Sezione o potete analizzarlo in autonomia grazie a Questa Guida altrimenti proseguite con la Guida

[MaD85]

Originariamente inviato da Chill-Out

A2 = a-squared, attendo il log.

Estratto dal log di MBAM



No action taken - significa che non hai ripristinavo i valori di default inerenti il Centro sicurezza OC di Win valuta tu cosa fare

Per quanto concerne Ccleaner quella è una chiave appartenente ad Avira Antivir

Ecco il log di A2 >> http://wikisend.com/download/439742/...904-120045.txt

Per il centro sicurezza ho abilitato le voci manualmente.

Per la chiave, non si puo' evitare che compaia ad ogni search?

[Chill-Out]

Originariamente inviato da MaD85

Ecco il log di A2 >> http://wikisend.com/download/439742/...904-120045.txt

Per il centro sicurezza ho abilitato le voci manualmente.

Per la chiave, non si puo' evitare che compaia ad ogni search?

Dal log di A2 non si capisce quale azione hai intrapreso, per escludere la chiave procedi così:

CCleaner -> Opzioni -> Esclusioni - Aggiungi Registro -> HKCR ed aggiungi la chiave in questione

[Alessia90]

Previx l'avevo già utilizzato ma senza licenza o codice se pur mi trova delle infezioni non posso cancellarlo.
E non so nemmeno come salvare il log.
Questo è il risultato della scansione:

[Alessia90]

questo il log di Malware
mbam-log-2009-09-04 (15-59-40).txt

[MaD85]

Originariamente inviato da Chill-Out

Dal log di A2 non si capisce quale azione hai intrapreso, per escludere la chiave procedi così:

CCleaner -> Opzioni -> Esclusioni - Aggiungi Registro -> HKCR ed aggiungi la chiave in questione

Perfetto.

Con A2 ho selezionato tutti i cookie e "Messi in quarantena", le voci hfs, e mirc non le ho toccate, sono dei falsi positivi.

[Chill-Out]

Originariamente inviato da MaD85

Perfetto.

Con A2 ho selezionato tutti i cookie e "Messi in quarantena", le voci hfs, e mirc non le ho toccate, sono dei falsi positivi.

Beh c'era qualche altra cosa da spostare in quarantena, comunque siamo a posto ti suggerisco pertanto di leggere questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1726383

[wjmat]

Originariamente inviato da Alessia90

questo il log di Malware
mbam-log-2009-09-04 (15-59-40).txt

non hai fatto scansione completa e non si vede se hai eliminato le voci trovate
la scansione con prevx la rifai dopo le passate di mbam e asquared e il log lo carichi in formato testuale

[MaD85]

Originariamente inviato da Chill-Out

Beh c'era qualche altra cosa da spostare in quarantena, comunque siamo a posto ti suggerisco pertanto di leggere questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1726383

Anche le altre ultime voci erano falsi positivi.

Ti ringrazio per tutto l'aiuto che mi hai dato.

Speriamo di non averne più bisogno!

Staro' bene attento la prox volta ad abilitare le connessioni java.

Ciao e tnx.

[Chill-Out]

Originariamente inviato da MaD85

Anche le altre ultime voci erano falsi positivi.

Ti ringrazio per tutto l'aiuto che mi hai dato.

Speriamo di non averne più bisogno!

Staro' bene attento la prox volta ad abilitare le connessioni java.

Ciao e tnx.

Prego, ciao