Dialer "WinMovieMaker"

[Lyd]

Ho un problema con questo dialer...che installa in c:windows/system32 un file eseguibile chiamato sysedit.exe!

Naturalmente ogni volta si blocca la connessione e arriva messaggistica immediata, nonostante sia disabilitata!
Posto il log di hijackthis, ditemi come rimuoverlo, grazie!

Lyd


Logfile of HijackThis v1.99.1
Scan saved at 20.34.41, on 12/11/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Trust\CnxDslTb.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\Programmi\Damasco\Pegaso\GioToolBar.exe
C:\Programmi\File comuni\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\Programmi\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
C:\Programmi\Daily Weather Forecast\weather.exe
C:\Programmi\File comuni\ACD Systems\IT\DevDetect.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
C:\Programmi\Photo HardDisk Utility\PhotoHDDUtil.exe
C:\Programmi\Mozilla Firefox\firefox.exe
F:\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn1\ycomp5_5_7_0.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn1\ycomp5_5_7_0.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Programmi\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [trustras] trustras.exe
O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Programmi\Trust\CnxDslTb.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] C:\Programmi\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [LoeToolbar] C:\Programmi\Damasco\Pegaso\GioToolBar.exe
O4 - HKLM\..\Run: [PSDrvCheck] "C:\Programmi\Pinnacle\Instant PhotoAlbum\programs\PSDrvCheck.exe" -CheckReg
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programmi\File comuni\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\\NeroCheck.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [Phase One Media Reader] C:\PROGRA~1\PHASEO~1\CAPTUR~1\DCIMImp.exe /noscan /CheckAutoStart
O4 - HKLM\..\Run: [AdobeVersionCue] C:\Programmi\Adobe\Adobe Version Cue\ControlPanel\VersionCueTray.exe
O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Programmi\Daily Weather Forecast\weather.exe
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
O4 - Global Startup: NkvMon.exe.lnk = C:\Programmi\Nikon\NkView6\NkvMon.exe
O4 - Global Startup: Quit Photo HDD Utility.lnk = C:\Programmi\Photo HardDisk Utility\PhotoHDDUtil.exe
O8 - Extra context menu item: &Cerca con Google - res://c:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Traduci parola in italiano - res://c:\programmi\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Link a ritroso - res://c:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pagine simili - res://c:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://c:\programmi\google\GoogleToolbar2.dll/cmcache.html
O16 - DPF: {2057E707-FA09-451B-972F-9CFBA9F2423C} (Tiscali702) - http://www.tiscali.it/cabs/Tiscali702.cab
O16 - DPF: {FFFF0003-0001-101A-A3C9-08002B2F49FB} - http://www.skymasters.biz/dialers/4289/AUTO_4289_N.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{5DE4768B-1812-454F-BF31-5EB9B3B393C8}: NameServer = 193.70.152.15 193.70.152.25
O20 - Winlogon Notify: PCANotify - C:\WINDOWS\SYSTEM32\PCANotify.dll
O23 - Service: AdobeVersionCue - Adobe Sytems - C:\Programmi\Adobe\Adobe Version Cue\service\VersionCue.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Servizio host di pcAnywhere (awhost32) - Symantec Corporation - C:\Programmi\Symantec\pcAnywhere\awhost32.exe
O23 - Service: Servizio iPod (iPodService) - Apple Computer, Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[andorra24]

Fixa:
C:\Programmi\Damasco\Pegaso\GioToolBar.exe
C:\Programmi\Daily Weather Forecast\weather.exe
O4 - HKLM\..\Run: [LoeToolbar] C:\Programmi\Damasco\Pegaso\GioToolBar.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Programmi\Daily Weather Forecast\weather.exe
O16 - DPF: {FFFF0003-0001-101A-A3C9-08002B2F49FB} - http://www.skymasters.biz/dialers/4289/AUTO_4289_N.exe

Fai una scansione con ewido: http://download.ewido.net/ewido-setup.exe

[Lyd]

Mi spiegheresti come si fixano che son niubbo di ste cose?

[andorra24]

Originariamente inviato da Lyd

Mi spiegheresti come si fixano che son niubbo di ste cose?

Metti la spunta nella casellina accanto alle voci che ti ho indicato da fixare e dopo aver chiuso tutte le finestre aperte tra cui il browser premi ''fix checked''. Comunque le prime 2 voci ti consiglio di disinstallarle prima dal pannello di controllo/installazione applicazioni.

[Lyd]

Originariamente inviato da andorra24

Metti la spunta nella casellina accanto alle voci che ti ho indicato da fixare e dopo aver chiuso tutte le finestre aperte tra cui il browser premi ''fix checked''. Comunque le prime 2 voci ti consiglio di disinstallarle prima dal pannello di controllo/installazione applicazioni.

Comunque la prima voce non posso rimuoverla, è una cosa di lavoro..secondo te crea problemi?

[andorra24]

Originariamente inviato da Lyd

Comunque la prima voce non posso rimuoverla, è una cosa di lavoro..secondo te crea problemi?

Non conosco questa voce:
C:\Programmi\Damasco\Pegaso\GioToolBar.exe
Il problema e' che su google non c'e' nessuna traccia di questo ''GioToolBar.exe'' e di solito quando non si trova nulla sui motori di ricerca non e' un buon segno e potrebbe essere un malware. Se tu sei sicuro che riguarda qualcosa che usi per motivi di lavoro allora lasciala stare.

[Lyd]

Grazie per la cortesia e la disponibilità per le spiegazioni!

A presto,
Lyd

[andorra24]

Originariamente inviato da Lyd

Grazie per la cortesia e la disponibilità per le spiegazioni!

A presto,
Lyd

Non dimenticarti la scansione con ewido.

[Lyd]

E' al 94%, ha trovato 16 files...rimossi tutti!


Unico problema è che nella cartella system32 ho ancora quel sysedit.exe; lo elimino, ma dopo una decina di secondi ritorna.
Qual'è la soluzione?


Lyd

[andorra24]

Originariamente inviato da Lyd

E' al 94%, ha trovato 16 files...rimossi tutti!


Unico problema è che nella cartella system32 ho ancora quel sysedit.exe; lo elimino, ma dopo una decina di secondi ritorna.
Qual'è la soluzione?


Lyd

Cerca di eliminarlo in modalita' provvisoria e con il ripristino di sistema disattivato. Se ancora non riesci a rimuoverlo prova con questo piccolo tool:http://www.bleepingcomputer.com/files/killbox.php

[Lyd]

Ando...non capisco come mai, ma questo pc non vuole entrare in mod provvisoria.

Premo F8 all'avvio e si blocca


Hai un'idea di come mai faccia così?
Lyd

[andorra24]

Originariamente inviato da Lyd

Ando...non capisco come mai, ma questo pc non vuole entrare in mod provvisoria.

Premo F8 all'avvio e si blocca


Hai un'idea di come mai faccia così?
Lyd

Prova con l'altro metodo per andare in modalita' provvisoria:
http://service1.symantec.com/SUPPORT...on=3#_Section3

[juninho85]

C:\Programmi\Daily Weather Forecast\weather.exe
O4 - HKLM\..\Run: [trustras] trustras.exe
O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Programmi\Daily Weather Forecast\weather.exe
O16 - DPF: {FFFF0003-0001-101A-A3C9-08002B2F49FB} - http://www.skymasters.biz/dialers/4289/AUTO_4289_N.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

[andorra24]

Originariamente inviato da juninho85

O4 - HKLM\..\Run: [trustras] trustras.exe

Questo ho letto che e' relativo ai modem adsl Trust.

[juninho85]

Originariamente inviato da andorra24

Questo ho letto che e' relativo ai modem adsl Trust.

google dice che su tratta di undefined malware

[andorra24]

Originariamente inviato da juninho85

google dice che su tratta di undefined malware

Molti siti che ho consultato dicevano che riguarda i modem adsl trust. Bisogna vedere se l'utente usa quel tipo di modem oppure no.

[juninho85]

Originariamente inviato da andorra24

Molti siti che ho consultato dicevano che riguarda i modem adsl trust. Bisogna vedere se l'utente usa quel tipo di modem oppure no.

si,usa un modem trust,lo si vede dai processi,però il nome del file è abbastanza sospetto....sarebbe più logico chiamarlo trustrust piuttosto che che trustras non credi?

[andorra24]

Originariamente inviato da juninho85

si,usa un modem trust,lo si vede dai processi,però il nome del file è abbastanza sospetto....sarebbe più logico chiamarlo trustrust piuttosto che che trustras non credi?

Per il momento, visto che la situazione e' incerta, e' meglio non fargliela fixare per evitare che il suo modem possa risentirne.