Ghost Keylogger che ricompare! Aiuto!!!

Chiudendo la sessione del mio PC ho letto la scritta "chiusura applicazione di Ghost Keylogger". Panico!!!
Ho fatto una scansione con SpySweeper che ne ha confermato la presenza ed ho rimosso ma...... al nuovo riavvio del PC e nuova scansione eccolo ricomparso.
Eppure nè Kaspersky AntiVirus Personal, tantomeno Ewido Antimalware lo avevano mai riconosciuto.
Cosa fare? Come poterlo eliminare definitivamente e quali possono essere gli eventuali problemi causati dalla sgradita presenza?
Grazie sin d'ora a chi mi saprà dare una valida dritta risolutiva che non sia la drammatica formattazione.

[Stev-O]

log di hijackthis

Originariamente inviato da Stev-O

log di hijackthis

Ho provato hijackthis ma non non so poi muovermi tra i suoi risultati. Mi dai una mano Stev?

[andorra24]

Posta il log che lo controlliamo.

Eccolo!

Logfile of HijackThis v1.99.1
Scan saved at 0.50.34, on 06/04/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\TuneUp Utilities 2006\WinStylerThemeSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\Programmi\CDBurnerXP\NMSAccess.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\GlobespanVirata\Adsl\dslstat.exe
C:\Program Files\GlobespanVirata\Adsl\dslagent.exe
C:\WINDOWS\AGRSMMSG.exe
C:\windows\system32\agent\syncagent.exe
C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\PeerGuardian2\pg2.exe
C:\Programmi\TuneUp Utilities 2006\MemOptimizer.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe
C:\Documents and Settings\Administrator\Desktop\HijackThis.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cpqset] C:\Programmi\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\GlobespanVirata\Adsl\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\GlobespanVirata\Adsl\dslagent.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\Run: [SpySweeper] "C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PeerGuardian] C:\Programmi\PeerGuardian2\pg2.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Programmi\TuneUp Utilities 2006\MemOptimizer.exe" autostart
O4 - Global Startup: Kaspersky Anti-Hacker.lnk = C:\Programmi\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: NMSAccess - Unknown owner - C:\Programmi\CDBurnerXP\NMSAccess.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programmi\TuneUp Utilities 2006\WinStylerThemeSvc.exe

[andorra24]

Fixa:

C:\windows\system32\agent\syncagent.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"

[Stev-O]

Originariamente inviato da andorra24

Fixa:

C:\windows\system32\agent\syncagent.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"

This is a valid program, but it is up to you whether or not you want it to run on startup.

Whether or not you need to run this program on startup must be decided by you. If you feel that you want this program starting automatically so that you have it available as needed, then do not disable it. The following information is a brief description of what is known about this file. If you require further assistance for this file, feel free to ask about in the forums.

cosi' grave???

Andorra pensi sia da preferire bleeping a google per le ricerche di files sospetti nei logs?

Originariamente inviato da andorra24

Fixa:

C:\windows\system32\agent\syncagent.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"

Ok Andorra, fatto! Ma cosa era?

[andorra24]

Originariamente inviato da Stev-O

This is a valid program, but it is up to you whether or not you want it to run on startup.

Whether or not you need to run this program on startup must be decided by you. If you feel that you want this program starting automatically so that you have it available as needed, then do not disable it. The following information is a brief description of what is known about this file. If you require further assistance for this file, feel free to ask about in the forums.

cosi' grave???

Andorra pensi sia da preferire bleeping a google per le ricerche di files sospetti nei logs?

syncagent.exe e' un keylogger, se l'ha installato volutamente e ne e' consapevole puo' tenerlo, se invece non vuole averlo nel pc deve rimuoverlo. Bleeping e' utilissimo nelle ricerche dei files, io solitamente consulto parecchi siti prima di essere sicura.

[Stev-O]

beh pero' bleeping sbaglia poco

Ma spiegatemi come mai dopo averlo rimosso con spysweeper ricompariva?

[andorra24]

Originariamente inviato da Stev-O

beh pero' bleeping sbaglia poco

Bleeping e altri siti si limitano a dire che e' un programma di sorveglianza, un keylogger. Se uno l'ha installato volutamente sul proprio pc allora puo' tenerlo, altrimenti si deve togliere. Molto piu' categorici sul fatto di rimuoverlo questi siti:
http://www.2-spyware.com/file-syncagent-exe.html
http://research.sunbelt-software.com...&threatid=5712

[Stev-O]

forse andava disinstallatoo rimosso in modalità provvisoria

[andorra24]

Originariamente inviato da StarTac

Ma spiegatemi come mai dopo averlo rimosso con spysweeper ricompariva?

Ma tu avevi provato a rimuoverlo in modalita' provvisoria? Forse da li' ci riuscivi. Adesso con hijackthis l'hai tolto?

L'ho tolto con hijackthis ma è ricomparso!!!

[Stev-O]

allora ci vuole killbox

[andorra24]

Originariamente inviato da Stev-O

allora ci vuole killbox

Si concordo:
http://www.wintricks.it/news2/article.php?ID=12000

[Stev-O]

cmq i due siti di prima me li segno

[andorra24]

Originariamente inviato da Stev-O

cmq i due siti di prima me li segno

Bene, io ne consulto sempre tanti prima di formarmi un'idea precisa.

Allora rieccomi.....

In modalità provvisoria non compare quella voce ne con hijackthis, tantomeno con spy sweeper ma al riavvio rieccolo presente all'appello!

Cos'è Killbox? Provo con quello? Altrimenti spiegatemi quel tipo di keylogger cosa può comprtarmi se lo lascio perdere?