Ghost Keylogger che ricompare! Aiuto!!!

06-04-2006, 00:34

Chiudendo la sessione del mio PC ho letto la scritta "chiusura applicazione di Ghost Keylogger". Panico!!!
Ho fatto una scansione con SpySweeper che ne ha confermato la presenza ed ho rimosso ma...... al nuovo riavvio del PC e nuova scansione eccolo ricomparso.
Eppure nè Kaspersky AntiVirus Personal, tantomeno Ewido Antimalware lo avevano mai riconosciuto.
Cosa fare? Come poterlo eliminare definitivamente e quali possono essere gli eventuali problemi causati dalla sgradita presenza?
Grazie sin d'ora a chi mi saprà dare una valida dritta risolutiva che non sia la drammatica formattazione.

Stev-O · 06-04-2006, 00:35

log di hijackthis

06-04-2006, 00:43

Quote:

Originariamente inviato da Stev-O

log di hijackthis

Ho provato hijackthis ma non non so poi muovermi tra i suoi risultati. Mi dai una mano Stev?

andorra24 · 06-04-2006, 00:45

Posta il log che lo controlliamo.

06-04-2006, 00:53

Eccolo!

Logfile of HijackThis v1.99.1
Scan saved at 0.50.34, on 06/04/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\TuneUp Utilities 2006\WinStylerThemeSvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\Programmi\CDBurnerXP\NMSAccess.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\GlobespanVirata\Adsl\dslstat.exe
C:\Program Files\GlobespanVirata\Adsl\dslagent.exe
C:\WINDOWS\AGRSMMSG.exe
C:\windows\system32\agent\syncagent.exe
C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\PeerGuardian2\pg2.exe
C:\Programmi\TuneUp Utilities 2006\MemOptimizer.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe
C:\Documents and Settings\Administrator\Desktop\HijackThis.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cpqset] C:\Programmi\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\GlobespanVirata\Adsl\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\GlobespanVirata\Adsl\dslagent.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\Run: [SpySweeper] "C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PeerGuardian] C:\Programmi\PeerGuardian2\pg2.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Programmi\TuneUp Utilities 2006\MemOptimizer.exe" autostart
O4 - Global Startup: Kaspersky Anti-Hacker.lnk = C:\Programmi\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: NMSAccess - Unknown owner - C:\Programmi\CDBurnerXP\NMSAccess.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programmi\TuneUp Utilities 2006\WinStylerThemeSvc.exe

andorra24 · 06-04-2006, 00:58

Fixa:

C:\windows\system32\agent\syncagent.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"

Stev-O · 06-04-2006, 01:00

Quote:

Originariamente inviato da andorra24

Fixa:

C:\windows\system32\agent\syncagent.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"

This is a valid program, but it is up to you whether or not you want it to run on startup.

Whether or not you need to run this program on startup must be decided by you. If you feel that you want this program starting automatically so that you have it available as needed, then do not disable it. The following information is a brief description of what is known about this file. If you require further assistance for this file, feel free to ask about in the forums.

cosi' grave???

Andorra pensi sia da preferire bleeping a google per le ricerche di files sospetti nei logs?

06-04-2006, 01:04

Quote:

Originariamente inviato da andorra24

Fixa:

C:\windows\system32\agent\syncagent.exe
O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"

Ok Andorra, fatto! Ma cosa era?

andorra24 · 06-04-2006, 01:04

Quote:

Originariamente inviato da Stev-O

This is a valid program, but it is up to you whether or not you want it to run on startup.

Whether or not you need to run this program on startup must be decided by you. If you feel that you want this program starting automatically so that you have it available as needed, then do not disable it. The following information is a brief description of what is known about this file. If you require further assistance for this file, feel free to ask about in the forums.

cosi' grave???

Andorra pensi sia da preferire bleeping a google per le ricerche di files sospetti nei logs?

syncagent.exe e' un keylogger, se l'ha installato volutamente e ne e' consapevole puo' tenerlo, se invece non vuole averlo nel pc deve rimuoverlo. Bleeping e' utilissimo nelle ricerche dei files, io solitamente consulto parecchi siti prima di essere sicura.

Stev-O · 06-04-2006, 01:05

beh pero' bleeping sbaglia poco

06-04-2006, 01:07

Ma spiegatemi come mai dopo averlo rimosso con spysweeper ricompariva?

andorra24 · 06-04-2006, 01:08

Quote:

Originariamente inviato da Stev-O

beh pero' bleeping sbaglia poco

Bleeping e altri siti si limitano a dire che e' un programma di sorveglianza, un keylogger. Se uno l'ha installato volutamente sul proprio pc allora puo' tenerlo, altrimenti si deve togliere. Molto piu' categorici sul fatto di rimuoverlo questi siti:
http://www.2-spyware.com/file-syncagent-exe.html
http://research.sunbelt-software.com...&threatid=5712

Stev-O · 06-04-2006, 01:09

forse andava disinstallatoo rimosso in modalità provvisoria

andorra24 · 06-04-2006, 01:09

Quote:

Originariamente inviato da StarTac

Ma spiegatemi come mai dopo averlo rimosso con spysweeper ricompariva?

Ma tu avevi provato a rimuoverlo in modalita' provvisoria? Forse da li' ci riuscivi. Adesso con hijackthis l'hai tolto?

06-04-2006, 01:12

L'ho tolto con hijackthis ma è ricomparso!!!

Stev-O · 06-04-2006, 01:13

allora ci vuole killbox

andorra24 · 06-04-2006, 01:15

Quote:

Originariamente inviato da Stev-O

allora ci vuole killbox

Si concordo:
http://www.wintricks.it/news2/article.php?ID=12000

Stev-O · 06-04-2006, 01:16

cmq i due siti di prima me li segno

andorra24 · 06-04-2006, 01:21

Quote:

Originariamente inviato da Stev-O

cmq i due siti di prima me li segno

Bene, io ne consulto sempre tanti prima di formarmi un'idea precisa.

06-04-2006, 01:36

Allora rieccomi.....

In modalità provvisoria non compare quella voce ne con hijackthis, tantomeno con spy sweeper ma al riavvio rieccolo presente all'appello!

Cos'è Killbox? Provo con quello? Altrimenti spiegatemi quel tipo di keylogger cosa può comprtarmi se lo lascio perdere?

06-04-2006, 00:34	#1
StarTac Messaggi: n/a	Ghost Keylogger che ricompare! Aiuto!!! Chiudendo la sessione del mio PC ho letto la scritta "chiusura applicazione di Ghost Keylogger". Panico!!! Ho fatto una scansione con SpySweeper che ne ha confermato la presenza ed ho rimosso ma...... al nuovo riavvio del PC e nuova scansione eccolo ricomparso. Eppure nè Kaspersky AntiVirus Personal, tantomeno Ewido Antimalware lo avevano mai riconosciuto. Cosa fare? Come poterlo eliminare definitivamente e quali possono essere gli eventuali problemi causati dalla sgradita presenza? Grazie sin d'ora a chi mi saprà dare una valida dritta risolutiva che non sia la drammatica formattazione.

06-04-2006, 00:35	#2
Stev-O Senior Member Iscritto dal: Sep 2005 Città: Opinions are like assholes: anybody has one... Messaggi: 34290	log di hijackthis __________________ Ну давай !! . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Cina, bugiardo - stolen conto: non paghi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . *NON CERCO PIU' UN ALIMENTATORE DECENTE ----------------> LINK*

06-04-2006, 01:05	#10
Stev-O Senior Member Iscritto dal: Sep 2005 Città: Opinions are like assholes: anybody has one... Messaggi: 34290	beh pero' bleeping sbaglia poco __________________ Ну давай !! . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Cina, bugiardo - stolen conto: non paghi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . *NON CERCO PIU' UN ALIMENTATORE DECENTE ----------------> LINK*

06-04-2006, 01:09	#13
Stev-O Senior Member Iscritto dal: Sep 2005 Città: Opinions are like assholes: anybody has one... Messaggi: 34290	forse andava disinstallatoo rimosso in modalità provvisoria __________________ Ну давай !! . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Cina, bugiardo - stolen conto: non paghi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . *NON CERCO PIU' UN ALIMENTATORE DECENTE ----------------> LINK*

06-04-2006, 01:13	#16
Stev-O Senior Member Iscritto dal: Sep 2005 Città: Opinions are like assholes: anybody has one... Messaggi: 34290	allora ci vuole killbox __________________ Ну давай !! . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Cina, bugiardo - stolen conto: non paghi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . *NON CERCO PIU' UN ALIMENTATORE DECENTE ----------------> LINK*

06-04-2006, 00:45	#4
andorra24 Senior Member Iscritto dal: May 2005 Città: Palermo Messaggi: 6390	Posta il log che lo controlliamo.

06-04-2006, 00:53	#5
StarTac Messaggi: n/a	Eccolo! Logfile of HijackThis v1.99.1 Scan saved at 0.50.34, on 06/04/2006 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\Programmi\TuneUp Utilities 2006\WinStylerThemeSvc.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\Ati2evxx.exe C:\Programmi\ewido anti-malware\ewidoctrl.exe C:\Programmi\ewido anti-malware\ewidoguard.exe C:\Programmi\CDBurnerXP\NMSAccess.exe C:\WINDOWS\Explorer.EXE C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe C:\WINDOWS\system32\svchost.exe C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\Program Files\GlobespanVirata\Adsl\dslstat.exe C:\Program Files\GlobespanVirata\Adsl\dslagent.exe C:\WINDOWS\AGRSMMSG.exe C:\windows\system32\agent\syncagent.exe C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe C:\WINDOWS\system32\ctfmon.exe C:\Programmi\PeerGuardian2\pg2.exe C:\Programmi\TuneUp Utilities 2006\MemOptimizer.exe C:\Programmi\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe C:\Documents and Settings\Administrator\Desktop\HijackThis.exe C:\WINDOWS\System32\alg.exe C:\WINDOWS\system32\wuauclt.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/ R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [Cpqset] C:\Programmi\HPQ\Default Settings\cpqset.exe O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\GlobespanVirata\Adsl\dslstat.exe icon O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\GlobespanVirata\Adsl\dslagent.exe O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe" O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize O4 - HKLM\..\Run: [SpySweeper] "C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe" /startintray O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [PeerGuardian] C:\Programmi\PeerGuardian2\pg2.exe O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Programmi\TuneUp Utilities 2006\MemOptimizer.exe" autostart O4 - Global Startup: Kaspersky Anti-Hacker.lnk = C:\Programmi\Kaspersky Lab\Kaspersky Anti-Hacker\KAVPF.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe O23 - Service: NMSAccess - Unknown owner - C:\Programmi\CDBurnerXP\NMSAccess.exe O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programmi\TuneUp Utilities 2006\WinStylerThemeSvc.exe

06-04-2006, 00:58	#6
andorra24 Senior Member Iscritto dal: May 2005 Città: Palermo Messaggi: 6390	Fixa: C:\windows\system32\agent\syncagent.exe O4 - HKLM\..\Run: [Symantec Agent ] "C:\windows\system32\agent\syncagent.exe"

06-04-2006, 01:07	#11
StarTac Messaggi: n/a	Ma spiegatemi come mai dopo averlo rimosso con spysweeper ricompariva?

06-04-2006, 01:12	#15
StarTac Messaggi: n/a	L'ho tolto con hijackthis ma è ricomparso!!!

06-04-2006, 01:16	#18
Stev-O Senior Member Iscritto dal: Sep 2005 Città: Opinions are like assholes: anybody has one... Messaggi: 34290	cmq i due siti di prima me li segno __________________ Ну давай !! . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Cina, bugiardo - stolen conto: non paghi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . *NON CERCO PIU' UN ALIMENTATORE DECENTE ----------------> LINK*

06-04-2006, 01:36	#20
StarTac Messaggi: n/a	Allora rieccomi..... In modalità provvisoria non compare quella voce ne con hijackthis, tantomeno con spy sweeper ma al riavvio rieccolo presente all'appello! Cos'è Killbox? Provo con quello? Altrimenti spiegatemi quel tipo di keylogger cosa può comprtarmi se lo lascio perdere?

Strumenti
Mostra una versione stampabile Invia questa pagina per email