downloader.swizzor.8.BK

[sparrow06]

Logfile of HijackThis v1.99.1
Scan saved at 20.02.36, on 28/01/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
c:\docume~1\cristian\datiap~1\chinre~1\admin mix real.exe
c:\progra~1\intern~1\iexplore.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\cristian\Impostazioni locali\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.it/0SEITIT/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.it/0SEITIT/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.it/0SEITIT/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programmi\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Windows Live Search - res://C:\Programmi\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Aggiungi all'elenco di stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Anteprima Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Apri in nuova scheda in primo piano - res://C:\Programmi\Windows Live Toolbar\Components\it-it\msntabres.dll.mui/230?448ee39326de495b8f537df205b99c5c
O8 - Extra context menu item: Apri in nuova scheda in secondo piano - res://C:\Programmi\Windows Live Toolbar\Components\it-it\msntabres.dll.mui/229?448ee39326de495b8f537df205b99c5c
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Stampa ad alta velocità Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary...r.cab31267.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/.../GAME_UNO1.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/reso...an8/oscan8.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{278824CE-8923-41F8-AABE-140FF0868111}: NameServer = 85.37.17.55 85.38.28.93
O17 - HKLM\System\CCS\Services\Tcpip\..\{A37604AB-DB0C-4817-BEA7-B7CEA73E3591}: NameServer = 151.99.125.2,151.99.125.3
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

[sparrow06]

credo cmq di avere della robaccia oltre a downloader.swizzor.8.BK!

[wizard1993]

vedo che hai avg; prova a passare a un altro antivirus free ad esempio avs o avira.
poi il log postalo nel 3d ufficilae

[giannola]

Originariamente inviato da sparrow06

credo cmq di avere della robaccia oltre a downloader.swizzor.8.BK!

elimina questo:
c:\docume~1\cristian\datiap~1\chinre~1\admin mix real.exe

questo :

c:\progra~1\intern~1\iexplore.exe
che è una ripetizione sospetta del vero file elencato poco più sopra.

[wizard1993]

Originariamente inviato da giannola

elimina questo:
c:\docume~1\cristian\datiap~1\chinre~1\admin mix real.exe

questo :

c:\progra~1\intern~1\iexplore.exe
che è una ripetizione sospetta del vero file elencato poco più sopra.

quoto; il primo non ono riuscito a beccarlo su internet

[sparrow06]

gli ho eliminati,ma cmq nel task manager da qualche giorno nn mi è più possibile vedere i processi attivi!

[giannola]

Originariamente inviato da sparrow06

gli ho eliminati,ma cmq nel task manager da qualche giorno nn mi è più possibile vedere i processi attivi!

apri il task manager, seleziona visualizza->seleziona colonne
scegli quello che vuoi vedere.

[sparrow06]

nn ho più quei comandi!ho solo passa a, termina operazione e nuova operazione. E quando lo riduco a icona nn mi ci viene scritto nulla!

[giannola]

Originariamente inviato da sparrow06

nn ho più quei comandi!ho solo passa a, termina operazione e nuova operazione. E quando lo riduco a icona nn mi ci viene scritto nulla!

scusa mi posti una immagine del tuo task manager ?

[sparrow06]

scusa ma ero via! come faccio a postartela che nn lo ho mai fatto?

[sparrow06]

cmq downloader.swizzor.8.BK mi è tornato!

[c.m.g]

caro mio mi è successo anche a me su un computer di un cliente è l'unica cosa che ho potuto fare è eliminare la partizione e rifarla, non formattare, perchè dopo la reinstallazione si ripresentava il problema con win "fresco" di giornata. temo, ma non ne sono sicuro, che ti sia beccato u rootkit che ancosa non si conosce e che è in giro per la rete.

[giannola]

Originariamente inviato da sparrow06

scusa ma ero via! come faccio a postartela che nn lo ho mai fatto?

usa il tasto stamp.
apri un programma di fotoritocco
crea nuova
ctrl+ v per incollare
ecco adesso hai l'immagine del tuo desktop, ritagliala pe rprendere solo il task manager e mettila su imgshack

[wizard1993]

Originariamente inviato da giannola

usa il tasto stamp.
apri un programma di fotoritocco
crea nuova
ctrl+ Vper incollare
ecco adesso hai l'immagine del tuo desktop, ritagliala pe rprendere solo il task manager e mettila su imgshack

ora va meglio

[giannola]

Originariamente inviato da wizard1993

ora va meglio

sono un impiastro.

[sparrow06]

ho effettuato la scansione con rootkit reveal e questoè il log:


HKLM\SECURITY\Policy\Secrets\SAC* 07/08/2006 11.11 0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI* 07/08/2006 11.11 0 bytes Key name contains embedded nulls (*)
C:\Documents and Settings\cristian\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\rqo53dys.default\Cache\3506331Ed01 31/01/2007 18.31 16.08 KB Hidden from Windows API.
C:\Documents and Settings\cristian\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\rqo53dys.default\Cache\35076D68d01 31/01/2007 18.31 16.08 KB Hidden from Windows API.
C:\Documents and Settings\cristian\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\rqo53dys.default\Cache\63440AF3d01 31/01/2007 18.33 33.63 KB Hidden from Windows API.


Cmq devo prendere in considerazione quello che ha detto c.m.g. ?

[wizard1993]

fai un passaggio con rootkit unhooker

[sparrow06]

fatto ecco il log:

HKLM\SECURITY\Policy\Secrets\SAC* 07/08/2006 11.11 0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI* 07/08/2006 11.11 0 bytes Key name contains embedded nulls (*)
C:\Documents and Settings\cristian\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\rqo53dys.default\Cache\3506331Ed01 31/01/2007 18.31 16.08 KB Hidden from Windows API.
C:\Documents and Settings\cristian\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\rqo53dys.default\Cache\35076D68d01 31/01/2007 18.31 16.08 KB Hidden from Windows API.
C:\Documents and Settings\cristian\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\rqo53dys.default\Cache\63440AF3d01 31/01/2007 18.33 33.63 KB Hidden from Windows API.


E come diceva giannola c'era in rootkit, cmq all'apertura del programma mi segnala che ho un theread remoto sconosciuto con il seguente ID: 3416.
resto in attesa di una risposta.....

[wizard1993]

chi rootki unhooker?
lo fa pure a me

[sparrow06]

cmq quando lo apro ogni volta mi segnala di aver trovato un rootkit ed è sempre diverso dal precedente! ma che cosa significa?
vi metto l'ultimo log con unhooker:

RkUnhooker report generator v0.5c
==============================================
Rootkit Unhooker kernel version: 3.01.100.360
==============================================
Windows Major Version: 5
Windows Minor Version: 1
Windows Build Number: 2600
==============================================