confunsione

[bash86]

ciao a tutti, volevo chidere un aiuto
ho un pc di un mio amico, il solito utente inesperto e casinista, ed è abbastanza incasinato:

ho fatto una scansione con avast antivirus e ha rilevato uno strano trojan:

18/06/2007 22.26.45 1182198405 ab 2728 Sign of "Win32:Agent-HBX [Trj]" has been found in "F:\WINDOWS\system32\updbbnvd.exe" file.

alla prima scansione e poi

data ora 1182277040 ab 2364 Sign of "Win32:Agent-HBX [Trj]" has been found in "F:\System Volume Information\_restore{BCD0EEDA-8B54-4A40-8A10-6A2AEF27DCB1}\RP16\A0002176.exe"file.

non ho trovato nessun riferimento su internet. però sono a conoscenza che ha un diealer installato, magari sarà quello.
poi allora lancio hijackthis per postarvi il log e quando lancio il programma mi esce l'immagine che ho postato. qualcuno saprebbe dirmi cosa succede?

thanks so much!!

[Tidus Strife]

Quel warning di hijackthis è normalissimo, clicca su OK poi ti si apre il programma, poi fai Do a system scan and save a logfile, ti si apre il blocco note, copia e incolla il suo contenuto qui... I virus che individua avast vedi se riesci almeno a metterli in quarantena...

[bash86]

ah ok...il problema è che quando apro hijackthis quella scermata di attenzione resta aperta circa un secondo e poi si chiude...una cosa starna è che quando vado sulla cartella dell'eseguibile la cartella si chiude da sola e non mi lascia a lanciare il sw e in più oltre a chiudersi la cartella per un secondo scompaiono tutte le icone e poi riappare il desktop normalmente...cosa può essere? può essere il virus che da problemi? ah l'utente con cuo entro naturalmente è l'administrator..

[wizard1993]

fai una passata con gmer o se ti si chiude panda antirootkit

[bash86]

allora con panda antirootkit non segnala nessun errore, però mi sembra molto strano perchè il pc ha realmente problemi. allora ho provato a terminare qualche processo che mi sembrava non regolare e così sono riuscito a far partire hijackthis e gmer. intanto vi posto qui sotto il log di hijackthis poi se ce la faccio posto anche il log di gmer:

Logfile of HijackThis v1.99.1
Scan saved at 20.19.30, on 21/06/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\asuskbservice.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\CTsvcCDA.EXE***************************
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmi\File comuni\Panda Software\PavShld\pavprsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\anvshell.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\HP\HP Software Update\HPWuSchd.exe
C:\Programmi\HP\hpcoretech\hpcmpmgr.exe
C:\Programmi\FaxTalk Communicator\FTCtrl32.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Creative\MediaSource\Detector\CTDetect.exe
C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe
C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programmi\FaxTalk Communicator\FAPIEXE.EXE
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\taskmgr.exe
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,"c:\windows\system32\lexmarkspeed.exe",
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [anvshell] anvshell.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [HP Software Update] "C:\Programmi\HP\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programmi\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [LanzarL2007] "C:\DOCUME~1\PROPRI~1\IMPOST~1\Temp\{DAEDB3D0-1EC2-413D-8091-4DC8ED670D6B}\{D1DA2BA7-2592-4036-9BB2-DCCABDE8DC1A}\..\..\L2007tmp\Setup.exe" /SETUP:"/l0x0010"
O4 - HKLM\..\Run: [CallControl 4.5] C:\Programmi\FaxTalk Communicator\FTCtrl32.exe /autoload
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [Creative Detector] C:\Programmi\Creative\MediaSource\Detector\CTDetect.exe /R
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe"
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Porta Symantec Fax Starter Edition.lnk = C:\Programmi\Microsoft Office\Office\1040\OLFSNT40.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O16 - DPF: {AB86CE53-AC9F-449F-9399-D8ABCA09EC09} (Get_ActiveX Control) - https://h17000.www1.hp.com/ewfrf-JAV...oadManager.ocx
O23 - Service: ASUSKeyboardService - ASUSTeK COMPUTER INC. - C:\WINDOWS\asuskbservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXE
O23 - Service: %NVSVC.name% (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Panda Process Protection Service (PavPrSrv) - Panda Software - C:\Programmi\File comuni\Panda Software\PavShld\pavprsrv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Unknown owner - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe (file missing)

la riga C:\WINDOWS\System32\CTsvcCDA.EXE*************************** l'ho segnalata io perchè il processo che ho terminato da taskmanager per far partire i programmi di controllo.

chi trovasse qualcosa di anomalo me lo faccia sapere....grazie infinite!

[Tidus Strife]

Aggiorna windows al service pack 2....

poi fixa:

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,"c:\windows\system32\lexmarkspeed.exe" ,
O4 - HKLM\..\Run: [LanzarL2007] "C:\DOCUME~1\PROPRI~1\IMPOST~1\Temp\{DAEDB3D0-1EC2-413D-8091-4DC8ED670D6B}\{D1DA 2BA7-2592-4036-9BB2-DCCABDE8DC1A}\..\..\L2007tmp\Setup.exe" /SETUP:"/l0x0010"

[bash86]

ciao, scusate il ritardo ma ero abbastanza incasinato. cmq ho fatto quello che i è stato detto di fare da Tidus Strife. il pc sembra andare mooooolto meglio. cmq per sicurezza ho fatto un'alta scansione con hijack. vi posto il log dateci un'occhiata se vi sembra tutto ok. grazie ancora efatemi sapere se c'è qualcosa che non v ancora bene. ciao.

Logfile of HijackThis v1.99.1
Scan saved at 21.44.27, on 25/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\asuskbservice.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmi\File comuni\Panda Software\PavShld\pavprsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\msiexec.exe
C:\WINDOWS\anvshell.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\HP\HP Software Update\HPWuSchd.exe
C:\Programmi\HP\hpcoretech\hpcmpmgr.exe
C:\Programmi\FaxTalk Communicator\FTCtrl32.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Creative\MediaSource\Detector\CTDetect.exe
C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe
C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programmi\Microsoft Office\Office\1040\OLFSNT40.EXE
\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE
C:\Programmi\FaxTalk Communicator\FAPIEXE.EXE
\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE
C:\WINDOWS\explorer.exe
C:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,"c:\windows\system32\lexmarkspeed.exe",
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll


il bash...

[Tall99]

io consiglio di fixare anke questo
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,"c:\windows\system32\lexmarkspeed.exe" ,
ma aspetta qualke altro commento,non si sa mai

[bash86]

infatti l'avevo già fixato....mi sa che vi ho messo il log precedente...stasera metto quello aggiornato...cmq grazie...

ciao..