Tool Sicuro

[giuse010]

Salve,
sono Giuse010.

Mi è successo che da due giorni a questa parte ogni volta che mi collego a Yahoo e leggo la prima email mi compare una finestra dove mi chiede di installare il tool sicuro in quanto mi dice che ci potrebbero essere dei file danneggiati.

Ieri mi sono poi ritrovato sul desktop un icona di setup. verificata con Nod32 ed era pulita. Quindi l'ho cancellata.

Stamattina il programmino alla lettura della prima email di yahoo si è riaperto, Cliccato annula ma ha provato lo stesso a installarsi. Rifatto annula ed è scomparso. Questa volta non ci sono file sul desktop.

Io utilizzo FireFox come browser.

Come mai mi è ritornato anche questa mattina?
Ieri sera ho fatto anche una scansione completa con Nod32 ed era tutto ok.
Ho usato AdAware e mi ha trovato i soliti problemini... 4 file cancellati...
Che cosa potrebbe essere?

ho letto in questo forum che si tratta di Virus.
Il mio sistema operativo e Win XP home edition.

Come faccio a non farlo tornare più?

Grazie a voi tutti per le vostre risposte!

Saluti,
Giuse010

[Chill-Out]

Innazitutto mai cliccare su annulla o su qualsiasi altra opzione è preferibile terminare il processo utilizzando Task Manager.

Clicca su Start - Pannello di controllo - doppio clic su Strumenti di amministrazione - doppio clic su Servizi - doppio clic su Messenger - Seleziona Disabilitato dall'elenco Tipo di avvio - Fare clic su Stop e quindi su OK

Scarica HijackThis da qui http://www.trendsecure.com/portal/en...HiJackThis.zip
decomprimi il file - lancia l'eseguibile - clicca su Do a system scan and save log file - copia ed incolla il log nel prossimo post

[giuse010]

Allora, il cliccare annulla non l'ho premuto io, ma mia moglie, io sono al lavoro... Cmq pensavo anche io che quel tasto era utile per chiudere il programma, ma pensandoci bene è il pulsante in cui io hacker metteri i virus...

Appena posso posterò il log che mi hai chiesto.

Grazie mille dell'aiuto!

Giuse010

[giuse010]

Originariamente inviato da Chill-Out

Clicca su Start - Pannello di controllo - doppio clic su Strumenti di amministrazione - doppio clic su Servizi - doppio clic su Messenger - Seleziona Disabilitato dall'elenco Tipo di avvio - Fare clic su Stop e quindi su OK

Scusami questa disabilitazione potrebbe eliminare il problema delle continue comparse di questo programmino?
E poi lo lascio sempre disabilitato anche in futuro?

Grazie.
Ciao

[Chill-Out]

Originariamente inviato da giuse010

Scusami questa disabilitazione potrebbe eliminare il problema delle continue comparse di questo programmino?
E poi lo lascio sempre disabilitato anche in futuro?

Grazie.
Ciao

Potrebbe essere parte o causa del problema, comunque è un servizio inutile da tenere disabilitato sempre.

[giuse010]

Grazie dell'informazione!

Allora lo terrò sempre disabilitato.

[Chill-Out]

Originariamente inviato da giuse010

Grazie dell'informazione!

Allora lo terrò sempre disabilitato.

prego, per escludere un eventuale infezione e proseguire servirebbe il log che ti ho chiesto precedentemente.

[giuse010]

Originariamente inviato da Chill-Out

prego, per escludere un eventuale infezione e proseguire servirebbe il log che ti ho chiesto precedentemente.

Il problema è che ti sto scrivendo dall'ufficio.
Il portatile è a casa e il problema questa mattina me lo ha segnalato mia moglie.

Quindi, purtroppo per me, forse riesco a farti avere questo log solo in serata, cioè appena arrivo a casa.

Intanto ho aperto da subito questo topic perchè volevo sapere se questo "tool sicuro" fosse veramente un virus.

Ne sai qualcosa di questo tool?

[Chill-Out]

Originariamente inviato da giuse010

Il problema è che ti sto scrivendo dall'ufficio.
Il portatile è a casa e il problema questa mattina me lo ha segnalato mia moglie.

Quindi, purtroppo per me, forse riesco a farti avere questo log solo in serata, cioè appena arrivo a casa.

Intanto ho aperto da subito questo topic perchè volevo sapere se questo "tool sicuro" fosse veramente un virus.

Ne sai qualcosa di questo tool?

La sezione Aiuto sono infetto! Cosa faccio? è piena di messaggi di pseudotool - messaggi di errore - finestre che si aprono invitandoti a scaricare un non precisato software.

[giuse010]

Originariamente inviato da Chill-Out

La sezione Aiuto sono infetto! Cosa faccio? è piena di messaggi di pseudotool - messaggi di errore - finestre che si aprono invitandoti a scaricare un non precisato software.

Scusami ma questi tool si possono installare da soli?
Ma come è possibile che in tutti e due i casi è successo mentre si pariva il primo messaggio mail della giornta dal sito di yahoo?

Utillizzo FireFox.

E non invece appena mi collego a Internet.

In poche parole succede questo: Mi collego, incomincio a visualizzare pagine. Quando poi vado sul sito di Yahoo ed entro nella mia posta e clicco per leggere una mail, ecco che mi compare questo tool, chiudendomi FireFox...

Potresti immaginare il perché?

Grazie!

[Chill-Out]

Originariamente inviato da giuse010

Scusami ma questi tool si possono installare da soli?
Ma come è possibile che in tutti e due i casi è successo mentre si pariva il primo messaggio mail della giornta dal sito di yahoo?

Utillizzo FireFox.

E non invece appena mi collego a Internet.

In poche parole succede questo: Mi collego, incomincio a visualizzare pagine. Quando poi vado sul sito di Yahoo ed entro nella mia posta e clicco per leggere una mail, ecco che mi compare questo tool, chiudendomi FireFox...

Potresti immaginare il perché?

Grazie!

Di ipotesi ne posso fare tante, ma per proseguire serve il log di cui sopra

[giuse010]

Originariamente inviato da Chill-Out

Di ipotesi ne posso fare tante, ma per proseguire serve il log di cui sopra

Ok!
Scusami!

Appena posso, metto il log che mi hai chiesto.

Tu in serata ci sei?

Grazie mille per la tua disponibiltà!

Ciao
Giuse010

[Chill-Out]

Originariamente inviato da giuse010

Ok!
Scusami!

Appena posso, metto il log che mi hai chiesto.

Tu in serata ci sei?

Grazie mille per la tua disponibiltà!

Ciao
Giuse010

prego, o io o gli altri ragazzi che frequentano questa sezione sapranno consigliarti per il meglio e sul da farsi.

[pro_fumo]

Ciao Ragazzi,

è successo pure a me ieri sera, sempre con le stesse modalità

Win Vista (appena reinstallato!!!)
Firefox
e consultanto la mail di yahoo

caso dei casi non usavo io il portatile ma la mia ragazza

Sinceramente non so cosa abbia cliccato e dopo essere apparso per 2 volte non ho più trovato tracce almeno nel desktop;Passato al setaccio il sistema con Nod32 e non mi ha trovato niente.... meglio che mi preoccupi???

[giuse010]

Eccoci qua!
Sono sul mio computer!!!

Iniziamo...

[giuse010]

Originariamente inviato da Chill-Out

Clicca su Start - Pannello di controllo - doppio clic su Strumenti di amministrazione - doppio clic su Servizi - doppio clic su Messenger - Seleziona Disabilitato dall'elenco Tipo di avvio - Fare clic su Stop e quindi su OK

Allora il servizio è già disabilitato!

Adesso passo a scaricare il programma!

[giuse010]

Ecco il log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20.26.56, on 25/10/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16544)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Acer\eManager\anbmServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\oodag.exe
C:\acer\epm\epm-dm.exe
C:\Programmi\Launch Manager\QtZgAcer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe
D:\Programmi\DAEMON Tools\daemon.exe
D:\Programmi\Pinnacle\Shared Files\Programs\USBTip\USBTip.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Windows Media Player\WMPNSCFG.exe
D:\BarraDiAvvio\yz_dck0083\YzDock.exe
C:\Programmi\Alice ti aiuta\bin\mpbtn.exe
C:\Programmi\acer\eRecovery\Monitor.exe
D:\Programmi\eMule\emule.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Pino\Desktop\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://giuse010.altervista.org/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe
O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot
O4 - HKLM\..\Run: [LManager] C:\Programmi\Launch Manager\QtZgAcer.EXE
O4 - HKLM\..\Run: [eRecoveryService] C:\Windows\System32\Check.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [PCLEPCI] D:\PROGRA~1\Pinnacle\PPE\PPE.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [DAEMON Tools] "D:\Programmi\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [USBToolTip] "D:\Programmi\Pinnacle\Shared Files\Programs\USBTip\USBTip.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programmi\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Collegamento a YzDock.exe.lnk = D:\BarraDiAvvio\yz_dck0083\YzDock.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Alice ti aiuta.lnk = C:\Programmi\Alice ti aiuta\bin\matcli.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9E90DB19-8308-4D20-9360-F858D09B066B}: NameServer = 85.37.17.9 85.38.28.75
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe

--
End of file - 7574 bytes

Aspetto vostre notizie!!!
Grazie mille!!!

[giuse010]

Scusatemi, il log è incompleto, devo fare altre cose?

Grazie a voi tutti per la collaborazione!

Ciao
Giuse010

[Chill-Out]

Il tuo log è pulito a parte una voce ininfluente.

[giuse010]

Originariamente inviato da Chill-Out

Il tuo log è pulito a parte una voce ininfluente.

E allora se domani mattina mi ritorna che devo fare?

Ma non può essere una specie di dialer nascosto da qualche parte...

Se guardo i processi con regedit ci sono delle voci che non capisco:

HotKeysCmds
IgfxTray
IMJPMIG8... Nella cartella C:\Windows\IME
MSPY2002
PHIME2002A
PHIME2002ASync
TkBellExe

Può esserci qualcosa qui dentro?

Grazie della tua risposta!