Schermi blu, .dmp, .xml, rifiuto CD/DVD, pgs web sconosciute ....PROCEDURA INFETTI!!!

[paoladamiano]

Come suggerito da Wjmat, eccomi qua ho deciso di intraprendere la procedura infetti.
Lastoria è iniziata dalla discussione "HiJackThis - Analisi Log - leggere Regole di Sezione" Pg507 messaggi 10125,10126, 10132 e 10134.
Riporto il 10125 in cui ho esposto il problema, gli altri messaggi li potere leggere qui
http://www.hwupgrade.it/forum/showth...37676&page=507

*****
Dunque: sono appena iscritta, inespertissima, ma vi leggo da 3 notti e mi sono fatta coraggio a fare un sacco di cose, forse non proprio alla perfezione.
Cercherò di essere più breve possibile, ma molti fatti si sono succeduti velocementee quindi perdonate lalunghezza di questo primo messaggio.
Tutto è iniziato dalla terribile schermata blu di errore irreversibile inesorabilmente causata dall'introduzionedi in DVD o CD vergine (quindi masterizzazione impedita) o dall'inserimento di un DVDmasterizzato dallo stesso computer in un recente e/o lontano passato (quindi visione film dei bambini impossibilitata). Al riavvio del PC seguivano i files .dmp e .xml che ho capito non servivano granché a me, mentre Microsoft (inviandogli la segnalazione), mi rispondeva che si doveva trattare di un problema di Antivirus (2 giorni fa avevo il Norton Internet Security 2009 su un Windows XP aggiornatissimo). Ho disinstallato il Norton (Pannello di controllo, tools di rimozione e ricerca manuale) e ho optato per Avast attualmente in funzione. Dopo una notte di Forum ho capito che mi mancavano diverse cose per essere protetta, anche perché un altro degli argomenti che mi sono resa conto di dover affrontare è stato Zapu (mi pare di averlo -puffpuff! infine risolto -forse- solo poco fa, le finestrone diogni genere dei giorni scorsi sembrano non esserci più e quindi vado oltre). Ho installato AdAware Lavasoft, l'ho fatto girare qualche volta e ora l'ho rimosso (non visualizzavo la quarantena e l'interfaccia non mi dava sicurezza). Ho installato il Disk Cleaner (icona imbuto) e l'ho fatto andare diverse volte: è ancora lì. A questo punto la visualizzazione dei DVD masterizzati rifunzionava perfettamente. !!! Parallelamente avevo anche intrapreso la ricerca dei firmware aggiornati dei lettori CD/DVD (decisamente fuori dalla mia portata!) e fortunatamente ho capito che il successo ottenuto con l'argomento Sicurezza mi doveva far andare avanti in tal senso. Ieri sera ho installato Ewido che mi piacerebbe tenere, ma quando ho fatto partire la scansione completa...questa mattina l'ho trovato bloccato su finestrella di sfondo nero ......motivazione rintracciata non mi ricordo come: "Problem caused by AVG Anti-Spyware
This problem was caused by AVG Anti-Spyware, which was created by GRISOFT, s.r.o.. There is no solution for this problem at this time". Sorge spontanea la domanda: qual'è l'AVG Anti-spyware della Grisoft sul mio PC?non l'ho ancora capito; anche la scansione intelligente da lo stesso risultato. Ho lasciato comunque Ewido perché ci devo vedere chiaro prima di scegliere la combinazione giusta di programmi. Ho disinstallato Disk Cleaner che all'occasione si re-installa in fretta perché per qualche motivo ho sospettato che AVG si riferisse a lui (c'erano queste 3 lettere nel nome del file che ho rimosso). Ho scaricato Spybot, ma non vedo nessuna icona in azione relativa a TeaTimer che mi pare di capire sia un'applicazione associata che dovrebbe lavorare sempre. L'ho fatto andare un paio di volte e sono rimasta perplessa nel vedere la prima volta uno e la seconda volta 3 cerchietti rossi con croce (non ho trovato evidenza di questo simbolo nelle spiegazioni):esempio
1)Errore durante la scansione!: Udis [19 - $C2B5C086] (Access violation at address 77C17FD4 in module 'msvcrt.dll'. Read of address 087D4000) ()
Gli altri messdi errore al momento non li ritrovo, anche se li ho fatti salvare al programma stesso: uno conteneva anche la parola Hacher 04 o simili e lì mi sono vista un po' persa.
Insomma ci mancava una scansione con Hijackthis. Ho installato, scansionato e analizzato il log sul sito IlSoftware e attualmente sembra tutto abbastanza a posto, ma visto che gli istruttori siete voi, vorrei ilvostro parere e quindi mi sono iscritta. Allego il file.
Cosa ci vedete in questo log? attendo un consiglio prima difare cosesbagliate nel troppo o nel poco.
Posso tenermi la seguente combinazione: Avast, Ewido e Spybot?
Tra breve rilancio la scansione con Ewido e vediamo se si blocca di nuovo. Vedete ragioni valide e risolvibili per questo blocco?
Disk Cleaner serve? vi risulta avere un conflitto con Ewido?
Domani riproverò a masterizzare.
Noto ora che il modem wireless NetGear si è già scollegato 2 o 3 volte durante la serata, ma forse è normale. Lascansione del disco Ewido la deve fare a compiuter scollegato dalla rete?
Basta così, sento che state per vomitare.
Grazie 1000 per la risposta su cui conto e mi autoammonisco per la lunghezza del messaggio,d'altronde così ve le ho dette tutte insieme.
Paola
Allegati 091119-hijackthis-1.txt (7.5 KB, 6 visite)
*******

Sono al punto 7.Hijakthis, spero di terminare stasera e di postare i log quanto prima. Segnalo però le seguenti difficoltà:
1) Con ATF-Cleaner ho fatto solo il log Main (il primo), gli altri non erano attivabili, ho provato tanto, ma niente.
2)F-Secure On Line mi da sempre ErroreID:12, non c'è statoverso di fare la scansione; Ho fatto in alternativa il Log con Kaspersky.
3)La cartella compressa dello snellitore ParserLog risuta corrotta. Ho provato a scaricarlo anche da un'altro computer, ma niente da fare. Se mi suggerite un'alternativa, altrimenti posterei i log sul server così come sono e alcuni sono molto più grandi rispetto agli altri!!.

Inoltre ecco 2 strane novità che si verificano in corso di procedura e che potrebbe essere utile conoscere per capirci di più. Quando apro un sito da IE o da un link in un .doc succede che :
A)Invece delle numerose finestre di siti non richiesti , a schermo pieno e senza barra IE che comparivano prima, ora mi si apre sempre una sola pagina web bianca -aggiuntiva rispetto a quella richiesta- che non contiene assolutamente nulla, solo la cornice blu e il nome del programma IE (ne ho chiuso una all'apertura del web poco fa, cliccando sul link della procedurain .doc).
B)Di tanto in tanto tenta di aprirsi Adob Acrobat Reader (non richiesto), non compare nulla, il comando di chiusura non risponde come dovrebbe e viene fuori la finestra di errore.

Nessuno mi ha risposto al messaggio 10132 e 10134. Capisco che "Nessuna nuova, buona nuova"

Sono qui che lavoro, se possibile attendo news sullo smagritore log, magari un'alternativa.
A più tardi

----------
Pulire il computer è pulire la vita (la tengo come massima di sostegno durante la procedura, il titolo che ho messo mi sembra più chiaro per chi stesse cercando soluzioni per una situazione analoga)

[wjmat]

ariciao

nel titolo penso che manchi solo peste e colera

per lo "smagritore" leggi nelle modalità in firma

[paoladamiano]

Originariamente inviato da wjmat

ariciao
nel titolo penso che manchi solo peste e colera
per lo "smagritore" leggi nelle modalità in firma

Allora ecco il primo indirizzo
http://fileqube.com/webfolder/36519#d:36519 . Non so se servirà la password che è "paoladamiano", la posizione si chiama "pd".
Sono 10 files, non ne accettava i più. La seconda tranche la carico subito, ma ci vuole un po' di tempo per il caricamento. Li ho numerati secondo la procedura. Con l'1 ce ne sono diversi poiché tra il primo log Hijaccipicchis e l'inizio della procedura con PrevCSI avevo fatto anche uno scan con AVAST in provvisoria e uno scan con Spybot.
1A - il primo Hijackthis lo avevamo già visto.
1B - Avast in provvisoria = 4 malaware che non mi è chiaro in quale cartella siano stati messi
1C - Spybot = 5 mal con "errore durante la scansione", pericolosi 0
1D - PrevxCSI = 2 mal solo segnalati e non eliminati xché si tratta della versione free
2 - Malwarebites = 2mal eliminati
3 - A-Squared = 28 posizioni infette, meno numerosi i mal xché si ripetono
4 - Kaspersky = 6 mal: 5 cancellati e 1 trattato
5 - DrWebCureIT = 0 mal (miglioriamo)
6 - ESET SysInspector , 2 scan xché mi sembrava quasi che non avesse fatto niente
7 - secondo Hijackthis = R3 e 02 si riferiscono alla barra yahoo che però non uso mai. probabilmente entrano in funzione se apro yahoo!? 08 excell cos'è?
09 no file è segnalato con una X nell'analisi che ho fatto su il Software, ...e poi non so.
8 - GMER = "Warning message attività Rootkit" , un punto interrogativo: type ? - Nome c:\windows\system32\driers\sptd.sys
e 2 rossi:
-type Process - Nome c:\document and setting\utente\impostazioni locali\dati applicazioniukgye.exe(***hidden***) - value 1920
-type Library - Nome c:\document and setting\utente\impostazioni locali\dati applicazioniukgye.exe(***hidden***)@c:\document and setting\utente\impostazioni locali\dati applicazioniukgye.exe(***hidden[1920] - value 0x00400000
9 - PrexCSI = 2 mal: gli stessi del punto 1D segnalati e non eliminati xché si tratta della versione free


Procedo a caricare i prossimi.
A più tardi
----------
Pulire il computer è pulire la vita

[paoladamiano]

Originariamente inviato da paoladamiano

Allora ecco il primo indirizzo
http://fileqube.com/webfolder/36519#d:36519 . Non so se servirà la password che è "paoladamiano", la posizione si chiama "pd".
Sono 10 files, non ne accettava i più. La seconda tranche la carico subito,

Ecco gli altri 6 log caricati, prima del previsto:
http://www.mediafire.com/upload_comp...id=2efxb2m9stz
non so se per questo server basta questo; metto anche i singoli url (nell'altro server non mi pareva ci fossero:
http://www.mediafire.com/?j2lwwyttryb
http://www.mediafire.com/?e5rmd5h1dez
http://www.mediafire.com/?qcm4zbjnmnm
http://www.mediafire.com/?dwin1xmctdt
http://www.mediafire.com/?c2yeymwnznz
http://www.mediafire.com/?mdty4mgylun

Ora che si fa? attendo di leggervi.

Intanto nella marea di cose che ho letto sul forum in questi giorni, come da guida" Trattamento post disinfezione" mi sembrerebbe utile passare a Avira Antivir Personal Free+Malvarebites+A-Squared+Terminator
Gli utenti non sono esperti, anche se alcuni spero abbiano capito quanto mi sta costando questa caduta + magari qualche altro trucchetto ... (a volte usiamo emule).
Comunque prima vorrei capire cosa c'è ancora da eliminare e come farlo.

Nota su Ewido ora sempre in funzione con pulsante sulla barra in basso (da lì il programma non si apre, dev'essere il Tea Timer): ogni tanto mi manda delle finestrelle che trattano di importanti modifiche all'avvio e/o ai files di registro: le ho accettate chiedendogli di ricordarselo. Continuo ad accettare lasciando traccia della decisione o rifiuto da ora in poi.
Sto andando bene, mi sembra, perfavore me lo dica anche qualcun'altro.
Ciò detto riavvio e attendo
a presto
Pulire il computerè pulire la vita

[paoladamiano]

Originariamente inviato da paoladamiano

Ecco gli altri 6 log caricati, prima del previsto:
http://www.mediafire.com/upload_comp...id=2efxb2m9stz
non so se per questo server basta questo; metto anche i singoli url (nell'altro server non mi pareva ci fossero:
http://www.mediafire.com/?j2lwwyttryb
http://www.mediafire.com/?e5rmd5h1dez
http://www.mediafire.com/?qcm4zbjnmnm
http://www.mediafire.com/?dwin1xmctdt
http://www.mediafire.com/?c2yeymwnznz
http://www.mediafire.com/?mdty4mgylun
.........

Caaaspitaaa!! mi sono accorta adesso che PrevxCSI free mi dava anche la possibilità di salvare il Log veeero!!! L'ho fatto e caricato ora per l'ultimo scan, visto che avevo ancora la finestra aperta (9bis); l'ho messo sul server dove sono i 6 qui sopra (+1=7):
http://www.mediafire.com/?j11ukdhlfuu
Ma per il l'1D non mi pare ci sia niente da fare, abbiamo solo il .doc con la stampa della schermata dei risultati.
Spero non pregiudichi la diagnosi.
Ciao
Pulire il computer è pulire la vita

[wjmat]

i primi log non riesco a raggiungerli perchè non ho la mail... non ti era stato chiesto di registrati
dato che la mail non è consigliabile pubblicarla... ti chiedo cortesemente di allegare di nuovo solo i log richiesti dalla guida senza fare il login su fileqube e quindi renderli accessibili a tutti senza psw

Ricapitolando carica (mettendo a finco del link il nome della scansione):

• log di Malwarebytes Anti-Malware
• log di A-squared
• log di Kaspersky Virus Removal Tool
• log di Dr.Web CureIT
• log di ESET SysInspector
• log di HiJackThis
• log di Gmer
• log di PrevxCSI

Poi scarica Avenger da qui
Lancialo → Clicca Ok → Copia e Incolla TUTTO il codice, che ti ho segnalato qui sotto, nel riquadro bianco del programma → Clicca su Execute
Attendi riavvio del pc. Se non si riavvia da solo fallo manualmente.
Al riavvio verrà salvato un log di Avenger. Postalo per vedere se la procedura ha funzionato.

Files to delete:
c:\documents and settings\utente\impostazioni locali\dati applicazioni\ukgye.exe

Fai controllare su www.virustotal.com e su http://virscan.org/

C:\Programmi\Elaborate Bytes\CloneDVD2\CloneDVD2-uninst.exe

Una volta sui siti clicca su sfoglia -> cerca i file che ti ho segnalato -> conferma -> Clicca Invia o Upload e attendi l'esito.
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollale nella discussione

Se il file dovesse essere nascosto o di sistema, Apri Risorse Computer -> Strumenti -> Opzioni Cartella... -> Visualizzazione -> Seleziona "Visualizza cartelle e file nascosti" -> scendi e togli la spunta a "Nascondi i file di sistema (consigliato)
Alla fine della verifica rimetti le impostazioni originali

• disinstalla Prevx
• riavvia il pc
• riscaricalo http://pxnow.prevx.com/zeroL/PREVXCSIFREE_IT.exe
• reinstallalo
• nuovo scan e nuovo log

[paoladamiano]

Originariamente inviato da wjmat

i primi log non riesco a raggiungerli perchè non ho la mail... non ti era stato chiesto di registrati ;
..............................)[/list]

Mamma mia quanta pazienza che ci vuole (e tu ce l'hai), ti prego non perderla sono anche disposta a fare tutta la procedura da capo se necessario.

Riproviamo:
Malwarebytes - http://www.fileqube.com/file/UFCyjYOy152066
A-Squared Free - http://www.fileqube.com/file/rNcFMA152067
Kaspersky - http://www.fileqube.com/file/GyTfam152075
DrWebCureIT - http://www.fileqube.com/file/MNqhZhNP152079
ESET SysInspector - http://www.fileqube.com/file/xmtKKeedk152080
HiJackThis - http://www.fileqube.com/file/zfYubPxj152083
Gmer - http://www.fileqube.com/file/KBxffdffr152084
PrevxCSI - http://www.fileqube.com/file/BgLCsOVR152086
PrevxCSI stampa videata- http://www.fileqube.com/file/LYiJqp152087

Ecco

Per il resto delle istruzioni devo riguardarle più tardi

Stai mettendo una grande causa nella tua vita

[wjmat]

con cureit non mi sembra tu abbia fatto la scansione completa

potresti smagrirmi anche il log di kasp please

poi aspettiamo il log di avenger e quello nuovo di prevx

[paoladamiano]

Originariamente inviato da wjmat

con cureit non mi sembra tu abbia fatto la scansione completa
potresti smagrirmi anche il log di kasp please
poi aspettiamo il log di avenger e quello nuovo di prevx

La cartella del programma di smagrimento ParserLog è corrotta (lo avevo segnalato) come faccio a smagrirlo?

Log DrCureIT:in effetti ifile analizzati sembrano un po' pochi. Non so dirti. La rifaccio?

Intanto allego il log Avenger (vedi sotto).
Al termine della scansione prima del riavvio,nostante un messaggio nel quale dichiarava che era andato tutto bene, era comparsa un'altra finestra che parlava di "Violation ... non so cosa".. si è chiuso tutto troppo in fretta, non ho potuto annotare.

[Parentesi: Il risultato di Avenger non ha per caso a che fare con le finestrelle di Spybot che ogni tanto mi segnalano una importante modifica ... eliminazione... con indicato un file che ha l'icona -credo- dei dischi di registro? (tipo cubo di rubik tutto blu in fase di disgregazione). Non sempre si tratta di una eliminazione, a volta è un'aggiunta. Fino ad ora (forse purtroppo) ho sempre detto di si chiedendogli di ricordare la decisione. Poco fa ne ho avuta un'altra e ho rifiutato l'eliminazione, ricordando la decisione (categoria: System Startup user entry, Modifica: valore aggiunto, Voce: uyuykqq, in c:\docum&Setting\utente\impostaz).]

Sui 2 siti Virustotal e Virusscan devo far controllare entrambe i files che mi hai indicato o solo il secondo?

Se mi fermo al 21° giorno, non vedrò mai il sole sulla capitale

[paoladamiano]

Prova e riprova, Ho aperto il parserLog con 7-Zip File Manager, ma non riesco ad * eseguire il file cureit.jar e continare con le istruzioni. Che faccio?

[wjmat]

non usare il parser leggi nelle modalità che ho in firma

[paoladamiano]

Originariamente inviato da wjmat

non usare il parser leggi nelle modalità che ho in firma

Sono commossa:
Karspersky smagrito= http://www.fileqube.com/file/CsKoowKK152140

Dunque tornando a noi, l'Avenger ce l'abbiamo già ....... controllo files sui 2 siti........non mi hai risposto, quindi suppongo di dover controllare tutti e 2.
Piccola pausa, e mi rimetto all'opera.

La buddità non è la meta, bensì il percorso

[paoladamiano]

Avenger log= http://www.fileqube.com/file/RzMwPl152144
Scusa , l'ho detto, ma non l'ho allegato.

[wjmat]

devi controllare solo questo

C:\Programmi\Elaborate Bytes\CloneDVD2\CloneDVD2-uninst.exe

aspettiamo nuovo log di cureit e prevx

[paoladamiano]

Originariamente inviato da paoladamiano

Avenger log= http://www.fileqube.com/file/RzMwPl152144
Scusa , l'ho detto, ma non l'ho allegato.

Ecco le 2 analisi del C:\Programmi\Elaborate Bytes\CloneDVD2\CloneDVD2-uninst.exe (rileggendo bene, mi pare che il primo file non sia da analizzare, diversamente rettificherai tu):
Virustotal analisi = http://www.virustotal.com/it/analisi...3825f1b0dbf313
Virscan = http://virscan.org/report/1480e9d9be...fe9e19df2.html
(qui non so se ti ho allegato la cosa giusta, non è un log classico da poter mettere sul server)
Ti segnalo la finestra comparsa prima del link qui sopra:
"The file are CloneDVD2-uninst.exe uploded by other users and scanned succesfully at 2008/10/16 14:59:08, and 38 softwares update the database from last scan to now."
A proposito di clone dvd, è un programma regolarmente comprato che ho reinstallato recentemente e posso disinstallarlo e reinstallarlo senza problemi.
Continuo con la disinstall di prevxCSI .........
A tra poco

[paoladamiano]

Originariamente inviato da wjmat

.............
aspettiamo nuovo log di cureit e prevx

Rieccomi:
Nuovo log da PrevxCSI reinstallato = http://www.fileqube.com/file/LCtLmNy152178
Stampa finestra della scansione = è inutile metterla perché contiene sempre gli stessi 2 Mal di prima
Nuovo log Cureit (smagrito) = http://www.fileqube.com/file/piqAsYOyo152241

[perché il precedente log Cureit era così corto?: durante la precedente scansione di DrWebCureit è succeso che non ho avuto il coraggio di stoppare l'Express Scan e far ripartire il programma dopo aver cliccato la Scansione Completa; stavolta l'ho fatto]

Ora vado a comprare una tastiera nuova, poiché quella che sto usando è piena di briciole e batte spazi e lettere solo se le va.
Attendo tue notizie

Gli ostacoli sono sempre grandi occasioni

[paoladamiano]

Dimenticavo un fatto, forse superfluo ai vostri occhi.
Quando ho disinstallato Prevx, il quale mi ha chiesto se volevo veramente disinstallarlo in quanto nel pc erano presenti dei Mal da debellare, sono anche comparse le 2 seguenti finestre:

Access violation at address 0046FBF5 in module Tea Timer.exe
Read of address 00000011

e

Termine programma - Spybot.S&D - l'applicazione non risponde .....pulsante Termina Adesso

[Quando ho installato Spybot, al termine della procedura, ti chiede se vuoi lanciare Spybot e Tea Timer (con 2 spunte già messe). Io ho tolto la spunta a TeaTimer pensando che fosse un'applicazione indesiderabile. Nel caso si decidesse di tenere Spybot, forse sarà meglio disinstallarlo e reinstallarlo. ?? Mi dirai tu]
...esco ...tastiera ...e torno
Pulire il computer è pulire la vita

[wjmat]

spybot disinstallalo che non vale una cippa

carica un log di combofix

[paoladamiano]

Originariamente inviato da wjmat

spybot disinstallalo che non vale una cippa

carica un log di combofix

Spybot disinstallato con molta fatica e comunque non del tutto. Va beh! se da fastidio quello che resta si vedrà. Ho volutamente conservato alcune cartelle che riguardano le azioni fatte (credo/spero).

Passiamo all'istallazione di Combofix: Avast è in real Time? provo a scaricare lo stesso il log (magari domani mattina: la famiglia mi richiede).

Per quanto riguarda l'infezione dell'uninstall di Clone DVD2 ho fatto un po' di prove: disinstallato Clone con anche cancellazione manuale dei files, disinstallato PrevxCSI, riavviato pc, ricaricato CloneDVD2, ricaricato PrevxCSI, scan, ridava lo stesso risultato. Dunque: o la Schifezza è nel CD di installazione (omprato), o ormai è nel PC in stato di latenza/nascosto e si manifesta solo se reinstalli il programma. Ho provato anche a cercarlo in esplora risorse, ma la Schifezza non si fa trovare. Per ora il Clove non è istallato, ma lo reinstallerò per capire se la cosa mi crea veramente problemi (domani); visto che si trova nell'unistall magari non compromette il funzionamento del programma.
Poiché il Clone serve per assemblae i file decodificati e masterizzare un flm in formato DVD, mi sorge il dubbo che possa essere un dispetto dell'industria cinematografica.

Sull'esplora risorse ho cercato anche il file uyuykqq.exe (c:\documents and settings\utente\impostazioni locali\dati applicazioni\uyuykqq.exe [PX5: AB8017D700D44A4600EF054703A60300C4494099] Malware Group: Fraudulent Security Program), ma non viene fuori niente (ingenua).

Ho Fix(ato) , o come si dice, 2 voci 04 del log Hijackthis
04 HKLM Quik Time Task.....qhask.exe e
04 HKLM .....................zHotky.exe (era la tastiera con le briciole, così mi disse tempo fa il negozio di computer, e ho anche aggiunto il parere sull'analizzatore dei log Hijackthis).

Attendo un vostro verdetto su tutta la faccenda infezioni e sul da farsi.

Ho i brividi: che abbia preso un virus?

[paoladamiano]

Originariamente inviato da wjmat

spybot disinstallalo che non vale una cippa

carica un log di combofix

Niente Combofix: mi dice che è impossibile rinominare il file Combofix [1] e che bisogna dargli un altro nome, o qualcosa del genere.
Lascio perdere per il momento.
Nel frattempo però, senza Spybot, la finestra vuota di IE si riempie di pubblicità.
Dai log Hijickthis non si riesce a capire qual'è la stringa da Fix(are) per non farla comparire?

Pulire il computer, è pulire la vita