Aiuto, il mio pc parla in cinese!!

[MaD85]

Ragazzi non so piu' cosa fare...

penso che il problema sia iniziato quando ho visto 1 file video di uno spot cinese. Non pensavo che i file multimediali potessero caricare virus/script o quel che e'.

Questo e' quello che succede da ieri:

ogni tot minuti flashget si apre da solo e mi dice di voler scaricare un collegamento, il link che mi da' e' questo:

h**p://www.zhenip.com/buyip_reload_url.html?url_id=14046&to_url=http%3A%2F%2Fstock.hexun.com%2F%3Fb28NONAPRIRMI

Senza "NONAPRIRMI", ovviamente non l'ho mai visto il collegamento.

Se gli do' "Annulla", subito dopo si apre il processo "iexplore.exe" e dalle casse si sente uno spot cinese, se killo da Task Manager Explorer (di cui non si vede la finestra ma e' caricato), ricomincia ad aprirsi Flashget, e così via in loop.

Ho cercato in internet e l'unica cosa che ho trovato e' questo link:
http://answers.yahoo.com/question/in...4055446AASbJzV

Dove un'altra persona ha lo stesso identico problema, uno gli dice così:

I had this exact same virus yesterday (and I still have no idea how I got it), and it almost drove me nuts with IE mysteriously appearing in my task manager every two minutes and playing those chinese ads.

I managed to solve the problem by googling 'zhenip.com', and apparently the troublemaker is SkypeComm.dll (C:\WINDOWS\system32\SkypeComm.dll), which has been cleverly named as such to avoid virus detection and pass off as a legitimate file. I deleted it from the System32 folder and it seems to have solved the problem.

I hope this answers your question!

* 6 days ago

Source(s):
Followed the instructions on this website:
http://hi.baidu.com/lcdbbs/blog/item...24aedbcd3.html
and it worked for me.

Il problema e' che il link e' tutto in cinese!!

Cercando di capire il testo ho visto che si ricrea ogni volta una chiave di registro in:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects



Ecco la chiave:



Se la cancello si ricrea ogni volta da sola.

Aiutatemi per favore che non so piu' che fare...

[wjmat]

Ciao

Per ripulire completamente il pc segui la guida alla disinfezione per infetti ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post, e secondo le modalità .

Leggi bene tutto questo post, e salvo problemi gravi, arriverai in fondo alla guida in perfetta autonomia

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner, vogliamo necessariamente in ordine e anche se non è stato rilevato nulla mettendo il nome della scansione a fianco del link :

1. log di Malwarebytes Anti-Malware aggiornato ad oggi
2. log di A-squared scansione deep aggiornato ad oggi
3. log di Kaspersky Virus Removal Tool scaricato oggi oppure di F-Secure OnLine
4. log di Dr.Web CureIT scaricato oggi
5. log di ESET SysInspector
6. log di HiJackThis
7. log di Gmer
8. log di PrevxCSI

Se il pc dovessse essere molto compromesso (es. riavvii frequenti, schermate blu) oppure hai problemi con internet per aggiornare i programmi leggi qui

Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione, in questo modo eviti di reinfettarti ancora dopo che hai ripulito il pc.

Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

link utili per il caricamento log ed immagini
caricamento log fileqube.com, wikisend.com, mediafire.com
caricamento immagini fileqube.com, imageshack

[MaD85]

Sto facendo come indicato. Mi sono un attimo bloccato con Karspersky, mi ha trovato qualcosa e dice che al prossimo riavvio verra' cancellato, quando pero' chiudo il programma mi chiede se voglio disinstallarlo, se gli dico di sì cmq al riavvio mi viene cancellato il suddetto file o devo aspettare il riavvio e poi posso cancellarlo?

[Chill-Out]

Originariamente inviato da MaD85

Sto facendo come indicato. Mi sono un attimo bloccato con Karspersky, mi ha trovato qualcosa e dice che al prossimo riavvio verra' cancellato, quando pero' chiudo il programma mi chiede se voglio disinstallarlo, se gli dico di sì cmq al riavvio mi viene cancellato il suddetto file o devo aspettare il riavvio e poi posso cancellarlo?

Non disinstallare, alcuni files per essere eliminato necessitano un riavvio.

[MaD85]

Alla fine ho riavviato e poi disinstallato.

Ho disattivato la protezione di sistema e pulito con AFT-Cleaner poi ho scansionato con:

Malwarebytes log> http://www.fileqube.com/file/cOOWzKt155471
A-Squared log> http://www.fileqube.com/file/tcoULhb155475
Kaspersky log> http://www.fileqube.com/file/lhveVosS155488
Dr. Web CureIT log> http://www.fileqube.com/file/ZPeIYkoj155512
ESET Sys log> http://www.fileqube.com/file/yHYGJsQxq155533
HiJackThis log> http://www.fileqube.com/file/bKCqCLce155534
Gmer log> http://www.fileqube.com/file/CjKaFU155536
PrevxCSI log> http://www.fileqube.com/file/BQGAEIlXX155537
PrevxCSI screenshot> http://www.fileqube.com/file/CzlFRBcE155538

[Chill-Out]

Ciao prima di procedere verifica su http://www.virustotal.com/it/ e http://virscan.org il seguente file taskmagr.exe in questo percorso C:\WINDOWS\system32\ per i risultati basta riportare nel prossimo post l'URL rilasciata a fine scansione.

Mi sembra strano che nè Kaspersky nè DrWeb l'abbiano visto

[MaD85]

http://www.virustotal.com/it/reanali...e1fc1806599905

http://virscan.org/report/f2eac0c165...4c8fd55b6.html

Il secondo link una volta uppato mi ha dato un mess in inglese che non ho capito, potevo scegliere tra "ReScan" e "Scan Result" e ho cliccato il secondo.

[Chill-Out]

Originariamente inviato da MaD85

http://www.virustotal.com/it/reanali...e1fc1806599905

http://virscan.org/report/f2eac0c165...4c8fd55b6.html

Il secondo link una volta uppato mi ha dato un mess in inglese che non ho capito, potevo scegliere tra "ReScan" e "Scan Result" e ho cliccato il secondo.

Il primo forse in ogni caso devi fare Rescan

[MaD85]

Questo dicevo:


Facendo ReScan: http://virscan.org/report/f2eac0c165...4c8fd55b6.html

[Chill-Out]

Originariamente inviato da MaD85

Questo dicevo:


Facendo ReScan: http://virscan.org/report/f2eac0c165...4c8fd55b6.html

Perlo di VT non vedo i risultati, in ogni caso il file e sempre bene riscansionarlo

[MaD85]

Originariamente inviato da Chill-Out

Perlo di VT non vedo i risultati, in ogni caso il file e sempre bene riscansionarlo

Spero vada bene: http://www.virustotal.com/it/analisi...f23f810bca3670

[Chill-Out]

1 Esegui HJT clicca su Do a system scan only e metti il segno di spunta nella casella bianca a sx delle sotto indicata voce:

O23 - Service: Application Driver Auto Removal Service (01) (appdrvrem01) - Protection Technology - C:\WINDOWS\System32\appdrvrem01.exe

clicca su Fix cheked

2 Da Start - Esegui - dgita cmd

nella finestra DOS digita:

sc stop appdrvrem01 -->> e batti invio
sc delete appdrvrem01 -->> e batti invio

sc stop 01 -> batti invio
sc delete 01 -> batti invio

Exit per uscire

3 Scarica Avenger da qui http://swandog46.geekstogo.com/avenger2/download.php scompatta l'archivio compresso, avvia Avenger copia ed incolla il seguente script nel box bianco

Files to delete:
C:\WINDOWS\system32\msfontsbm.dll
C:\WINDOWS\system32\UsbPadCP.dll
C:\WINDOWS\system32\taskmagr.exe
C:\WINDOWS\System32\appdrvrem01.exe

clicca su Execute, al termine il Pc si dovrebbe riavviare se no riavvia tu manualmente ed allega il log che trovi in C:\Avenger.txt

Riepilogo log da allegare:
Avenger
HJT
Prevx

[Chill-Out]

Scusa ho editato il post sopra al Punto 2 avevo dimenticato una parte, chiedo venia.

[MaD85]

Originariamente inviato da Chill-Out

2 Da Start - Esegui - dgita cmd

nella finestra DOS digita:

sc stop appdrvrem01 -->> e batti invio
sc delete appdrvrem01 -->> e batti invio

sc stop 01 -> batti invio
sc delete 01 -> batti invio

Exit per uscire

Questo e' il risultato:

Riepilogo log da allegare:
Avenger
HJT
Prevx

Avenger: http://www.fileqube.com/file/txzRmNjDW155720
HJT: http://www.fileqube.com/file/MXOckfF155721
Prevx: http://www.fileqube.com/file/HOuoeKPJW155723

Prevx screenshot:


HJT e Prevx sono stati riusati dopo aver fatto tutti i procedimenti che mi hai indicato, non prima.

[Chill-Out]

Ok nel frattempo che controllo il log di HJT facciamo la stessa verifica fatta in precedenza su VirusTotal e Virscan per il file C:\Programmi\HFS\HFS v2.2d.exe, se non vado errato dovrebbe appartenere a portablefreeware, però per scrupolo lo controlliamo.

In HJT fixa questa voce

O4 - HKCU\..\Run: [Any Wallpaper] "C:\Programmi\Any Wallpaper\AnyWallpaper.exe" "hide"

[MaD85]

Originariamente inviato da Chill-Out

Ok nel frattempo che controllo il log di HJT facciamo la stessa verifica fatta in precedenza su VirusTotal e Virscan per il file C:\Programmi\HFS\HFS v2.2d.exe, se non vado errato dovrebbe appartenere a portablefreeware, però per scrupolo lo controlliamo.

In HJT fixa questa voce

Ho fixato la voce.

Ecco i due link:
http://www.virustotal.com/it/analisi...362adbe3b8ce21
http://virscan.org/report/adccc25512...869b43877.html

HFS cmq serve per fare un veloce server http.
La voce che mi hai fatto fixare e' di anywallpaper, per far rotare i wallpaper del desktop.

[Chill-Out]

Originariamente inviato da MaD85

Ho fixato la voce.

Ecco i due link:
http://www.virustotal.com/it/analisi...362adbe3b8ce21
http://virscan.org/report/adccc25512...869b43877.html

HFS cmq serve per fare un veloce server http.
La voce che mi hai fatto fixare e' di anywallpaper, per far rotare i wallpaper del desktop.

Perfetto infatti era solo uno scrupolo, anywallpaper è inutile in avvio, direi che siamo a posto, adesso segui attentamente questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1726383 aggiorna il sistema al SP3 e soprattutto installa l'antivirus

[MaD85]

Ciao, grazie per tutto l'aiuto, sei stato veramente gentile e veloce.

Per ora non e' ricomparso il problema, anche se quando compariva cmq veniva a periodi. Vedremo nei prossimi giorni.

Per l'antivirus mi sai consigliare qualcosa in particolare? Tu che cosa usi?

Ho letto che con AVG ci sono stati problemi ultimamente, e gli altri non li ho mai usati.

[wjmat]

come già indicato nel trattamento, qui consigliamo l'ottimo e free antivir

[MaD85]

Ringrazio anche te per l'aiuto.

Speriamo di non aver piu' problemi. Ciao.