disastro- non va più quasi niente

[enzo4672]

ciao
Chiedo un aiuto:
Due giorni fa dopo alcumi problemi che avevo nel PC hp provveduto a fa re una scansione con "Malwarebyte" ed ho trovato i seguenti:
Adware.EGDAccess
Trojan\Agent nel registry key
rootkit agent nel registry key
Cancellandoli e messi in quarantena ho provveduto a ripristinare tutti i danni che avevano fatto.
Adesso a distanza di un giorno mi trovo con WMP e Google Hearth che bloccano il computer.
Neanche CTRL+ALT+Cancel riesce a ripristinare, bisogna riavviare.
Ho di nuovo fatto la scasione , tutto pulito apparentemente......
Cosa posso e devo fare?
Grazie

[wjmat]

Ciao

Per ripulire completamente il pc segui la guida alla disinfezione per infetti ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post, e secondo le modalità .

Leggi bene tutto questo post, e salvo problemi gravi, arriverai in fondo alla guida in perfetta autonomia

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner, vogliamo necessariamente in ordine e anche se non è stato rilevato nulla mettendo il nome della scansione a fianco del link :

1. log di Malwarebytes Anti-Malware aggiornato ad oggi
2. log di A-squared scansione deep aggiornato ad oggi
3. log di Kaspersky Virus Removal Tool scaricato oggi oppure di F-Secure OnLine
4. log di Dr.Web CureIT scaricato oggi
5. log di ESET SysInspector
6. log di HiJackThis
7. log di Gmer
8. log di PrevxCSI

Se il pc dovessse essere molto compromesso (es. riavvii frequenti, schermate blu) oppure hai problemi con internet per aggiornare i programmi leggi qui

Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione, in questo modo eviti di reinfettarti ancora dopo che hai ripulito il pc.

Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

link utili per il caricamento log ed immagini
caricamento log fileqube.com, wikisend.com, mediafire.com
caricamento immagini fileqube.com, imageshack

[enzo4672]

scusa il ritardo, il lavoro purtroppo prende molto tempo.
Ti invio quanto richiestomi, se qualche log non dovesse andar bene lo rifarò:
malwarebytes
http://wikisend.com/download/610934/mbam-log-2008-12-11 (10-09-50).txt
A-Squared
http://wikisend.com/download/204064/mbam-log-2008-12-11 (10-09-50).txt
Kasperky
http://wikisend.com/download/564464/logkasper.txt
Dr.Web
http://wikisend.com/download/901180/CureIt.log
ESETSysInspector
http://wikisend.com/download/583860/...81212-1432.xml
hijakthis
http://wikisend.com/download/966788/hijackthis.log
Gmer
http://wikisend.com/download/643214/gmer.exe
PrevxCSI
http://wikisend.com/download/655388/Documentodesk1.rtf
Spero di aver fatto tutto ed in attesa di una vostra risposta Grazie
Enzo

[enzo4672]

In G-mer dimenticavo che c'erano due righe in rosso nel log verso la fine:
Process : C\document and setting \proprietario\impostazioni locali\dati....... value 1692
Library : C\ " " " " value 0x00400000

[wjmat]

di gmer non hai caricato il log...
il log di kasp e di cureit puoi filtrarli vedi punto 4 modalità in firma
prevx perchè l'hai incollato in un .rtf?

gmer rilancialo - click destro sulle righe rosse e seleziona delete o delete service

[enzo4672]

Originariamente inviato da wjmat

di gmer non hai caricato il log...
il log di kasp e di cureit puoi filtrarli vedi punto 4 modalità in firma
prevx perchè l'hai incollato in un .rtf?

gmer rilancialo - click destro sulle righe rosse e seleziona delete o delete service

In Gmer dove si trova il log prodotto da "copy"?
Le due righe in rosso non si riescono a eliminare perchè non sono operative "delete" e " delete service" anche dopo averle evidenziate.
sai dirmi come fare?
i log di Kasper e di cureit ti servono ancora filtrati?
grazie

[enzo4672]

http://wikisend.com/download/932470/gmer.log

http://wikisend.com/download/597350/cureit filtrato.txt

http://wikisend.com/download/949352/kasp filtrato.txt

va bene così?

[wjmat]

carica un log di Combofix (leggi bene le info)

[enzo4672]

Ciao.
Ecco il logo richiesto:
http://wikisend.com/download/500204/ComboFix.txt

[wjmat]

• disinstalla Prevx
• riavvia il pc
• riscaricalo http://pxnow.prevx.com/zeroL/PREVXCSIFREE_IT.exe
• reinstallalo
• nuovo scan e nuovo log in txt

+ nuovo log hjt

[enzo4672]

http://wikisend.com/download/526996/prev.log
http://wikisend.com/download/504642/hijackthis.log

[wjmat]

• Lancia HiJackThis
• Clicca Do a scan only
• Metti la spunta a fianco delle righe che ti segnalo qui sotto
• Clicca su Fix Checked
• Riavvia il pc
• Lancia HiJackThis
• Do a system scan and save a logfile
• Carica il nuovo log secondo le modalità

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Programmi\File comuni\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware] "C:\Programmi\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray
O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programmi\Acronis\TrueImageHome\TrueImageMonitor.exe
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programmi\File comuni\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "C:\Programmi\ScanSoft\OmniPageSE4.0\OpwareSE4.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programmi\Acronis\TrueImageHome\TimounterMonitor.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programmi\File comuni\Acronis\Schedule2\schedhlp.exe"
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Eraser] C:\Programmi\Eraser\eraser.exe -hide
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Programmi\Yahoo!\Common\Yinsthelper200711281.dll
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - (no file)
O23 - Service: AVG8 WatchDog (avg8wd) - Unknown owner - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe (file missing)

[enzo4672]

http://wikisend.com/download/483628/hijackthis.log
ciao

[wjmat]

come sta ora il pc?

[enzo4672]

ciao
dalle prime indagini credo che tutto funzioni a meraviglia
non devo fare più niente?

[wjmat]

se ti sembra di essere a posto (dai log vedo questo, ma potrebbe esserci altro che puoi vedere solo tu)
leggi bene il trattamento di prevenzione / post disinfezione, ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide

[enzo4672]

ok
ti ringrazio molto ,scusami per le lunghe pause di risposta dovute
all'inesperienza.grazie anche all'amicone che mi ha dato due mani.
Buon Natale a tutti.

[wjmat]

buon natale