MISSIONE (IM)POSSIBILE: salvare il mio pc e scacciare gli intrusi.

LaSheikka · 10-12-2008, 19:26

Ciao ragazzi

sono nuovissima ed è da qualke giorno ke vi leggo, e già ho potuto riscontrare ke siete dei grandi e che qui ci sono davvero tantissime cose interessanti e molto utili, complimenti vivissimi! Mi sono iscritta perké questo forum per me rappresenta l’ultima spiaggia dato che sono circa 2 mesi che combatto una battaglia senza quartiere contro un computer che sembra essere manovrato da non so quale “forza oscura”. Tutto è cominciato a fine ottobre dopo aver scaricato e utilizzato per breve tempo dei programmini che mi permettevano di navigare tramite proxy e che mi facevano cambiare di continuo il mio indirizzo ip. Subito riscontro problemi con la tastiera, digitavo e digitavo ma nulla, non rispondeva + ai miei comandi e inizio a notare che quando cerco di accedere al mio account hotmail da messenger oppure cerco di visualizzare lo spaces di qualke mio contatto , mi si apre una pagina di IE con dei strani e fasulli avvisi di protezione, cosa che in vita mia non era mai successo, come potete vedere qui. avviso di protezione.gif.

Ho fatto tutte le scansioni online possibili e immaginabili, ho scaricato di tutto, antivirus, antispyware, antimalware, conosco benissimo MBAM e superantispyware, gmer, combofix, prevx, etc... tutti i tools per rimuovere rootkit , ho provato di tutto e di +, ma nulla, sino a quando mi accorgo che tutti questi programmi venivano disabilitati da non so chi o cosa. Esausta, decido di rivolgermi a un tecnico che formatta tutto l’ hard disk. Mi illudo che la tortura cinese era finita. PANICO TOTALE: nonostante la FORMATTAZIONE, il computer ancora era infetto e ogni volta che accedevo a msn mi dirottava non so dove. Inoltre appena mi collego a internet, zone alarm impazzisce: ogni minuto mi blocca 2-3 intrusioni, questo mi spaventa, oggi in mezz’ora ha bloccato circa 500 attacchi (zone alarm.gif ).

Sono arrivata a pensare che qualcuno si sia intrufolato nel mio pc e che lo comandi a suo piacimento. Forse è un problema di porte, di connessione, non lo so, forse dovrei cambiare il mio ip ? E' un problema di hosts ?

Vi prego, aiutatemi, sono anke arrivata a maturare la decisione di buttarlo, sono disperata, finora ho eliminato circa 600 infezioni, e non sto esagerando. Vi ringrazio in anticipo dell’attenzione che vorrete accordarmi.

PS: ah, ragazzi, ho fatto 1 test con ShieldsUp... cosa significa che il mio computer starebbe "agendo da server" e che tutti potrebbero avere accesso ai miei files ? ecco cosa recita: Attempting connection to your computer. . .
Shields UP! is now attempting to contact the Hidden Internet Server within your PC. It is likely that no one has told you that your own personal computer may now be functioning as an Internet Server with neither your knowledge nor your permission. And that it may be serving up all or many of your personal files for reading, writing, modification and even deletion by anyone, anywhere, on the Internet!

wjmat · 10-12-2008, 20:02

Ciao

le scansioni citate le hai fatte dopo la formattazione? se si carica tutti i log in tuo possesso

LaSheikka · 10-12-2008, 20:07

Quote:

Originariamente inviato da wjmat

Ciao

le scansioni citate le hai fatte dopo la formattazione? se si carica tutti i log in tuo possesso

Ciao wjmat

,

veramente ho cancellato tutti i logs in mio possesso, tanto ne avrò fatto 1 migliaio, e non mi sembrava il caso di tenerli, perké ogni giorno mi compaiono nuove infezioni. Che dovrei fare ora ?

PS: scusatemi, ma sto proprio stanca di questa situazione

wjmat · 10-12-2008, 20:10

purtroppo noi dobbiamo vedere quelli

assicuriamoci che il pc sia pulito quindi segui la guida alla disinfezione per infetti ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post, e secondo le modalità .

Leggi bene tutto questo post, e salvo problemi gravi, arriverai in fondo alla guida in perfetta autonomia

Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi.

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner, vogliamo necessariamente in ordine e anche se non è stato rilevato nulla mettendo il nome della scansione a fianco del link :

log di Malwarebytes Anti-Malware aggiornato ad oggi
log di A-squared scansione deep aggiornato ad oggi
log di Kaspersky Virus Removal Tool scaricato oggi oppure di F-Secure OnLine
log di Dr.Web CureIT scaricato oggi
log di ESET SysInspector
log di HiJackThis
log di Gmer
log di PrevxCSI

Se il pc dovessse essere molto compromesso (es. riavvii frequenti, schermate blu) oppure hai problemi con internet per aggiornare i programmi leggi qui

Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione, in questo modo eviti di reinfettarti ancora dopo che hai ripulito il pc.

Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

link utili per il caricamento log ed immagini
caricamento log fileqube.com, wikisend.com, mediafire.com
caricamento immagini fileqube.com, imageshack

LaSheikka · 10-12-2008, 20:15

Oh Dio, non so come ringraziarti, 6 così gentile ! Io al momento ho VIPRE versione trial come antivirus e SpywareBlaster come antispyware... dovrei disinstallarli? Grazie tantissime per la tua disponibiltà

wjmat · 11-12-2008, 06:37

diciamo che quelli che hai non bastano o comunque non li consigliamo, comincia a ripulirti poi a quello pensiamo dopo

LaSheikka · 12-12-2008, 11:00

Quote:

Originariamente inviato da wjmat

diciamo che quelli che hai non bastano o comunque non li consigliamo, comincia a ripulirti poi a quello pensiamo dopo

Mamma mia, scusatemi se non sono riuscita ancora a postare i logs, ma ieri "miracolosamente" non riuscivo più a connettermi, e , ovviamente, non dipendeva da tele2 ...

wjmat · 12-12-2008, 12:08

noi aspettiamo i log

LaSheikka · 12-12-2008, 18:06

Quote:

Originariamente inviato da wjmat

noi aspettiamo i log

Ragazzi... i logs sono pronti, ma nn so usare il Logparser perké una volta che scompatto il file, e vado a clickare sull'estensione "jar" , praticamente mi dice che non può essere aperto e ke devo ricercare online un programma atto ad aprirlo

wjmat · 12-12-2008, 18:20

il parser serve solo per cureit e kasp, dato che non va filtra i 2 log seguendo il punta 4 delle modalità in firma

LaSheikka · 12-12-2008, 18:32

Eccomi!

... Solo F-Secure ha rilevato uno spyware e non sono nemmeno sicura ke l'abbia eliminato

E poi perké gli ips che Zone Alrm mi blocca sono tutti uguali al mio ip, l'unica cosa che cambia è l'unica cifra ?????

Oh Dio!

a2scan_081211-131541.txt

F-SEcure.txt

kasp filtrato.txt

cureit filtrato.txt

SysInspector-X5261611-081212-1553.xml

hijackthis.log

GMER.txt

PREVX.log

wjmat · 12-12-2008, 18:44

Lancia HiJackThis
Clicca Do a scan only
Metti la spunta a fianco delle righe che ti segnalo qui sotto
Clicca su Fix Checked
Riavvia il pc
Lancia HiJackThis
Do a system scan and save a logfile
Carica il nuovo log secondo le modalità

_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Codice:

O4 - HKLM\..\Run: [SBAMTray] C:\Programmi\Sunbelt Software\VIPRE\SBAMTray.exe
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {6CCE3920-3183-4B3D-808A-B12EB769DE12} (CSS Web Installer Class) - http://www.commandondemand.com/eval/cod/cabs/cssweb.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muwe b_site.cab?1226671714656
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O23 - Service: 4B22B5FA - - (no file)
O23 - Service: 8E3CB80A - Unknown owner - (no file)
O23 - Service: Machine Debug Manager (MDM) - Unknown owner - (no file)

poi carica un log di Combofix (leggi bene le info)

LaSheikka · 12-12-2008, 19:26

wjmat.... hjackthis nn ha cancellato le voci 023 , cioè al momento le ha cancellate, ma poi, sono ri-comparse . Quella voce che termina con "Tray" dovrebbe avere a ke fare con l'antivirus Vipre o con qualsivoglia software che si spaccia per Vipre

eccoti i logs

hijackthis.log

ComboFix.txt

LaSheikka · 12-12-2008, 20:45

Ah, e in +, scusatemi se i sono permessa (e ho fatto cose in + rispetto a quello ke voi mi avete kiesto di fare), ho fatto una scansione col mio Sophos antirootkit ke mi segnala una kiave nascosta e ahimé non cancellabile.

wjmat · 13-12-2008, 07:51

Fai start → Esegui → digita

Codice:

sc stop 4B22B5FA (invio)
sc delete 4B22B5FA (invio)
sc stop 8E3CB80A (invio)
sc delete 8E3CB80A (invio)
sc stop XSWJJ (invio)
sc delete XSWJJ (invio)

e carica un nuovo log di hjt

comincia a leggere il trattamento di prevenzione / post disinfezione
da cui:
installa antivir
rimuovi vipre
rimuovi zone alarm
installa online armor o comodo
aggiorna ie alla 7

LaSheikka · 13-12-2008, 11:24

Grazie Wjmat, 6 gentilissimo come sempre

eccoti il log, ovviamente la voce 023 sembra nn voler sparire

hijackthis.log

wjmat · 13-12-2008, 11:43

per quella che manca

Codice:

sc stop MDM (invio)
sc delete MDM (invio)

LaSheikka · 13-12-2008, 13:26

Allora wjmat..

ho installato avira e l'ho configurato proprio secondo la guida che mi è stata indicata. Ovviamente avira ha riconosciuto in combofix un elemento malevolo e ho cancellato l'eseguibile. Devo disinstallare combofix ? E gmer posso disinstallarlo ?

Un'altra cosa... perké tutte le intrusioni che ZA blocca provengono per la maggior parte da indirizzi IP uguali al mio e che differiscono solo nell'ultima cifra ? E soprattutto, come mai appena mi collego subito vengo "attaccata" ? Allora cos'è... forse c'è una backdoor che segnala il mio accesso a Internet ?

Ora installo online armor.

Per quanto riguarda Firefox, come componenti aggiuntivi ho installato soltanto McAfee SiteAdvisor e NoScript.

IE= mi ha fatto installare direttamente l'ultima versione, e cioè la 8 beta, se non mi sbaglio.

Nel frattempo, ti lascio esaminare un altro log di HijackThis

hijackthis.log

EDIT:

ho installato online armor free (avrei voluto la versione a pagamento, ma va bene, dai! ) e nn appena ho lanciato msn, mi si è aperta questa finestra

ovviamente mi si è aperta anke la finestra di iexplorer (ke come quella di msn, kiedeva di collegarsi a un altro computer )...

dovrei configurare msn secondo quanto indicato in questo link http://www.hwupgrade.it/forum/showthread.php?t=1798515 ?

e prima, lanciando lo scan di avira, mi si è aperta una finestra di OA ke mi consigliava di bloccare questo processo

Grazie di tutto, wjmat !

LaSheikka · 14-12-2008, 15:31

Mamma mia ... non è possbile, non appena accedo a internet, subito vengo attaccata, anke con OA ho lo stesso problema

ho allegato il log di firewall, sono davvero esausta, scusatemi, ma io ho fià formattato una volta enn ho risolto nulla, qual è la soluzione ?

poi, ho notato un'altra cosa, ke il mio indirizzo IP cambia (le ultime cifre cambiano, le prime due rimangono invariate, cosa vuol dire questo?

)

questo è il test ke ho fatto online (dice ke alcune porte sono visibili)

Questo è il browser test (il mio sistema sarebbe vulnerabile)

E poi quest'altro (alcune porte sono stealth altre sono visibili

)

é un incubo

wjmat · 14-12-2008, 23:53

configura bene OA con la sua guida, poi per ogni dubbio chiedi nel suo 3D dedicato

intanto carica un nuovo log di gmer e hjt

10-12-2008, 19:26	#1
LaSheikka Senior Member Iscritto dal: Dec 2008 Messaggi: 1355	MISSIONE (IM)POSSIBILE: salvare il mio pc e scacciare gli intrusi. Ciao ragazzi sono nuovissima ed è da qualke giorno ke vi leggo, e già ho potuto riscontrare ke siete dei grandi e che qui ci sono davvero tantissime cose interessanti e molto utili, complimenti vivissimi! Mi sono iscritta perké questo forum per me rappresenta l’ultima spiaggia dato che sono circa 2 mesi che combatto una battaglia senza quartiere contro un computer che sembra essere manovrato da non so quale “forza oscura”. Tutto è cominciato a fine ottobre dopo aver scaricato e utilizzato per breve tempo dei programmini che mi permettevano di navigare tramite proxy e che mi facevano cambiare di continuo il mio indirizzo ip. Subito riscontro problemi con la tastiera, digitavo e digitavo ma nulla, non rispondeva + ai miei comandi e inizio a notare che quando cerco di accedere al mio account hotmail da messenger oppure cerco di visualizzare lo spaces di qualke mio contatto , mi si apre una pagina di IE con dei strani e fasulli avvisi di protezione, cosa che in vita mia non era mai successo, come potete vedere qui. avviso di protezione.gif. Ho fatto tutte le scansioni online possibili e immaginabili, ho scaricato di tutto, antivirus, antispyware, antimalware, conosco benissimo MBAM e superantispyware, gmer, combofix, prevx, etc... tutti i tools per rimuovere rootkit , ho provato di tutto e di +, ma nulla, sino a quando mi accorgo che tutti questi programmi venivano disabilitati da non so chi o cosa. Esausta, decido di rivolgermi a un tecnico che formatta tutto l’ hard disk. Mi illudo che la tortura cinese era finita. PANICO TOTALE: nonostante la FORMATTAZIONE, il computer ancora era infetto e ogni volta che accedevo a msn mi dirottava non so dove. Inoltre appena mi collego a internet, zone alarm impazzisce: ogni minuto mi blocca 2-3 intrusioni, questo mi spaventa, oggi in mezz’ora ha bloccato circa 500 attacchi (zone alarm.gif ). Sono arrivata a pensare che qualcuno si sia intrufolato nel mio pc e che lo comandi a suo piacimento. Forse è un problema di porte, di connessione, non lo so, forse dovrei cambiare il mio ip ? E' un problema di hosts ? Vi prego, aiutatemi, sono anke arrivata a maturare la decisione di buttarlo, sono disperata, finora ho eliminato circa 600 infezioni, e non sto esagerando. Vi ringrazio in anticipo dell’attenzione che vorrete accordarmi. PS: ah, ragazzi, ho fatto 1 test con ShieldsUp... cosa significa che il mio computer starebbe "agendo da server" e che tutti potrebbero avere accesso ai miei files ? ecco cosa recita: Attempting connection to your computer. . . Shields UP! is now attempting to contact the Hidden Internet Server within your PC. It is likely that no one has told you that your own personal computer may now be functioning as an Internet Server with neither your knowledge nor your permission. And that it may be serving up all or many of your personal files for reading, writing, modification and even deletion by anyone, anywhere, on the Internet! Ultima modifica di LaSheikka : 10-12-2008 alle 19:58.

10-12-2008, 20:02	#2
wjmat Senior Member Iscritto dal: Dec 2007 Città: Brianza Messaggi: 14704	Ciao le scansioni citate le hai fatte dopo la formattazione? se si carica tutti i log in tuo possesso __________________ fattoebloggato.com • Trattamento post disinfezione • Recupero dati, RAID e Partizioni • Guida UBCD4Win • Test RAM • Controllo Disco • TestDisk • Operazioni di emergenza • Live cd Linux • UBCD • Backup • Gestione ISO & immagini virtuali • Partizionare un disco • Sardu • ScreenRecording •

10-12-2008, 20:10	#4
wjmat Senior Member Iscritto dal: Dec 2007 Città: Brianza Messaggi: 14704	purtroppo noi dobbiamo vedere quelli assicuriamoci che il pc sia pulito quindi segui la guida alla disinfezione per infetti ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post, e secondo le modalità . Leggi bene tutto questo post, e salvo problemi gravi, arriverai in fondo alla guida in perfetta autonomia Con la pulizia files inutili, e le scansioni vere e proprie di antispyware (1 e 2) ed antivirus (3 e 4) avrai un pc già ripulito al 90%, le prima 4 scansioni dureranno minimo un'oretta ciascuna, le altre scansioni sono veloci e servono a noi per avere le informazioni necessarie per i restanti interventi. Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner, vogliamo necessariamente in ordine e anche se non è stato rilevato nulla mettendo il nome della scansione a fianco del link : log di Malwarebytes Anti-Malware aggiornato ad oggi log di A-squared scansione deep aggiornato ad oggi log di Kaspersky Virus Removal Tool scaricato oggi oppure di F-Secure OnLine log di Dr.Web CureIT scaricato oggi log di ESET SysInspector log di HiJackThis log di Gmer log di PrevxCSI Se il pc dovessse essere molto compromesso (es. riavvii frequenti, schermate blu) oppure hai problemi con internet per aggiornare i programmi leggi qui Se pensi che l'infezione possa essere partita da chiavette usb, o di avere hard disk esterni infetti, collegali prima del punto1 in modo che vengano ripuliti durante la disinfezione, in questo modo eviti di reinfettarti ancora dopo che hai ripulito il pc. Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni. Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo... link utili per il caricamento log ed immagini caricamento log fileqube.com, wikisend.com, mediafire.com caricamento immagini fileqube.com, imageshack __________________ fattoebloggato.com • Trattamento post disinfezione • Recupero dati, RAID e Partizioni • Guida UBCD4Win • Test RAM • Controllo Disco • TestDisk • Operazioni di emergenza • Live cd Linux • UBCD • Backup • Gestione ISO & immagini virtuali • Partizionare un disco • Sardu • ScreenRecording •

11-12-2008, 06:37	#6
wjmat Senior Member Iscritto dal: Dec 2007 Città: Brianza Messaggi: 14704	diciamo che quelli che hai non bastano o comunque non li consigliamo, comincia a ripulirti poi a quello pensiamo dopo __________________ fattoebloggato.com • Trattamento post disinfezione • Recupero dati, RAID e Partizioni • Guida UBCD4Win • Test RAM • Controllo Disco • TestDisk • Operazioni di emergenza • Live cd Linux • UBCD • Backup • Gestione ISO & immagini virtuali • Partizionare un disco • Sardu • ScreenRecording •

12-12-2008, 12:08	#8
wjmat Senior Member Iscritto dal: Dec 2007 Città: Brianza Messaggi: 14704	noi aspettiamo i log __________________ fattoebloggato.com • Trattamento post disinfezione • Recupero dati, RAID e Partizioni • Guida UBCD4Win • Test RAM • Controllo Disco • TestDisk • Operazioni di emergenza • Live cd Linux • UBCD • Backup • Gestione ISO & immagini virtuali • Partizionare un disco • Sardu • ScreenRecording •

10-12-2008, 20:15	#5
LaSheikka Senior Member Iscritto dal: Dec 2008 Messaggi: 1355	Oh Dio, non so come ringraziarti, 6 così gentile ! Io al momento ho VIPRE versione trial come antivirus e SpywareBlaster come antispyware... dovrei disinstallarli? Grazie tantissime per la tua disponibiltà

12-12-2008, 18:20	#10
wjmat Senior Member Iscritto dal: Dec 2007 Città: Brianza Messaggi: 14704	il parser serve solo per cureit e kasp, dato che non va filtra i 2 log seguendo il punta 4 delle modalità in firma __________________ fattoebloggato.com • Trattamento post disinfezione • Recupero dati, RAID e Partizioni • Guida UBCD4Win • Test RAM • Controllo Disco • TestDisk • Operazioni di emergenza • Live cd Linux • UBCD • Backup • Gestione ISO & immagini virtuali • Partizionare un disco • Sardu • ScreenRecording •

12-12-2008, 18:44	#12
wjmat Senior Member Iscritto dal: Dec 2007 Città: Brianza Messaggi: 14704	Lancia HiJackThis Clicca Do a scan only Metti la spunta a fianco delle righe che ti segnalo qui sotto Clicca su Fix Checked Riavvia il pc Lancia HiJackThis Do a system scan and save a logfile Carica il nuovo log secondo le modalità _________________________________________________________________________________________ Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema. Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli. Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico. Le eventuali voci O16 dovranno essere fixate con IE chiuso. Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti. ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯ Logfile of Trend Micro HijackThis v2.0.2 Platform: Windows XP SP3 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) Codice: O4 - HKLM\..\Run: [SBAMTray] C:\Programmi\Sunbelt Software\VIPRE\SBAMTray.exe O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab O16 - DPF: {6CCE3920-3183-4B3D-808A-B12EB769DE12} (CSS Web Installer Class) - http://www.commandondemand.com/eval/cod/cabs/cssweb.cab O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muwe b_site.cab?1226671714656 O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab O23 - Service: 4B22B5FA - - (no file) O23 - Service: 8E3CB80A - Unknown owner - (no file) O23 - Service: Machine Debug Manager (MDM) - Unknown owner - (no file) poi carica un log di Combofix (leggi bene le info) __________________ fattoebloggato.com • Trattamento post disinfezione • Recupero dati, RAID e Partizioni • Guida UBCD4Win • Test RAM • Controllo Disco • TestDisk • Operazioni di emergenza • Live cd Linux • UBCD • Backup • Gestione ISO & immagini virtuali • Partizionare un disco • Sardu • ScreenRecording •

12-12-2008, 19:26	#13
LaSheikka Senior Member Iscritto dal: Dec 2008 Messaggi: 1355	wjmat.... hjackthis nn ha cancellato le voci 023 , cioè al momento le ha cancellate, ma poi, sono ri-comparse . Quella voce che termina con "Tray" dovrebbe avere a ke fare con l'antivirus Vipre o con qualsivoglia software che si spaccia per Vipre eccoti i logs hijackthis.log ComboFix.txt Ultima modifica di LaSheikka : 12-12-2008 alle 19:28.

12-12-2008, 20:45	#14
LaSheikka Senior Member Iscritto dal: Dec 2008 Messaggi: 1355	Ah, e in +, scusatemi se i sono permessa (e ho fatto cose in + rispetto a quello ke voi mi avete kiesto di fare), ho fatto una scansione col mio Sophos antirootkit ke mi segnala una kiave nascosta e ahimé non cancellabile.

13-12-2008, 07:51	#15
wjmat Senior Member Iscritto dal: Dec 2007 Città: Brianza Messaggi: 14704	Fai start → Esegui → digita Codice: sc stop 4B22B5FA (invio) sc delete 4B22B5FA (invio) sc stop 8E3CB80A (invio) sc delete 8E3CB80A (invio) sc stop XSWJJ (invio) sc delete XSWJJ (invio) e carica un nuovo log di hjt comincia a leggere il trattamento di prevenzione / post disinfezione da cui: installa antivir rimuovi vipre rimuovi zone alarm installa online armor o comodo aggiorna ie alla 7 __________________ fattoebloggato.com • Trattamento post disinfezione • Recupero dati, RAID e Partizioni • Guida UBCD4Win • Test RAM • Controllo Disco • TestDisk • Operazioni di emergenza • Live cd Linux • UBCD • Backup • Gestione ISO & immagini virtuali • Partizionare un disco • Sardu • ScreenRecording •

13-12-2008, 11:24	#16
LaSheikka Senior Member Iscritto dal: Dec 2008 Messaggi: 1355	Grazie Wjmat, 6 gentilissimo come sempre eccoti il log, ovviamente la voce 023 sembra nn voler sparire hijackthis.log

13-12-2008, 11:43	#17
wjmat Senior Member Iscritto dal: Dec 2007 Città: Brianza Messaggi: 14704	per quella che manca Codice: sc stop MDM (invio) sc delete MDM (invio) __________________ fattoebloggato.com • Trattamento post disinfezione • Recupero dati, RAID e Partizioni • Guida UBCD4Win • Test RAM • Controllo Disco • TestDisk • Operazioni di emergenza • Live cd Linux • UBCD • Backup • Gestione ISO & immagini virtuali • Partizionare un disco • Sardu • ScreenRecording •

13-12-2008, 13:26	#18
LaSheikka Senior Member Iscritto dal: Dec 2008 Messaggi: 1355	Allora wjmat.. ho installato avira e l'ho configurato proprio secondo la guida che mi è stata indicata. Ovviamente avira ha riconosciuto in combofix un elemento malevolo e ho cancellato l'eseguibile. Devo disinstallare combofix ? E gmer posso disinstallarlo ? Un'altra cosa... perké tutte le intrusioni che ZA blocca provengono per la maggior parte da indirizzi IP uguali al mio e che differiscono solo nell'ultima cifra ? E soprattutto, come mai appena mi collego subito vengo "attaccata" ? Allora cos'è... forse c'è una backdoor che segnala il mio accesso a Internet ? Ora installo online armor. Per quanto riguarda Firefox, come componenti aggiuntivi ho installato soltanto McAfee SiteAdvisor e NoScript. IE= mi ha fatto installare direttamente l'ultima versione, e cioè la 8 beta, se non mi sbaglio. Nel frattempo, ti lascio esaminare un altro log di HijackThis hijackthis.log EDIT: ho installato online armor free (avrei voluto la versione a pagamento, ma va bene, dai! ) e nn appena ho lanciato msn, mi si è aperta questa finestra ovviamente mi si è aperta anke la finestra di iexplorer (ke come quella di msn, kiedeva di collegarsi a un altro computer )... dovrei configurare msn secondo quanto indicato in questo link http://www.hwupgrade.it/forum/showthread.php?t=1798515 ? e prima, lanciando lo scan di avira, mi si è aperta una finestra di OA ke mi consigliava di bloccare questo processo Grazie di tutto, wjmat ! Ultima modifica di LaSheikka : 13-12-2008 alle 15:49. Motivo: Impostazioni OnlineArmor

14-12-2008, 23:53	#20
wjmat Senior Member Iscritto dal: Dec 2007 Città: Brianza Messaggi: 14704	configura bene OA con la sua guida, poi per ogni dubbio chiedi nel suo 3D dedicato intanto carica un nuovo log di gmer e hjt __________________ fattoebloggato.com • Trattamento post disinfezione • Recupero dati, RAID e Partizioni • Guida UBCD4Win • Test RAM • Controllo Disco • TestDisk • Operazioni di emergenza • Live cd Linux • UBCD • Backup • Gestione ISO & immagini virtuali • Partizionare un disco • Sardu • ScreenRecording • Ultima modifica di wjmat : 14-12-2008 alle 23:56.

Strumenti
Mostra una versione stampabile Invia questa pagina per email