28 malaware misti .... un aiutino!

[paoladamiano]

Carissimi, prima di tutto buona Pasqua!
Mi sono offerta di sistemare il portatile di un amico un po' conciato.
I sintomi che mi ha descritto non sono veramente significativi, quindi sono passata diretta alla disinfezione infetti. Non sono riuscita a far accedere il pc alla mia linea internet (per incapacità non per virus), quindi ho passato i programmi su una chiavetta: Risultato: 28 porcherie trovate, di cui 3 Rogue (ma mi pare che la procedura completa già include i programmo della procedura Rogue).
Se possibile vorrei un vostro parere sul da farsi.
Non so perché ATF Cleaner non trova niente da pulire(!), CCleaner viceversa si.
Mentre lavoravo (staccata dalla rete) la Guard di Antivir Avira ha segnalato 2/3 cosette che ho messo in quarantena. Ho disattivato l’Intelligent Guard di SpyBoat.
Il primo PrecxCSI non sono riuscita a farlo partire, poi tutto è andato liscio. Anche se il SO è XP, invece di F-SecureOn Line ho usato Kaspersky perché ho pensato che senza linea web il primo non avrebbe funzionato.
Ecco i log:
Malwarebytes = http://www.fileqube.com/file/wWENkCdEE187374
A-Squared = http://www.fileqube.com/file/PfGPginj187375
Kaspersky = http://www.fileqube.com/file/NlYzRQi187376
Dr Web CureIt = http://www.fileqube.com/file/PsWTrjd187377
ESET SysInspector = http://www.fileqube.com/file/ZxWCEpMFI187378
HijackThis= http://www.fileqube.com/file/dxKRBYc187379
Gmer= http://www.fileqube.com/file/FRFNvquW187380
PrevxCSI= http://www.fileqube.com/file/syCFXb187381

Malware 5, A-Squared 4, Kasp 1. Dr.Web ha tirato fuori (su 15) 3 falsi positivi che non volevo mettere in quarantena invece ci sono finiti; JSCRIPT5.CHM e VBAOL11.CHM, già in passato erano capitati a me, e IG.Access.exe che ha un logo che vedo anche sul desktop, quindi probabilmente è un programma che usa; se me lo confermate li rimetto a posto. Gmer aveva pochi punti interrogativi, ma non dei rossi.
Gli ultimi 3 Eset, Gmer e PrevxCSI non hanno evidenziato infezioni, il che mi fa ben pensare.
A parte ciò cos’altro potrei/dovrei fare?
Grazie 1000, attendo vostre istruzioni

[wjmat]

Ciao Paola, vedo che ormai sei esperta quasi quanto noi

il log di cureit mi porta ad altro, potresti ricaricarlo?

Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio ()

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programmi\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Programmi\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [Windows Defender] "C:\Programmi\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [ISUSPM Startup] c:\progra~1\fileco~1\instal~1\update~1\isuspm.exe -startup
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [ISTray] "C:\Programmi\Spyware Doctor\pctsTray.exe"
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab

da aggiornare win a sp3, IE alla 7 , java all'ultima versione
spyware doctor da rimuovere
poi solito trattamento che già conosci

buona Pasqua anche a te

[paoladamiano]

Originariamente inviato da wjmat

Ciao Paola, vedo che ormai sei esperta quasi quanto noi ............

no, è che sono così soddisfatta di quel poco che riesco a fare, che ne parlo a tutti ... e i tutti pensano che io sappia: un vero abbaglio!! Ad ogni modo.....
In effetti lo smagrimento del log Cureit con l’apposito programmino mi restituisce un file vuoto : non me ne ero accorta(?!niente da fare anche con varie prove?!). Allora carico il file "grasso":
Cureit "grasso": http://www.mediafire.com/?sharekey=4...eada0a1ae8665a
Scomparse le stringhe fixate con Hijackthis.
Per l’aggiornamento programmi passo la parola al proprietario del pc quando si ricollegherà alla sua ADSL.
L’Intelligent Guard che ho disattivato è di SpywareDoctor e non di SpyBoat. Ho visto che, oltre a questi due, c’è anche Windows Defender!. Perché Spyware Doctor è da disinstallare?
(ad ogni modo gli passerò la procedura post-disinfezione)
A cosa ti riferisci con ..."solito trattamento che già conosci"? (l'asino è cascato!)
Resto in attesa, passo

[wjmat]

spyware doctor e win defender servono poco a nulla oltre ad appesantire il sistema
con cureit hai fatto bene così
per trattamento intendevo la procedura post disinfezione

[paoladamiano]

Grazie 1000 come sempre e buone sorprese per domani (nelle uova!)