AntiVir e Trojans

[mito]

Da circa un mese ho installato sul mio pc come antivirus AntiVir Pesonal Edition. Ho sempre effettuato con regolarità gli aggiornamenti, anche quotidianamente, quando disponibili. Mentre ieri sera navigavo mi ha avvisato che aveva trovato dei Trojan, chiedendomi cosa fare ed ho scelto di cancellare i file che mi indicava; ad uno ho negato l'accesso. Data l'ora tarda ho spento il pc, e poco fa l'ho riacceso e a questo punto mi ha avvisato del file host.vbs dentro la cartella system32.
Ho avviato la scansione e mi ha avvisato della presenza dei seguenti Trojan: 2[1].chm, EXPLOIT[1].CHM, tl7000[1].dll. Mi ha chiesto cosa fare e li ho ovviamente cancellati tutti, però non è riuscito nè a cancellare nè a riparare i files archiviati in eu_cax[1].cab, proprio perchè sono files archiviati(nel senso che ogni qualvolta trovi dei files archiviati non li ripara nè cancella se infettati). Ho provato ad effettuare una ricerca per rimuoverlo manualmente ma il mio pc non l'ha trovato. Cosa dovrei fare?
Dovrei cambiare antivirus? Che versioni freeware mi consigliate?
Ma soprattutto questi Trojan come faccio a sapere se li ho rimossi oppure no?

[wgator]

Ciao,

prova a scaricare hijackthis e lancialo.
Tramite quel programma dovresti "vedere" eu_cax[1].cab. (dovrebbe essere un dialer?)

Spuntalo e premi fix.

Potresti poi fare un controllo on line con Spyaudit: http://www.earthlink.net/spyaudit/

[solamnia]

non conosco AntiVir in verità e c'è un gran parlare di questo e di quel antivirus qui...ognuno giustamente espone le sue opinioni positive e negative sul prodotto che usa, io in tutta sincerità uso da due anni AVG 6 Free e mi trovo benissimo.

[mito]

Ho fatto quello che mi avete consigliato ma a dire la verità non riesco ad usare questi programmi. C'è un rimedio?
Con hijackthis non vorrei cancellare cose importanti.

[wgator]

Originariamente inviato da mito
Ho fatto quello che mi avete consigliato ma a dire la verità non riesco ad usare questi programmi. C'è un rimedio?
Con hijackthis non vorrei cancellare cose importanti.

Ciao,

incolla il log qui, ci diamo un occhiata

[mito]

spero di riuscirci

[mito]

Spero di averlo fatto bene.

Logfile of HijackThis v1.97.7
Scan saved at 22.23.50, on 16/06/2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\AVPersonal\AVGUARD.EXE
C:\Programmi\Apache Group\Tomcat 4.1\bin\tomcat.exe
C:\Programmi\Apache Group\Apache2\bin\Apache.exe
C:\Programmi\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\mysql\bin\mysqld-nt.exe
C:\WINDOWS\system32\pctspk.exe
C:\Programmi\File comuni\Microsoft Shared\MSSearch\Bin\mssearch.exe
C:\Programmi\Apache Group\Apache2\bin\Apache.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
C:\WINDOWS\Mixer.exe
C:\WINDOWS\System32\WF2K.EXE
C:\Programmi\Winamp\winampa.exe
C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
C:\WINDOWS\helpw.exe
C:\PROGRA~1\Agnitum\TAUSCA~1.7\taumon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Programmi\Apache Group\Apache2\bin\ApacheMonitor.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Gianluca\Impostazioni locali\Temp\HijackThis.exe
C:\WINDOWS\notepad.exe
C:\WINDOWS\System32\wuauclt.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tiscali.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programmi\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [WinFast_2K] C:\WINDOWS\System32\WF2K.EXE
O4 - HKLM\..\Run: [WinFast2KLoadDefault] rundll32.exe wf2kcpl.dll,DllLoadDefaultSettings
O4 - HKLM\..\Run: [WinampAgent] C:\Programmi\Winamp\winampa.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [helpw] "helpw.exe"
O4 - HKLM\..\Run: [host] C:\WINDOWS\system32\hosts.vbs
O4 - HKLM\..\Run: [Tau Monitor] C:\PROGRA~1\Agnitum\TAUSCA~1.7\taumon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: Gestione servizi.lnk = C:\Programmi\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Monitor Apache Servers.lnk = C:\Programmi\Apache Group\Apache2\bin\ApacheMonitor.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: Microsoft WFC Forms Designer - file://D:\VJ98\wfcforms.cab
O16 - DPF: Visual Studio 6 Extensibility Libraries - file://D:\VJ98\vstudio6.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{39B997D6-33E7-4E16-84FF-CBB3360BFC3E}: NameServer = 195.130.224.18 195.130.225.129

[wgator]

Ciao,

ad una prima occhiata ho notato questi:

C:\WINDOWS\helpw.exe
O4 - HKLM\..\Run: [helpw] "helpw.exe"
O4 - HKLM\..\Run: [host] C:\WINDOWS\system32\hosts.vbs

Dovrebbe essere tutta robaccia. Attendi una conferma da parte di qualcun altro poi fissa!

[mito]

Non so purtroppo cosa posso cancellare, mi potete aiutare? Ho effettuato la scansione con Tauscan ma non mi ha dato risultati su Trojan virus trovati. Ma se lancio la scansione del mio antivirus AntiVir comntinua a trovarmi i file archiviati eu_cax.cab che non può nè cancellare nè riparare perchè sono appunto file archiviati. Ha però trovato uno script virus vbscript che mi ha fatto cancellare. I due files che secondo wgator sono da rimuovere, li potrei cancellare?

[PixXelite]

Originariamente inviato da wgator
Ciao,

ad una prima occhiata ho notato questi:

C:\WINDOWS\helpw.exe
O4 - HKLM\..\Run: [helpw] "helpw.exe"
O4 - HKLM\..\Run: [host] C:\WINDOWS\system32\hosts.vbs

Dovrebbe essere tutta robaccia. Attendi una conferma da parte di qualcun altro poi fissa!

quoto appieno wgator...anche a me sembrano quelli i file 'incriminanti', tra l'altro facendo una piccola ricerca mi è risultato che helpw.exe sia da eliminare(un 'altro utente lo aveva trovato con hijackthis e era stato consigliato di fissarlo, e il secondo sembra essere un adware, fissalo pure...

Ciauz

[mito]

Per qunto riguarda invece il seguente programma svchost.exe che il Firewall mi avvisa se permetteregli l'accesso cosa dovrei fare? Con l'opzione ricerca di windows non sono riuscito a trovarlo. Che sarà?

[PixXelite]

Originariamente inviato da mito
Per qunto riguarda invece il seguente programma svchost.exe che il Firewall mi avvisa se permetteregli l'accesso cosa dovrei fare? Con l'opzione ricerca di windows non sono riuscito a trovarlo. Che sarà?

l'svchost è un programma generico di winzoz...di suo non sarebbe malizioso ma tanti virus/trojan/ecc... si nascondono dietro a sto nome...cmq bloccagli pure l'accesso alla rete...tanto io ho verificato che non fa niente in giro per internet.

[mito]

Ho effettuato una scansione con CWShredder CoolWebSearch Trojan remover e mi dato questo report:

Found Hosts file: C:\WINDOWS\system32\drivers\etc\hosts (22 bytes, A)
Shell Registry value: HKLM\..\WinLogon [Shell] Explorer.exe
UserInit Registry value: HKLM\..\WinLogon [UserInit] C:\WINDOWS\system32\userinit.exe,
Found Win.ini file: C:\WINDOWS\win.ini (615 bytes, A)
Found System.ini file: C:\WINDOWS\system.ini (231 bytes, A)

C'è qualcosa che devo riparare? Il primo file?

Quando poi vado a fix alla fine mi dice
Done!
Your system was completely clean.