COME TOLGO DIALER CHE SI REINSTALLANO?

[djgabbro]

ciao a tutti. ho un problema dato da due diaLER (Dialer WSV e Dialer Webview); vengono trovati da norton che non li elimina. Lo faccio manualmente ma dopo un po' ritornano; anche un trojan start page fa così: nonrton lo rileva ma non lo elimina e dopo breve ritornano.
Io leggo il percorso e vado a eliminarli manualmente, ma niente da fare: i dialer installano dei file .dat nella cartella temp e due eseguibili in C: . Uno mi apre una pagina di plug-in che poi si blocca (ho l'ADSL) , l'altro dialer non da apparenti problemi (e qui scatta la paranoia, non è che mi connette lo stesso a un numero a pagamento, nonostante il modem adsl?)
Tutto ciò capita più volte al giorno e mi sono stufato. Ho fatto tutto quello che c'era da fare: scansioni in modalità provvisoria, spybot, spyblaster, eliminazioni dal registro consigliate da spybot, ma niente da fare. Sono psicologicamente pronto alla formattazione(ma se poi tutto torna come prima anche dopo il format?). Voi siete la mia ultima spiaggia. vi posto il log di Hijackthis


ogfile of HijackThis v1.97.7
Scan saved at 14.29.18, on 17/10/2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programmi\File comuni\Symantec Shared\ccProxy.exe
C:\Programmi\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\carpserv.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Microsoft Office\Office\1040\OLFSNT40.EXE
C:\Programmi\ADSL\StarModem ADSL USB MODEM\dslmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\WINDOWS\explorer.exe
C:\Programmi\WinMX\WinMX.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\File comuni\Symantec Shared\NMain.exe
C:\Programmi\File comuni\Symantec Shared\ccLgView.exe
C:\Documents and Settings\simone\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about :blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about :blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.iol.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programmi\File comuni\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [ATIPTA] atiptaxx.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [9xadiras] 9xadiras.exe
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Porta Symantec Fax Starter Edition.lnk = C:\Programmi\Microsoft Office\Office\1040\OLFSNT40.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: DSLMON.lnk = ?
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Corel Network monitor worker (HKLM)
O9 - Extra 'Tools' menuitem: Corel Network monitor worker (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O9 - Extra button: Accesso al servizio (HKLM)
O9 - Extra 'Tools' menuitem: Accesso al servizio (HKLM)
O9 - Extra button: Studenti (HKLM)
O9 - Extra 'Tools' menuitem: Studenti (HKLM)
O9 - Extra button: Corel Network monitor worker (HKCU)
O9 - Extra 'Tools' menuitem: Corel Network monitor worker (HKCU)
O12 - Plugin for .MUS: C:\Programmi\Internet Explorer\PLUGINS\NPFinale.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.iol.it
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.c...b?1094499000916
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/...ash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{FE58EA3A-B760-48BA-AC10-387040B5EA87}: NameServer = 193.70.192.25 193.70.152.25





ciao a tutti e grazie

[wgator]

Ciao,

ecco, questi due sono i tuoi dialer, cerca gli eseguibili ed uccidili, poi metti la spnta su queste voci e premi FIX (con hijackthis):

O4 - HKLM\..\Run: [9xadiras] 9xadiras.exe
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
________________________________________________
Questi due "potrebbero" essere correlati al dialer... controlla, se non li hai messi tu... FIX

O9 - Extra button: Accesso al servizio (HKLM)
O9 - Extra 'Tools' menuitem: Accesso al servizio (HKLM)

Questi non li conosco, se non sono cose che hai cercato tu FIX

O9 - Extra button: Studenti (HKLM)
O9 - Extra 'Tools' menuitem: Studenti (HKLM)

[djgabbro]

grazie per l'interessamento.
i files exe che mi hai segnalato sono nella cartella driver del modem adsl, quindi non penso che siano maligni.
gli exe dei dialer quando arrivano si piazzano in C: fuori delle cartelle e installano dei file .dat nella cartella Temp delle impostazioni locali dell'utente.
Tornano almeno 3 4 volte a connessione

[wgator]

Ciao,

non conosco nessun modem ADSL che usi quei file. Che marca e modello è? Vale la pena fare un controllo.

Alcuni model Sagem usano file come "adildr.exe" per esempio, ma "9xadiras.exe" e "2kadiras.exe" mi giungono nuovi. Se mi dici marca e modello del modem faccio un controllo e aggiungo quei file al mio database.

Per quanto riguarda il log, l'ho ricontrollato per sicurezza, a parte quello che ho già segnalato, non noto altre cose strane.