AIUTO! P2P Portal ?!?

[fester40]

Ciao. Credo di essermi beccato una schifezza e ho bisogno del vostro aiuto. Ho scaricato un file da Emule e si trattava di un eseguibile zippato; già scompattandolo è andato in esecuzione ed ha tentato di connettersi, col nome di "P2P Portal"; l'ho bloccato ma è già successo qualcosa di molto serio; non riesco più a far partire il Task Manager perché il sistema dice che è stato disabilitato dall'amministratore. Ecco il log di Hijack This

Logfile of HijackThis v1.99.1
Scan saved at 17.56.00, on 16/05/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
C:\Programmi\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
C:\Programmi\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE
C:\WINDOWS\Explorer.EXE
C:\Programmi\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE
C:\Programmi\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\LetterBox\LetterBox.exe
C:\Programmi\Microsoft AntiSpyware\gcasDtServ.exe
C:\Programmi\Panda Software\Panda Antivirus Platinum\pavProxy.exe
C:\Programmi\eMule\emule.exe
C:\DOCUME~1\lou\IMPOST~1\Temp\winlogon.exe
D:\DOCUMENTI\downloads\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://forums.accuratereloading.com/eve
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [SCANINICIO] "C:\Programmi\Panda Software\Panda Antivirus Platinum\Inicio.exe"
O4 - HKLM\..\Run: [APVXDWIN] "C:\Programmi\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [gcasServ] "C:\Programmi\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: LetterBox.lnk = C:\Programmi\LetterBox\LetterBox.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.com/scan8/oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1115195381765
O17 - HKLM\System\CCS\Services\Tcpip\..\{E0A7EDB3-6E81-44C7-99AE-21D93BFE9F2B}: NameServer = 62.211.69.150 212.48.4.15
O23 - Service: Panda Firewall Service (PAVFIRES) - Panda Software - C:\Programmi\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
O23 - Service: Panda anti-virus service (PAVSRV) - Panda Software - C:\Programmi\Panda Software\Panda Antivirus Platinum\pavsrv51.exe

Ho già il sospetto su un paio di voci ma gradirei il vostro illuminato parere, sopratutto per agire nella giusta sequenza. La scansione fatta con Panda e Spyware Blaster (aggiornati) non ha dato risultato. Anticipatamente ringrazio - Lorenzo

[bluepix]

Un parere.

Da fixare:

O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)

Da svuotare assolutamente la directory TEMP per eliminare questo file:

C:\DOCUME~1\lou\IMPOST~1\Temp\winlogon.exe

per riavere il controllodi Task Manager:

http://www.windowsnetworking.com/kba...ndows2000.html

[fester40]

Grazie Bluepix, e che ne dici di questo? Mi pare un po' sospetto.....

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

[oackley]

sembra che tu hai installato "panda platinum".....
Strano che ti sia successo, direbbe un certo tipo di nome "solopanda".........

[bluepix]

Originariamente inviato da fester40

Grazie Bluepix, e che ne dici di questo? Mi pare un po' sospetto.....

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

è un menu relativo alla Sun Java console. Va bene lasciarlo.

[fester40]

Originariamente inviato da oackley

sembra che tu hai installato "panda platinum".....
Strano che ti sia successo, direbbe un certo tipo di nome "solopanda".........

Eh già! Ma io non sono un fanatico; pur essendo soddisfatto di Panda, so bene che come tutti gli antivirus (quale più, quale meno) ha i suoi limiti. La colpa è la mia, che ho scaricato un eseguibile sconosciuto, contrariamente a tutte le abituali raccomandazioni .... Grazie. Ogni ulteriore suggerimento è graditissimo - Lorenzo

[bluepix]

Come è andata Fester? Tutto ok?

[fester40]

Purtroppo ora sono al lavoro e sto navigando col NB mentre il "malato" è il PC di casa; verso le 01.30 rientrerò e proverò a smanettare un po'. Ti farò sapere; ancora grazie - Lorenzo

[fester40]

Caro Bluepix, grazie ai tuoi validi consigli ho debellato il bastardo dal mio PC; determinanti come ben sai HijackThis e anche un'utilità che forse conoscerai, GiPo@MoveOnBoot, che mi ha permesso di cancellare ....\Winlogon.exe, che altrimenti, con metodi classici, non voleva saperne di morire. Non sono riuscito a eseguire GPEDIT.MSC, come dice sul sito in Inglese, non c'era verso! Però ho trovato questa piccola utilità, che ha compiuto il miracolo: http://www.dougknox.com/xp/utils/xp_taskmgrenab.htm. Serve proprio a abilitare/disabilitare Task Manager. Da una prima occhiata tutto pare funzionare bene; direi che me la sono cavata. Se sorgeranno altri problemi ti farò sapere. A proposito, cos'era secondo te? Virus, Trojan, Hijacker??? Grazie ancora e ciao! - Lorenzo

[bluepix]

Grazie delle segnalazioni Fester.

Un altro programma per cancellare i file "resistenti".
http://www.bleepingcomputer.com/files/killbox.php

ciao