AIUTO con Iexplorer

[lorenks]

sono un po' dì giorni che a forza di navigare su siti non proprio "sicurissimi" il mio pc, in particolare Internet Explorer, ha cominciato a dare delle noie...

- la pagina iniziale cambia continuamente in http://www.coolsearch.biz, e da lì partono milioni di pop-up con un dialer ciascuno

- spesso cliccando su un link invece di venire indirizzato alla pag corrispondente vengo inviato ad altri siti

- aprendo link con "apri in un altra finestra" vengo sistematicamente rimandato a http://www.sexocean.biz\in... riguardo a questo ho anche notato una cosa durante le mie ricerche su virgilio:



ho installato ad-aware, spybot, uso trend pc-cillin come antivirus... non so davvero + cosa fare! aiutatemi please

[Dylan666]

Hai letto TUTTA questa guida?


http://www.pc-facile.com/guide.php?t=111274

[lorenks]

ORA sì, grazie

[Dylan666]

Finalmento ho trovato questo benedetto topic... Sono stato contattato per 2 volte dall'autore, cosa in linea di massima VIETATA dalla Netiquette...
Infatti per portare alla mia attenziaone un problema che non è stato del tutto risolto basta semplicemente scriverlo qui (cioè di seguito al thread del problema stesso), e io riceverò la notifica del messaggio e il link alla pagina in questione (se mi scrivi via MP per un topic almeno mettine il link, non che me lo devo cercare io dato che è nel tuo interesse e non nel mio che ti risponda...)

Mi viene detto che lo spyware non è stato rimosso: ma hai controllato 'ste benedette chiavi di avvio del registro?

[Dylan666]

Fra l'altro lo SpyBot e l'Ad-Aware PRIMA di usarli li hai AGGIORNATI?

[lorenks]

programmi: aggiornati

chiavi di registro: di quelle ke mi hai dato, quelle che ho trovato sembravano a posto...

scusa per il disturbo!!!

[Sergio1983]

Classiche soluzioni:

1) Hai provato ad eseguire quei programmi, tipo Ad-Aware, in modalità provvisoria?

2) Scaricati HijackThis, eseguilo e posta qui il log. Ti diremo noi quali chiavi cancellare.

[MrOZ]

Usa CWShredder ...e poi se non risolvi posta il log di hijackthis.

[lorenks]

innanzitutto, grazie per aver risposto.. stavo diventando pazzo
non so se il problema sia risolto, intanto vi do i risultati:

CWshredder ha rilevato e cancellato CWS.Yexe

poi ho fatto una scansione con Hijackthis, ecco il log:

Codice: Seleziona tutto

Logfile of HijackThis v1.97.7
Scan saved at 20.41.06, on 21/05/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
c:\Programmi\Trend Micro\PC-cillin 2002\Tmntsrv.exe
c:\Programmi\Trend Micro\PC-cillin 2002\PCCPFW.exe
C:\WINDOWS\ATK0100\Hcontrol.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Progra~1\ASUS\Power4 Gear\BatteryLife.exe
C:\WINDOWS\System32\khooker.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Programmi\Trend Micro\PC-cillin 2002\pccguide.exe
C:\Programmi\Trend Micro\PC-cillin 2002\PCCClient.exe
C:\Programmi\Trend Micro\PC-cillin 2002\Pop3trap.exe
C:\Programmi\Winamp\Winampa.exe
C:\WINDOWS\System32\services\all.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Babylon\Babylon.exe
C:\Programmi\Asus\Asus ChkMail\ChkMail.exe
C:\Programmi\Asus\ASUS Hotkey\Hotkey.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Documents and Settings\Massimo CORSI\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.coolsearch.biz/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F1 - win.ini: run=C:\WINDOWS\System32\services\wmplayer.exe
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Progra~1\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {4BCF322B-9621-4e90-9678-F1424EB7584E} - C:\WINDOWS\udpmod.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\Hcontrol.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [Power_Gear] C:\Progra~1\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [pccguide.exe] "c:\Programmi\Trend Micro\PC-cillin 2002\pccguide.exe"
O4 - HKLM\..\Run: [PCCClient.exe] "c:\Programmi\Trend Micro\PC-cillin 2002\PCCClient.exe"
O4 - HKLM\..\Run: [Pop3trap.exe] "c:\Programmi\Trend Micro\PC-cillin 2002\Pop3trap.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programmi\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [ist service uninstall] C:\WINDOWS\System32\services\all.exe /u
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Babylon Translator] C:\Programmi\Babylon\Babylon.exe
O4 - Global Startup: ASUS ChkMail.lnk = C:\Programmi\Asus\Asus ChkMail\ChkMail.exe
O4 - Global Startup: Hotkey.lnk = C:\Programmi\Asus\ASUS Hotkey\Hotkey.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.splash.it/
O16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exe
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} - http://www.mt-download.com/MediaTicketsInstaller.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

[lorenks]

i problemi con InternetExplorer sembrano risolti... è rimasto solo un grande rallentamento in generale, va tutto a scatti, si nota specialmente quando scrivo qualcosa o quando metto qualche filmato.

in più all'accensione del pc appare un messaggio tipo "File non trovato. Impossibile aprire il file C:/windows/system32/wmplayer.exe"

cosa mi consigliate??

[Dylan666]

Reinstallalo.

[lorenks]

ma è un file che c'entra qualcosa con MediaPlayer? devo reinstallarlo? perchè se non ricordo male è stato CWshredder ad eliminarlo...

che mi dite sul Log di Hijackthis? va tutto bene? perchè qua continua ad andare tutto a rilento.. non capisco proprio da cosa può dipendere!!!

[Dylan666]

hai ragione, quel file è un virus, uno di questi probabilmente:

Symantec Security Response - W32.HLLW.Bonny
W3
http://securityresponse.symantec.com/av ... venc/data/ w32.hllw.bonny.html - 14.6KB - United States 48%
Trova simile


--------------------------------------------------------------------------------
Symantec Security Response - W32.Muzk.Irc
W3
http://securityresponse.symantec.com/av ... venc/data/ w32.muzk.irc.html - 24.4KB - United States 45%
Trova simile


--------------------------------------------------------------------------------
Symantec Security Response - Adware.Smartsearch
BEHAVIOR: Adware.Smartsearch changes the default prefix of Internet Explorer. The effect of this is that any URLs typed without a http:// prefix will be ...
http://securityresponse.symantec.com/av ... venc/data/ adware.smartsearch.html - 20.8KB - United States 45%
Trova simile


--------------------------------------------------------------------------------
Symantec Security Response - W32.HLLW.Gaobot.EF
W32.HLLW.Gaobot.EF is a worm that uses several exploits to spread. This worm also opens a backdoor to a predetermined IRC channel.
http://securityresponse.symantec.com/av ... venc/data/ w32.hllw.gaobot.ef.html - 41.6KB - United States 42%
Trova simile


--------------------------------------------------------------------------------
Symantec Security Response - W32.Wallon.A@mm
W32.Wallon.A@mm is a mass-mailing worm that sends email messages containing a hyperlink to download the worm body from certain URLs. It also harvests the ...
http://securityresponse.symantec.com/av ... venc/data/ w32.wallon.a@mm.html - 36.5KB - United States

Per il LOG non so, non l'ho letto.

[lorenks]

e per rimuovere quei due avvisi che appaiono ogni volta che accendo il pc? ho già controllato in esecuzione automatica ma non c'è niente

[Dylan666]

Probabilmente le cose sono collegate (vedi ad esempio Adware.Smartsearch)

Passiamo al log: ci sono varie voci che io non conosco, dimmi tu se ci devono essere

Codice: Seleziona tutto


C:\WINDOWS\System32\services\all.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
F1 - win.ini: run=C:\WINDOWS\System32\services\wmplayer.exe
O2 - BHO: (no name) - {4BCF322B-9621-4e90-9678-F1424EB7584E} - C:\WINDOWS\udpmod.dll
O4 - HKLM\..\Run: [Hcontrol] C:\WINDOWS\ATK0100\Hcontrol.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\System32\khooker.exe
O16 - DPF: {11111111-1111-1111-1111-111111111732} - file://c:\progra~1\pl.exe
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} - http://www.mt-download.com/MediaTicketsInstaller.cab


[lorenks]

sinceramente... non ne ho idea!! non trovo niente di familiare, ma magari sono io che non conosco il pc... che non è mio ma di mio padre!

aspetto che risponda MrOz, in fondo è lui che mi ha chiesto di postare il log magari saprà dirmi qualcosa in +...

sul rallentamento generale del pc non si può fare nessuna ipotesi?

[Dylan666]

Nessuna ipotesi? Un virus e/o uno spyware mi sembra già abbastanza!

[Dylan666]

Non se se hai capito che devi almeno iniziare col rimuovere il virus, aiutandoti con un antivirus AGGIORNATO e i link che ti ho dato sopra...