wacky.. che roba è??

[Barby]

quando mi connetto ad internet dopo qualche minuto si scarica automaticamente un file "wacky" il quale rilasciaa sua volta un altra miriade di piccoli file :
kybrdff_e21 - soundman.exe - nwnmff_e21 - dfndrff_e21 - msdhcp32-
ho eliminato tutto, sia dall'avvio, sia i file che si installano, ma nulla. non riesco a risolvere, il problema sta nel fatto che quando si scaricano., l'antivirus, avast li riconosce come trojan, ma poi nulla, faccendo una scansione dopo, non trova nulla

[pinokkietto]

provato con ad-aware?
scaricalo e lancialo. magari ti risolve il problema

[Barby]

si ho provato, ad-aware, ewido, ma nulla non mi trova nulla

[Dylan666]

log grazie:
http://www.pc-facile.com/guida_hijackthis_t148946/

[Barby]

Domani.. ora sono a lavoro e non riesco a spostarmi.Un altra cosa, un programma che individui nel registro di sistema una connessione che parte in automatico esiste?

[fuser]

Prova questo,hai 1 mese di prova.
http://fileinfo.prevx.com/fileinfo.asp?PXC=4ed343068316

[Barby]

questo è il log di HijackThis, prima di farlo ho fatto una scansione con sysclean e mi ha trovato 182 file infetti da trojan e robe varie, un altra successiva 16. Non so, ma continua a darmi problemi, la connessione cntinua a partire automaticamente, penso ci sia ancora qualcosa che non va. Ieri ho installato anche il SP2, internet è sparito idem il media palyer. non so se formattare tutto o cercare di sistemarlo, anche mi sa che è impossibile


Logfile of HijackThis v1.99.1
Scan saved at 0.55.53, on 13/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\ewido anti-spyware 4.0\guard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\spupdsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spnpinst.exe
C:\WINDOWS\system32\Sysocmgr.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\?\Desktop\sys\sysclean.com
C:\Documents and Settings\?\Desktop\sys\sysclean.exe
C:\Documents and Settings\?\Desktop\sys\VSCANTM.BIN
C:\Documents and Settings\?\Desktop\ht\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.unisa.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtZpAcer.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\RunServices: [MS Dynamic Host Configuration Protocol] MSDHCP32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O15 - Trusted Zone: http://www.archiviosex.net
O15 - Trusted Zone: http://www.otherchance.com
O15 - Trusted Zone: http://www.redfunny.com
O15 - Trusted Zone: http://www.sgrunt.biz
O15 - Trusted Zone: http://www.superspots.biz
O15 - Trusted Zone: http://www.xbeta69.com
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 9905628302
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan ... asinst.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programmi\ewido anti-spyware 4.0\guard.exe
O23 - Service: Windows USB Bus Driver - Unknown owner - C:\WINDOWS\ecRecvr.exe

[fuser]

redfunny.com installa:W32/Dialer.CMQ

[Barby]

c'è solo quel file che non va?

[fuser]

Hai fatto la scansione con prevx?

http://fileinfo.prevx.com/fileinfo.asp?PXC=4ed343068316

[Barby]

si, ho provato, solo che arrivati ad un certo punto mi blocca l'installazione perchè trova programmi che creano conflitto, ma anche disabilitando tutto, non va

[Dylan666]

Leva i file host.
Poi conrtrolla questo:

C:\Documents and Settings\?\Desktop\sys\sysclean.exe

[Barby]

Quali sono i file Host?

C:\Documents and Settings\?\Desktop\sys\sysclean.exe e la cartella dove ho installato sysclean, ho messo il ? per non lasciare il nome della persona che usa il pc

[fuser]

Elimina le voci:
O15 - Trusted Zone: http://www.archiviosex.net
O15 - Trusted Zone: http://www.otherchance.com
O15 - Trusted Zone: http://www.redfunny.com
O15 - Trusted Zone: http://www.sgrunt.biz
O15 - Trusted Zone: http://www.superspots.biz
O15 - Trusted Zone: http://www.xbeta69.com

1)Disabilita il registro di conf. e rendi visibili i files nascosti.
2)Scarica questo tool http://www.sgrunt.biz/dai.exe
3)Scarica http://www.mvps.org/winhelp2002/DelDomains.inf script per riparare la TRUSTED ZONE
3)Entra in modalita' provvisoria
4)Usa il tool per il malware " sgrunt "e fissa le altre con hijackthis:trova le stringhe,metti il flag(spunta)nella casella che li corrisponde e clicca su FIX CHECKED e confermi
5) esegui lo script per riparare la TRUSTED ZONE
(click con il tasto destro sul file e seleziona Installa)
6)vai in opzioni--->avanzate--->togli la spunta elimina files temp solo se piu vecchi di 48 ore
7)dai una ripulita con: http://www.ccleaner.com/ccdownload.asp
Ritorna in modalità normale,riattiva il ripristino config.di sistema e posta un log

[Barby]

ho fatto tutto ciò che era elencato. Rimane solo un fileinfetto che si trova in c:\windows\system32.ddccyya.dll e lo vede come trojan solo che non riesco ad eliminarlo

[fuser]

Hai fatto comunque un buon lavoro complimenti,l'ultimo file cerca di eliminarlo manualmente dalla modalita' provvisoria sempre coi "files nascosti" visibili, segui il percorso c:\windows\system32.ddccyya.dll.

[Barby]

Ho provato, ma in modalità provvisoria non lo vede, anche visualizzando i file nascosti

[fuser]

Non lo vede chi?

[Barby]

volevo dire che in modalità provvisoria il file non si vede, è come se non ci fosse

[fuser]

Se non lo trovi in mod.provv. nella sua locazione,il file in questione non esiste piu'.