ma chi li ha cercati...

[w3]

Ciao! Ho un problema con Internet: si aprono in continuazione siti indesiderati. Spy-botSD non trova nulla e l'analisi del log di hijackthis mi fa cancellare alcune cose tranne: R0- HKCU\Software\Microsoft\InternetExplorer\Main,LocalPage-http://195.95.218.172/index.php . Digitando manualmente questo indirizzo si è aperto uno dei quei siti, ma quando ho provato a cancellarlo con hijackthis non ci sono riuscita... Che fare? Grazie!!!

[Dylan666]

posta un log

[w3]

Logfile of HijackThis v1.99.1
Scan saved at 7.50.06, on 07/08/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\Roberto\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.repubblica.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://195.95.218.172/index.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [SpySweeper] "C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Programmi\Eset\nod32krn.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe

G R A Z I E !!!

[dany]

Prima di tutto devi fare gli aggiornamenti a windows update.

[w3]

Gli aggiornamenti sono automatici

[dany]

Questo è ciò che dice l'analisi del log che hai postato

E' disponibile una versione piu' recente del service pack. I service pack migliorano la sicurezza del vostro sistema. Scaricate la versione piu' nuova del service pack dal sito Microsoft Windowsupdate.

MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Versione probabilmente scaduta Mostra la versione di Internet Explorer. La versione più recente è: 6.00.2800.1106! La versione (6.00.2600.0000) è ormai superata. Utilizzate Windowsupdate per aggiornare Internet Explorer.

dice anche che non hai un firewall

No active firewall was found on your system or the firewall you use is unknown to us. If you don´t use a firewall you should download and install one or activate windows xp´s own one.

[w3]

Hai ragione, ma il pc con problemi è in rete con quello che sto usando ora che invece ha sp2 ed è in regola con gli aggiornamenti... Pensavo che il secondo pc, dipendendo dal primo per la connessione non dovesse avere problemi di questo genere...

[dany]

Non ho capito molto bene, ma tu usi due computer?
Solo su uno hai problemi?
Sono due computer distinti con due sistemi operativi distinti?
In qualunque caso fai ove non ci sono gli aggiornamenti e installa un firewall!

[w3]

Sì, uno (il pricipale) per i 4 adulti di casa, e il secondario (quello con problemi) per i bambini. Credo che uno di noi l'abbia collegato direttamente ad Internet e lì è successo il misfatto... Sicuramente aggiornerò anche il secondario, ma ora come faccio?
Neanche Microsoft Antispiware risolve il problema.
Grazie! Ciao!

[Dylan666]

il log pare pulito

[w3]

Grazie!,ma quell'indirizzo che appare nel log (http://195.95.218.172/index.php) è segnato come hijack nella scansione online con Spyaudit. Comunque sono andata a leggere Netiquette (spiacente di non averlo fatto prima...) e ho tolto manualmente con regedit tutte le chiavi con quell'indirizzo e quel problema è risolto, ma spyaudit trova:" Trojan-Downloader-Silly" e niente finora me l'ha cancellato...
Non ho trovato nulla al riguardo con "Cerca"...
Ciao!

[Dylan666]

Quella che leggi dopo la linea _________________ è la mia firma, cioè una frase, serie di frasi o immagini che ogni utente può far inserire in automatico alla fine di OGNI suo post (si configura dal pannello "Profilo"). Ciò che dice quindi non è riferito a te in particolare ma a tutti in generale.

[w3]

OK, ma che faccio con Silly?

[Dylan666]

Ma quell'URL non lo si riesce a levare con HijackThis?

[w3]

No, perchè quando metto la spunta e clicco su fix..., il programma mi dice che ha cancellato, ma quando rifaccio la scansione riappare bello come il sole. Comunque ho risolto il problema cancellandolo manualmente con regedit e trova... Mi rimane "silly" che non so dove cercare...
Ciao!

[Dylan666]

Non ti dice DOVE lo trova? Magari pulisci i temporanei, ma non mi stupirei se fosse una falsa segnalazione, spesso avviene coi programmi anti-dialer sconosciuti che vogliono far vedere che trovano qualcosa:

http://www.pc-facile.com/forum/viewtopi ... ht=spyware

Io consiglio solo AD-aware e Spybot

[w3]

La scansione con spyaudit dà risultati diversi su due pc... (ho letto il topic su disspy). No non mi dice dove lo trova. E poi perchè hijackthis non cancellava quell'url di prima (http://195.95.218.172/index.php)? Cioè diceva che era cancellato e alla scansione successiva si ripresentava? Ciao!

[Dylan666]

Una cosa è non riuscire a cancellare, una cosa è un valore che si ricrea. Evidentemente c'è qualcosa che lo riscrive...

PS: non mi fido di chi trova file maligni ma non dice dove...
Comunque quel malware agisce con queste modalità:
http://research.sunbelt-software.com/th ... atid=40041

Ci sono scritti anche i file con cui infetta, quindi puoi cercarne il nome sul tuo PC e verificare tu stesso se esistono o no.

[w3]

Scusa se è passato tanto tempo, ce l'ho fatta, il pc è libero...
G R A Z I E !!!