Chi sono!!!

di **M@trix** » 09/01/06 12:49

Buongiorno a tutti gli utenti di questo forum, è un pò che vi leggo, e visto che siete sempre gentili e disponibili con tutti ho pensato di chiedervi aiuto.
Credo di aver preso un virus, mi sembra sia spamlia, praticamente quello dei codec per media player, insomma il problema è che fino ad una 15 giorni dopo aver scaricato il codec, non è successo nulla, poi zone alarm, mi ha segnalato un comportamento pericoloso da parte di questi file: sk0.1, sk0.2, s348.2, io li ho bloccati, ma non so se sono loro, ho aggionato norton 2002, ma non ha trovato nulla, così come spybot, adware, ewidio, la scansione online di panda, insomma sono disperato.
Ho fatto il log con hijackthis ed ho cancellato le voci che sembravano sospette, ma al riavvio un paio di queste sono ricomparse, vi posto il log prima e dopo, un'altra domanda, ma hijackthis, quando fixa una voce, esattamente cosa fà?.

ecco il log prima
Logfile of HijackThis v1.99.1
Scan saved at 1.17.16, on 09/01/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\NORTON~1\NORTON~1\navapw32.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Java\jre1.5.0_04\bin\jusched.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Documents and Settings\io\Documenti\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: MSX - {037CE595-57CB-4EB5-9775-97BC112F3BB3} - C:\WINDOWS\system32\msx.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Site Update Watcher - {A853979C-2A9A-4ACB-8975-5740A7E26CB4} - C:\WINDOWS\system32\kaboom.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [runapp] C:\WINDOWS\system32\icqchk.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/ ... nicode.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan ... asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7DBDB425-0342-47C3-A310-E8411E28A2AE}: NameServer = 85.37.17.11 151.99.125.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: Servizio Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Programmi\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

E questo è quello dopo:
Logfile of HijackThis v1.99.1
Scan saved at 2.07.12, on 09/01/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\NORTON~1\NORTON~1\navapw32.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Java\jre1.5.0_04\bin\jusched.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\io\Documenti\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [runapp] C:\WINDOWS\system32\icqchk.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/ ... nicode.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan ... asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7DBDB425-0342-47C3-A310-E8411E28A2AE}: NameServer = 85.37.17.11 151.99.125.1
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: Servizio Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Programmi\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

Grazie a tutti quelli che mi aiuteranno.

di **Luke57** » 09/01/06 13:01

Ciao, a parte questo
O4 - HKLM\..\Run: [runapp]C:\WINDOWS\system32\icqchk.exe
il log pare pulito. Fai analizzare il file
C:\WINDOWS\system32\icqchk.exe
qui : http://www.virustotal.com/flash/index_en.html ( viene sottoposto all'analisi di diversi antivirus)
Se fosse un elemento nocivo, fai girare hijackthis premendo "do a system scan only, lo spunti tra l'elenco delle voci che ti appaiono e premi "fix checked". Dalla modalità provvisoria, dopo aver reso visibili file e cartelle nascosti, cerchi e se c'è elimini il file suddetto, svuotando poi anche il cestino. Fai poi un'altra scansione con antivirus aggiornato dalla modalità provvisoria.

di **M@trix** » 09/01/06 16:53

Grazie della risposta tempestiva, sei stato molto gentile, quella voce che dici di rimuovere è una di quelle che compare di nuovo dopo che mi sono collegato ad internet, perciò volevo un'aiuto, ho provato a cercarlo ma non c'è, eppure è in esecuzione almeno da quello che dice zone alarm, quindi non posso scansionarlo.
Cosa mi dici di quei file che ho menzionato?, sk01 sk02.
Grazie

di **M@trix** » 10/01/06 09:13

Buongiorno a tutti, riporto su questo 3d, perchè il problema rimane, questa voce proprio non và via:C:\WINDOWS\system32\icqchk.exe, il problema è che il file non cè, ma zone dice in continuazione che lo blocca mentre tenta di comunicare con un certo some driver, vi prego help me.
Grazie

di **Luke57** » 10/01/06 09:31

Ciao, ma l'hai fissato con hjt? cercato poi dopo aver reso visibili file e cartelle nascosti?

di **M@trix** » 10/01/06 10:00

Ciao luke, ho fatto tutto quello che dici, ma è sempre lì.
Non si trova, e zone continua a rilevarlo, oggi ho aggiornato zone, è laprima cosa che mi ha chiesto riguardava proprio quell programma.
Non sò che fare.
Grazie

di **Luke57** » 10/01/06 12:02

Sicuamente è presente nel registro di sistema, fai questi due controlli:
start>esegui>msconfig(lo scrivi nello spazio bianco)OK, sulla schwermata che si apre clicchi "avvio" e guarda se ci trovi un riferimento fra le varie voci presenti;
guarda nel registro di sistema (start>esegui>regedit (lo scrivi nello spazio bianco)>OK, poi sulla finestra "editor del registro di sistema", clicchi sui + di HKEY_LOCALMACHINE/SOFTWARE/MICROSOFT/WINDOWS/CURRENT VERSION/RUN, clicchi due volte sulla cartella "RUN" e guarda cosa c'è dentro di riferimento a quella voce. Scusa se sono prolisso, magari ti ho detto cose che hai già verificato.

di **M@trix** » 10/01/06 12:07

Grazie ancora luke, ho fatto quello che dici le voci ci sono, in msconfig, avevo gia provato a toglierlo, ma all'avvio c'era di nuovo, ma che cavolo è?, è presente la voce nel registro, ma hjt non dovrebbe toglierlo?.

di **Luke57** » 10/01/06 13:08

Ciao, in effetti sì, se lo togli tu dal registro di sistema?

di **Luke57** » 10/01/06 15:50

Ciao M@trix, prova a a scaricare [url=http://translate.google.com/translate?hl=it&sl=en&u=http://vil.nai.com/vil/averttools.asp&prev=/search%3Fq%3Dstinger%26hl%3Dit%26lr%3D%26rls%3DGGLI,GGLI:2005-17,GGLI:it] Stinger 2.5.9.[/url ], fare una scansione, meglio in mod.provvisoria, fare un nuovo log di hijackthis e verificare se la voce compare sempre.

di **Luke57** » 10/01/06 15:55

Scusa,Stinger 2.5.9 è qui

di **M@trix** » 11/01/06 00:36

Grazie ancora luke, sei l'unico che mi risponde, ho fatto la scansione con stinger, ma non ha trovato nulla, mi sa che dovro formattare, peccato.
bye

di **Luke57** » 11/01/06 08:27

Ciao, m@trix, il tuo problema l'ho visto anche in altri forum, non ancora risolto. C'è sicuramente un eseguibile che lancia la chiave, magari camuffato da un processo legittimo del SO. Ti informerò appena saprò qualcosa

di **M@trix** » 11/01/06 09:50

Grazie ancora luke, gentilissimo, e anche preparato, allora mi confermi che si tratta di un problema, meno male, iniziavo a pensare che mi stavo fissando troppo

.
Ultime notizie, ho tolto norton ed ho installato antivir, anche lui non trova nulla, conosci questo antivir personal edition?, volevo sapere perchè tenta il collegamento ad internet (mi avvisa zone), se non lo concedo non si avvia la protezione avguard, misteri,

.
Allora aspetto tue notizie prima del formattone riparatore.
Grazie. bye bye

di **Luke57** » 11/01/06 11:00

Ciao di nuovo, prima di formattare guarda questa discussione relativa al tuo stesso problema, in particolare una risposta di Am67 che ha risolto, così dice, con la versione registrata di Security Task Manager che individua il processo che fa partire icqchk.exe
http://forum.swzone.it/showthread.php?t=64592&page=3

di **Luke57** » 11/01/06 15:34

Ti segnalo che un'altra soluzione è stata trovata nella medesima discussione del post che ti ho detto. Elemento risolutivo, pare, RegRun. Comunque seguila. Ciao

di **M@trix** » 11/01/06 21:31

Grazie luke

Tutto risolto , quella discussione che mi hai segnalato è stata determinante, e regrun è stato lo strumento.
L'unica perplessita, riguarda quei file citati nell'apertura del 3d, sono nella cartella prefech(mi sembra si chiami così) , si puo cancellare il contenuto di questa cartella?.
bye

di **Luke57** » 11/01/06 21:47

Sono contento che cel'hai fatta

Puoi svuotare tranquillamente la cartella prefetch ( situata in C:\Windows), devi lasciare, se lo trovi, solo il file layout.ini ( fra l'altro con un'icona diversa dagli altri). Per fare prima clicchi su questo file evidenziandolo, poi vai su modifica>inverti selezione e tutti gli altri file, tranne layout.ini, si evidenziano. A quel punto li elimini in un colpo solo cliccando sul tasto cancella.

Chi sono!!!

Chi sono!!!

Topic correlati a "Chi sono!!!":

Chi c’è in linea