Problemone con mlljh.dll e vtstq.dll

[Gaara8888]

Non so piu ke fare, spero qlcn di voi possa aiutarmi!
Nella cartella System32 ho questi due file che non riesco ad eliminare ( dice che sono utilizzati da un processo )!
Ho provato con il Taskmanager ma nn mi sembra ci sia nessun processo "losco" mentre se faccio un analisi dei processi con Ewido mi da due non meglio identificati "System Process", il primo con PID 0 il secondo con PID 4. Il primo non lo posso terminare il secondo anche se lo termino rimane la. Lo dico perche non so se le due cose sono correlate.

Ho scartabellato in giro per la rete e penso a questo punto che sia stato infetto da Vusto o qlcs del genere...
i problemi ke da sto virus/adware sn i seguenti:
mi appaiono dei popup con scritto "sei stato infetto dal blackworm virus. ti consigliamo di scaricare etc. etc." e cose simili...

Ho reinstallato Windows ( SP1, nn riesco a scaricare il SP2 xke nn mi parte il link ) ma l'infezione rimane.

nel regedit ho notato questa chiave, ho cercato info su google ma niente..

HKEY_LOCAL_MACHINE -> SOFTWARE -> MICROSOFT -> CURRENT VERSION -> RUN

ci sta un tale "wlib32" in dati c'è scritto "rundll32.exe C:\WINDOWS\System32\wlib32.dll,start"

non ho Hijackthis ke a quanto pare è indispensabile x risolvere qsti casi![/i]

[Luke57]

Ciao, se lo vuoi utilizzare qui il download:
http://www.pc-facile.com/HijackThis_s267/
Guida:
http://www.pc-facile.com/guide/guida_hijackthis/
Riepilogo in breve:
Doppio click sulla cartella compressa scaricata
Scompattare l’eseguibile (.exe) in una cartella del disco fisso ad esso dedicata (né temporanea né desktop)
Avviare l’eseguibile;
Cliccare su DO A SYSTEM SCAN AND SAVE LOGFILE
- Attendete che finisca la scansione e che si apra in automatico un foglio di blocco note scritto
- Copiare TUTTO il contenuto del blocco note;
- Incollare il contenuto in un post per sottoporlo all’attenzione del forum

[Gaara8888]

Logfile of HijackThis v1.99.1
Scan saved at 15.40.52, on 10/03/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\MessengerPlus! 3\MsgPlus.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Documents and Settings\Papo ciccione.SNAKE-WMSUITYYI\Impostazioni locali\Temp\Directory temporanea 1 per hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fastweb.it/myfastpage/res/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: WTLHelper Object - {6D33B121-5C4C-4450-9D1F-7B67085CC199} - C:\WINDOWS\System32\awvvv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [wlib32] rundll32.exe C:\WINDOWS\System32\wlib32.dll,start
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .pdf: C:\Programmi\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: awvvv - C:\WINDOWS\System32\awvvv.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe

[lucas/s]

Ciao
scarica questo programma
http://www.atribune.org/ccount/click.php?id=4
Doppio click su VundoFix.exe
Spunta la casella Run VundoFix as a task.
Riceverai un messaggio che dice che il programma si chiuderà e riaprirà da solo,clicca su OK
Una volta riaperto clicca su Scan for Vundo
Quando la scansione è terminata clicca su Remove Vundo
Riceverai un messaggio se vuoi eliminare i files clicca su Yes
Dopo che hai cliccati su Yes il desktop scomparirà è normale
Quando il tool ha finito ti chiederà di riavviare clicca su Ok

Una volta riavviato apri Hijackthis,clicca sul secondo pulsante,metti le spunte nelle caselle che corrispondono a queste stringhe

O2 - BHO: WTLHelper Object - {6D33B121-5C4C-4450-9D1F-7B67085CC199} - C:\WINDOWS\System32\awvvv.dll

O20 - Winlogon Notify: awvvv - C:\WINDOWS\System32\awvvv.dll

Clicca su Fix Checked per eliminarle
Riavvia il pc e posta un nuovo log che c'è altro da sistemare,gentilmente posta anche il contenuto di questo file C:\Vundofix.txt

[Gaara8888]

Ciao ( ti ringrazio moltissimo x l'aiuto!! ),
allora ho eseguito VundoFix il Pc si è riavviato ma prima di riavviarsi è apparso un messaggio ke non ho fatto in tempo a leggere...
poi ho premuto il secondo pulsante di Hijack ma non c'era nessuna delle stringhe ke mi hai indicato...ecco il nuovo log:

Logfile of HijackThis v1.99.1
Scan saved at 16.35.58, on 10/03/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\MessengerPlus! 3\MsgPlus.exe
C:\WINDOWS\System32\rundll32.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\rundll32.exe
C:\Documents and Settings\Papo ciccione.SNAKE-WMSUITYYI\Impostazioni locali\Temp\Directory temporanea 3 per hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fastweb.it/myfastpage/res/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [wlib32] rundll32.exe C:\WINDOWS\System32\wlib32.dll,start
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .pdf: C:\Programmi\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe

[lucas/s]

Ciao il problema sembra sparito

Start>pannello di controllo>opzioni cartella>visualizzazione
-Metti la spunta nella casella "Visualizza file e cartelle nascoste"
-TOGLI la spunta dalla casella "Nascondi file di sistema(consigliato)"
-Rispondi di SI al messaggio
-Applica>OK

gentilmente collegati a questo url http://www.virustotal.com/flash/index_en.html
usa la funzione sfoglia per individuare il file in rosso
C:\WINDOWS\System32\wlib32.dll
una volta individuato lo selezioni e clicchi su Apri
Poi clicchi sul pulsante "Send"
Attendi pochi minuti e veranno mostrati i risultati,per piacere riporta i risultati nella tua risposta
Ciao

PS:Potresti fare un copia e incolla nella tua risposta del contenuto del file C:\Vundofix.txt(se presente)?

[Gaara8888]

Ma certamente! Però il link non mi funziona! :/


VundoFix V4.2.30
Scan started at 16.31.10 10/03/2006

Listing files found while scanning....

C:\WINDOWS\System32\awvvv.dll
C:\WINDOWS\System32\vvvwa.ini
C:\WINDOWS\System32\vvvwa.bak1

C:\WINDOWS\system32\vvvwa.bak1
C:\WINDOWS\system32\vvvwa.ini
C:\WINDOWS\system32\awvvv.dll
Attempting to delete C:\WINDOWS\System32\awvvv.dll
C:\WINDOWS\System32\awvvv.dll Has been deleted!

Attempting to delete C:\WINDOWS\System32\vvvwa.ini
C:\WINDOWS\System32\vvvwa.ini Has been deleted!

Attempting to delete C:\WINDOWS\System32\vvvwa.bak1
C:\WINDOWS\System32\vvvwa.bak1 Has been deleted!

Performing Repairs to the registry.
Done!

[lucas/s]

perfetto,a me il link funziona riprova
http://www.virustotal.com/flash/index_en.html
nel caso non funzionasse usa questo
http://virusscan.jotti.org/
invece di Send clicca su Submit
Cheers