aiutooooooooo

[marycam]

salve! sn nuova qui...ho bisogno di un vostro aiuto! nella mia cronoliga sono apparsi b.skitodayplease, a.doginhispen, 88.80.7.66! presumo che siano virus...che faccio? sn riuscita a connttermi solo perchè ho ripreso un punto di ripristino, perchè avevano disattivato il contro center di nod 32..hanno disattivato yahoo messenger...e adaware nn si aggiorna! inoltre su hijacthis nn ci sono! che faccio???? grazie!!

[Luke57]

Ciao, scarica findawf da qui:
http://noahdfear.geekstogo.com/FindAWF.exe
avvialo, nella finestra dos che si apre premi 1 e attendi lo scan. Sarà generato un report . Copia e incolla tale report in un post.

[marycam]

questo è il log..cmq sono su un punto di ripristino precedente..devo tornare a quello per me "infettato"?

Find AWF report by noahdfear ©2006
Version 1.40



bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\BAK

0 File 0 byte
2 Directory 30.015.160.320 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\PROGRA~1\MESSEN~1\BAK

0 File 0 byte
2 Directory 30.015.160.320 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\PROGRA~1\MSNMES~1\BAK

0 File 0 byte
2 Directory 30.015.156.224 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\PROGRA~1\SYMNET~1\BAK

12/07/2025 16.53 100.056 SNDMon.exe
1 File 100.056 byte
2 Directory 30.015.156.224 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\WINDOWS\SYSTEM32\BAK

19/08/2004 14.39 15.360 ctfmon.exe
09/07/2001 11.50 155.648 NeroCheck.exe
2 File 171.008 byte
2 Directory 30.015.156.224 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\PROGRA~1\A4TECH\KEYBOARD\BAK

07/09/2001 19.34 49.152 Ikeymain.exe
1 File 49.152 byte
2 Directory 30.015.156.224 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\PROGRA~1\A4TECH\MOUSE\BAK

10/10/2001 16.22 143.360 Amoumain.exe
1 File 143.360 byte
2 Directory 30.015.156.224 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\PROGRA~1\FILECO~1\SYMANT~1\BAK

08/03/2006 15.49 59.040 ccApp.exe
1 File 59.040 byte
2 Directory 30.015.156.224 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\PROGRA~1\SCANSOFT\PAPERP~1\BAK

0 File 0 byte
2 Directory 30.015.156.224 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\PROGRA~1\TERMIN~1\QUICKT~1\BAK

23/08/2007 14.44 62 KAgent.cfg
26/07/2004 11.27 740.352 Scheduled.exe
23/08/2007 14.44 0 slog.txt
3 File 740.414 byte
2 Directory 30.015.156.224 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\PROGRA~1\YAHOO!\MESSEN~1\BAK

0 File 0 byte
2 Directory 30.015.156.224 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: CCED-0E6A

Directory di C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\BAK

15/10/2001 13.50 196.608 hpztsb04.exe
1 File 196.608 byte
2 Directory 30.015.152.128 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~

111840 23 Aug 2007 "C:\Programmi\SymNetDrv\SNDMon.exe"
100056 12 Jul 2025 "C:\Programmi\SymNetDrv\bak\SNDMon.exe"
15360 19 Aug 2004 "C:\WINDOWS\system32\ctfmon.exe"
15360 19 Aug 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
24080 18 Jul 2007 "C:\WINDOWS\system32\NeroCheck.exe"
155648 9 Jul 2001 "C:\WINDOWS\system32\bak\NeroCheck.exe"
24080 18 Jul 2007 "C:\Programmi\A4Tech\Keyboard\Ikeymain.exe"
49152 7 Sep 2001 "C:\Programmi\A4Tech\Keyboard\bak\Ikeymain.exe"
24080 18 Jul 2007 "C:\Programmi\A4Tech\Mouse\Amoumain.exe"
143360 10 Oct 2001 "C:\Programmi\A4Tech\Mouse\bak\Amoumain.exe"
59040 8 Mar 2006 "C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe"
69 18 Jul 2007 "C:\Programmi\Terminator\Quick TV\KAgent.cfg"
62 23 Aug 2007 "C:\Programmi\Terminator\Quick TV\bak\KAgent.cfg"
65 4 Mar 2004 "C:\Programmi\V-Stream Multimedia\PVR Plus\TVR\KAgent.cfg"
24080 18 Jul 2007 "C:\Programmi\Terminator\Quick TV\Scheduled.exe"
740352 26 Jul 2004 "C:\Programmi\Terminator\Quick TV\bak\Scheduled.exe"
730624 10 May 2004 "C:\Programmi\V-Stream Multimedia\PVR Plus\TVR\Scheduled.exe"
0 18 Jul 2007 "C:\Programmi\Terminator\Quick TV\SLog.txt"
0 23 Aug 2007 "C:\Programmi\Terminator\Quick TV\bak\slog.txt"
0 4 Mar 2004 "C:\Programmi\V-Stream Multimedia\PVR Plus\TVR\slog.txt"
24080 18 Jul 2007 "C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe"
196608 15 Oct 2001 "C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\hpztsb04.exe"


end of report

[Luke57]

Ciao, se sai quando è avvenuta l'infezione devi fare un ripristino alla data precedente, se non lo sai è inutile ripristinare. se hai xp (non l'hai detto) scarica avenger sul desktop
http://swandog46.geekstogo.com/avenger.zip
Decomprimi l'archivio
Avvia il file avenger.exe
Seleziona l'opzione "Input Script Manually"
Clicca sulla lente di ingrandimento

Ti si apre una finestra "View/edit script"
All'interno del box bianco,copia e incolla le scritte in neretto:

files to move:
C:\Programmi\SymNetDrv\bak\SNDMon.exe | C:\Programmi\SymNetDrv\SNDMon.exe
C:\WINDOWS\system32\bak\ctfmon.exe | C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\bak\NeroCheck.exe | C:\WINDOWS\system32\NeroCheck.exe
C:\Programmi\A4Tech\Keyboard\bak\Ikeymain.exe | C:\Programmi\A4Tech\Keyboard\Ikeymain.exe
C:\Programmi\A4Tech\Mouse\bak\Amoumain.exe | C:\Programmi\A4Tech\Mouse\Amoumain.exe
C:\Programmi\Terminator\Quick TV\bak\slog.txt | C:\Programmi\Terminator\Quick TV\slog.txt
C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\hpztsb04.exe | C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Programmi\Terminator\Quick TV\bak\Scheduled.exe | C:\Programmi\Terminator\Quick TV\Scheduled.exe



Clicca sul pulsante Done
Clicca sull'icona del semaforo verde
Rispondi Yes e poi ok
Il pc dovrebbe riavviarsi da solo, se così non fosse riavvialo manualmente.
Posta anche il log generato da avenger, lo trovi in C:\ è un file di testo

Elimina poi tutti i file temporanei di ie e di windows

Da pannello di controllo, connessioni di rete, elimina l'eventuale connessione aggiunta dal dialer.

[marycam]

ecco il log di avenger
Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\ovprgqma

*******************

Script file located at: \??\C:\tpaeiiuk.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File move operation C:\Programmi\SymNetDrv\bak\SNDMon.exe|C:\Programmi\SymNetDrv\SNDMon.exe completed successfully.
File move operation C:\WINDOWS\system32\bak\ctfmon.exe|C:\WINDOWS\system32\ctfmon.exe completed successfully.
File move operation C:\WINDOWS\system32\bak\NeroCheck.exe|C:\WINDOWS\system32\NeroCheck.exe completed successfully.
File move operation C:\Programmi\A4Tech\Keyboard\bak\Ikeymain.exe|C:\Programmi\A4Tech\Keyboard\Ikeymain.exe completed successfully.
File move operation C:\Programmi\A4Tech\Mouse\bak\Amoumain.exe|C:\Programmi\A4Tech\Mouse\Amoumain.exe completed successfully.
File move operation C:\Programmi\Terminator\Quick TV\bak\slog.txt|C:\Programmi\Terminator\Quick TV\slog.txt completed successfully.
File move operation C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\hpztsb04.exe|C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe completed successfully.
File move operation C:\Programmi\Terminator\Quick TV\bak\Scheduled.exe|C:\Programmi\Terminator\Quick TV\Scheduled.exe completed successfully.

Completed script processing.

*******************

Finished! Terminate.


...Ho Xp!! Ho eliminato i file temporanei di I. E. cn Easy cleaner..nn ci sn dialer tra le connessioni!!!Quali sn quelli temporanei di Windows?

[marycam]

Adesso che faccio????

[Luke57]

Ciao, easycleaner elimina anche i file temp di wndows. Controlla che tutto sia tornato a posto, se hai ancora problemi fallo sapere.

[vedaila]

Salve Signor Luke57....volevo falr sapere che Marycam è una mia grande amica...grazie per averla aiutata e poi cortesemente guardi la sua casella di posta le ho mandato una mail..

[marycam]

Il pc sembra funzionare, non mi sembra ci sia tanto di strano a parte il fatto che la connessione è un po’ lenta..( cmq non è adsl!!) ma ho notato una cosa..(non so se c’entra e se è importante) nel vedere lo stato di connessione( BYTE INVIATI…BYTE RICEVUTI….COMPRESSIONE ECC…SOTTO ERRORI RICEVUTI dà 1)..è importante?..cmq..grazie 1000 per il prezioso aiuto!

[carcusi]

Ciao, ho anchio lo stesso problema, puoi aiutarmi?

bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 0062-12A3

Directory di C:\PROGRA~1\QUICKT~1\BAK

26/02/2008 19.50 14.348 qttask.exe
1 File 14.348 byte
3 Directory 9.420.730.368 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 0062-12A3

Directory di C:\PROGRA~1\TWEAKRAM\BAK

29/02/2008 19.08 60 data.key
05/03/2008 19.25 225 log.txt
15/04/2006 17.07 907.264 TweakRAM.exe
3 File 907.549 byte
2 Directory 9.420.726.272 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 0062-12A3

Directory di C:\WINDOWS\EHOME\BAK

10/08/2004 03.04 59.392 ehtray.exe
1 File 59.392 byte
2 Directory 9.420.726.272 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 0062-12A3

Directory di C:\WINDOWS\SYSTEM32\BAK

07/09/2004 13.00 15.360 ctfmon.exe
11/03/2004 01.26 406.016 PSDrvCheck.exe
2 File 421.376 byte
2 Directory 9.420.726.272 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 0062-12A3

Directory di C:\PROGRA~1\AVIRA\ANTIVI~1\BAK

24/01/2008 21.34 249.896 avgnt.exe
1 File 249.896 byte
2 Directory 9.420.726.272 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 0062-12A3

Directory di C:\PROGRA~1\QUICKT~1\BAK\BAK

30/05/2007 17.10 98.304 qttask.exe
1 File 98.304 byte
2 Directory 9.420.726.272 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: 0062-12A3

Directory di C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\BAK

08/02/2005 05.00 98.304 E_FATIACE.EXE
1 File 98.304 byte
2 Directory 9.420.726.272 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~

14348 26 Feb 2008 "C:\Programmi\QuickTime\bak\qttask.exe"
98304 30 May 2007 "C:\Programmi\QuickTime\bak\bak\qttask.exe"
14348 26 Feb 2008 "C:\Programmi\QuickTime\bak\qttask.exe"
98304 30 May 2007 "C:\Programmi\QuickTime\bak\bak\qttask.exe"
60 27 Dec 2007 "C:\Programmi\TweakRAM\data.key"
60 29 Feb 2008 "C:\Programmi\TweakRAM\bak\data.key"
7354 26 Feb 2008 "C:\Programmi\TweakRAM\log.txt"
225 5 Mar 2008 "C:\Programmi\TweakRAM\bak\log.txt"
7759 24 Sep 2004 "D:\setup programmi e giochi\certificati e doc rec\Log.txt"
907264 15 Apr 2006 "C:\Programmi\TweakRAM\bak\TweakRAM.exe"
59392 10 Aug 2004 "C:\WINDOWS\ehome\ehtray.exe"
59392 10 Aug 2004 "C:\WINDOWS\ehome\bak\ehtray.exe"
15360 7 Sep 2004 "C:\WINDOWS\system32\ctfmon.exe"
15360 7 Sep 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
406016 11 Mar 2004 "C:\WINDOWS\system32\bak\PSDrvCheck.exe"
249896 26 Feb 2008 "C:\Programmi\Avira\AntiVir PersonalEdition Classic\avgnt.exe"
249896 24 Jan 2008 "C:\Programmi\Avira\AntiVir PersonalEdition Classic\bak\avgnt.exe"
14348 26 Feb 2008 "C:\Programmi\QuickTime\bak\qttask.exe"
98304 30 May 2007 "C:\Programmi\QuickTime\bak\bak\qttask.exe"
14348 26 Feb 2008 "C:\WINDOWS\system32\spool\drivers\w32x86\3\E_FATIACE.EXE"
98304 8 Feb 2005 "C:\WINDOWS\system32\spool\drivers\w32x86\epsonstylus_dx380035be\E_FATIACE.EXE"
98304 8 Feb 2005 "C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\E_FATIACE.EXE"


end of report

[Luke57]

Ciao, scarica questi programmi,

Ccleaner http://www.pc-facile.com/download/pulizia/ccleaner/
(cerca l'ultima versione)
ATF Cleaner http://www.atribune.org/ccount/click.php?id=1

Installa Ccleaner (deseleziona l'opzione per installare la barra di yahoo, se non la vuoi), avvialo, premi opzioni>avanzate, togli la spunta a "elimine file temp di windows solo se più vecchi di 48 ore".

Riavvia in modalità provvisoria, premendo ripetutamente il tasto f8 all'accensione del computer prima che si carichi windows.

Avvia Ccleaner, seleziona "Analizza" e poi clicca su "Avvia cleaner".

Avvia ATF Cleaner, seleziona "Select all" e poi premi "Empty selected". Aspetta il messaggio "done cleaning"!
Ripeti la stessa operazione per le schede Firefox ed Opera (se li hai).


Al riavvio scarica avenger sul desktop
http://swandog46.geekstogo.com/avenger.zip
Decomprimi l'archivio
Avvia il file avenger.exe
All'interno del box bianco,copia e incolla le scritte seguenti:

folders to delete:
C:\Programmi\QuickTime\bak\qttask.exe


files to move:
C:\Programmi\QuickTime\bak\bak\qttask.exe | C:\Programmi\QuickTime\qttask.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\E_FATIACE.EXE | C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\E_FATIACE.EXE
C:\Programmi\Avira\AntiVir PersonalEdition Classic\bak\avgnt.exe | C:\Programmi\Avira\AntiVir PersonalEdition Classic\bak\avgnt.exe
C:\WINDOWS\system32\bak\PSDrvCheck.exe | C:\WINDOWS\system32\bak\PSDrvCheck.exe
:\WINDOWS\system32\bak\ctfmon.exe | :\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\ehome\bak\ehtray.exe | C:\WINDOWS\ehome\ehtray.exe


Premi il tasto Execute
Il pc dovrebbe riavviarsi da solo, se così non fosse riavvialo manualmente.
Allega poi il log generato da avenger, lo trovi in C:\avenger.txt è un file di testo.

[carcusi]

Fatto! ecco il risultato:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: "C:\Programmi\QuickTime\bak\qttask.exe" is not a folder! It may instead be a file.
Deletion of folder "C:\Programmi\QuickTime\bak\qttask.exe" failed!
Status: 0xc0000103 (STATUS_NOT_A_DIRECTORY)
--> use "Files to delete:" instead of "Folders to delete:" to delete an ordinary file


Error: file "C:\Programmi\QuickTime\bak\bak\qttask.exe" not found!
File move operation "C:\Programmi\QuickTime\bak\bak\qttask.exe|C:\Programmi\QuickTime\qttask.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

File move operation "C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\E_FATIACE.EXE|C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\E_FATIACE.EXE" completed successfully.
File move operation "C:\Programmi\Avira\AntiVir PersonalEdition Classic\bak\avgnt.exe|C:\Programmi\Avira\AntiVir PersonalEdition Classic\bak\avgnt.exe" completed successfully.
File move operation "C:\WINDOWS\system32\bak\PSDrvCheck.exe|C:\WINDOWS\system32\bak\PSDrvCheck.exe" completed successfully.

Error: could not open file ":\WINDOWS\system32\bak\ctfmon.exe" for move operation
File move operation ":\WINDOWS\system32\bak\ctfmon.exe|:\WINDOWS\system32\ctfmon.exe" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist


Error: file "C:\WINDOWS\ehome\bak\ehtray.exe" not found!
File move operation "C:\WINDOWS\ehome\bak\ehtray.exe|C:\WINDOWS\ehome\ehtray.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.

*******************

Finished! Terminate.