In questi giorni i virus han colpito ovunque

[greta76]

Buongiorno a tutti

causa bimbi malati e annoiati ho concesso che giocassero con il mio portatile, risultato, il malcapitato si è beccato qualsiasi cosa, l'antivirus ha segnalato e rimosso di tutto ma ora non si connette più alla rete wireless e non mi permette di accedere al centro sicurezza pc

Ho lanciato hijackthis ma inutile dirlo non ci capisco niente, qualcuno di voi mi potrebbe aiutare? Ovviamente ora sono ad un altro pc, un po' scalcione ma funzionante

[FrancescoFDAC]

Ciao Greta.
Hijackthis funziona cosi:
Scarica ed installa Hijackthis: http://www.trendmicro.com/ftp/products/ ... ckThis.msi
● lancia Hijackthis
● clicca sul pulsante Do a system scan and save a logfile
● verrà rilasciato automaticamente un file di testo: allegalo

Infine, ti suggerisco una scansione con malwarebytes.
Scarica Malwarebytes' Anti-Malware - Free Edition: http://www.malwarebytes.org
● doppio click su mbam-setup.exe per avviare il setup
● in fase di installazione, lascia la spunta alle voci b]Aggiorna Malwarebytes' Anti-Malware[/b] e Avvia Malwarebytes' Anti-Malware

Una volta eseguiti i passaggi indicati sopra:
● collega tutte le periferiche esterne che possiedi ( Chiavette USB, HDD Esterni, Lettori MP3... )
● verrà mostrata la schermata principale del tool: al messaggio che appare, clicca sul pulsante No
● clicca sul pulsante Scansione completa, e conferma cliccando il pulsante Scansione
● verrà richiesto quali drive scansionare; selezionali tutti, e clicca nuovamente su Scansione
● attendi pazientemente il termine della scansione
● una volta terminata, clicca sul pulsante OK e Mostra Risultati per visionare il Report
● verrà rilasciato automaticamente un file di testo: salvalo sul Desktop ed allegalo
● assicurati che tutte le voci siano selezionate, e clicca sul pulsante Rimuovi selezionati, in basso a sinistra
● il log può essere visionati cliccando sul tab Log dall'interfaccia principale del programma

Nota - riguardo al programma:
● se MalwareBytes incontrasse delle difficoltà nel rimuovere alcuni file, verranno mostrate delle finestre aggiuntive: clicca sul pulsante OK, e lascia procedere il programma alla disinfezione. Se MalwareBytes chiedesse di riavviare il sistema, fallo immediatamente


Fammi avere entrambi i report, cosi da darci una occhiata.

Francesco

[greta76]

Ciao Francesco,

grazie milel per la risposta, MalwareBites ora sta girando sul notebook, unico problema, siccome non mi si connette più ad internet io l'ho scaricato (sul pc da cui scrivo, copiato su chiavetta e poi installato sul malato) solo che non ho potuto aggiornare (non so come farlo usando 2 pc diversi)

Ora aspetto i risultati, come posso fare per farti avere i log?

Grazie di tutto

[FrancescoFDAC]

Ciao carissima, basta copiarli incollarli qui (una volta finite le due scansioni, automaticamente compariranno 2 file di testo che sono i log, basterà selezionare tutto il testo cliccando in alto Modifica e Seleziona Tutto, copiare e incollare qui).

Altrimenti puoi caricarli su un servizio esterno come Wikisend: www.wikisend.com ma è un attimino più complicato.
Va benissimo copia e incolla, non preoccuparti.

Se malwareBytes non si aggiorna, prova cosi:
http://www.megalab.it/6829/come-aggiorn ... d-internet

Francesco

[greta76]

Francesco eccomi,prima che mi rispondessi avevo già fatto una scansione rapida e eliminato un elemento (non salvando il log ovviamente) ora ho fatto quella completa (senza aggiornare, ho dato un'occhiata al link che mi hai postato ma credo sia troppo complesso per me )

[greta76]

e il log è questo

Malwarebytes Anti-Malware 1.60.0.1800
http://www.malwarebytes.org

Versione database: v2011.12.24.05

Windows XP Service Pack 3 x86 FAT
Internet Explorer 7.0.5730.13
greta :: INSPIRION [amministratore]

23/01/2012 0.27.27
mbam-log-2012-01-23 (01-20-18).txt

Tipo di scansione: Scansione completa
Opzioni di scansione attive: Memoria | Esecuzione automatica | Registro | File system | Euristica/Extra | Euristica/Shuriken | PUP | PUM
Opzioni di scansione disattivate: P2P
Elementi esaminati: 228305
Tempo impiegato: 46 minuti, 46 secondi

Processi rilevati in memoria: 0
(non sono stati rilevati elementi nocivi)

Moduli di memoria rilevati: 0
(non sono stati rilevati elementi nocivi)

Chiavi di registro rilevate: 0
(non sono stati rilevati elementi nocivi)

Valori di registro rilevati: 0
(non sono stati rilevati elementi nocivi)

Voci rilevate nei dati di registro: 0
(non sono stati rilevati elementi nocivi)

Cartelle rilevate: 0
(non sono stati rilevati elementi nocivi)

File rilevati: 3
C:\System Volume Information\_restore{030956B4-B6DF-4AE0-9E5A-D95FD7225B5D}\RP660\A0277053.ini (Rootkit.0Access) -> Nessuna azione intrapresa.
C:\System Volume Information\_restore{030956B4-B6DF-4AE0-9E5A-D95FD7225B5D}\RP661\A0277131.ini (Rootkit.0Access) -> Nessuna azione intrapresa.
C:\System Volume Information\_restore{030956B4-B6DF-4AE0-9E5A-D95FD7225B5D}\RP663\A0277193.ini (Rootkit.0Access) -> Nessuna azione intrapresa.

(fine)


mentre quello di hijackthis prima della scansione era questo

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 23.25.17, on 22/01/2012
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.17106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
c:\Programmi\Microsoft Security Essentials\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
C:\Programmi\Intel\Wireless\Bin\WLKeeper.exe
C:\WINDOWS\System32\WLTRYSVC.EXE
C:\WINDOWS\System32\bcmwltry.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Belkin\F5D7051\WLService.exe
C:\Programmi\Belkin\F5D7051\WLanCfgG.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\CDBurnerXP\NMSAccessU.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Programmi\Apoint\Apoint.exe
C:\WINDOWS\system32\WLTRAY.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Java\jre6\bin\jusched.exe
C:\Programmi\Intel\Wireless\bin\ZCfgSvc.exe
C:\Programmi\Intel\Wireless\Bin\ifrmewrk.exe
C:\Programmi\Microsoft Security Essentials\msseces.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Windows Live\Messenger\msnmsgr.exe
C:\Programmi\AVerTV 6.0\AVerQT.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Programmi\Apoint\HidFind.exe
C:\Programmi\Apoint\Apntex.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programmi\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programmi\Skype\Plugin Manager\SkypePM.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\msiexec.exe
C:\Programmi\Adobe\Reader 8.0\Reader\AcroRd32Info.exe
C:\Programmi\Trend Micro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [Apoint] C:\Programmi\Apoint\Apoint.exe
O4 - HKLM\..\Run: [Broadcom Wireless Manager UI] C:\WINDOWS\system32\WLTRAY.exe
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programmi\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programmi\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [MSSE] "c:\Programmi\Microsoft Security Essentials\msseces.exe" -hide -runkey
O4 - HKLM\..\RunOnce: [h ] c:\WINDOWS\system32\MsiExec.exe /@ "h
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: QuickTV6.lnk = C:\Programmi\AVerTV 6.0\AVerQT.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {1C11B948-582A-433F-A98D-A8C4D5CC64F2} (20-20 3D Viewer) - http://kitchenplanner.ikea.com/IT/Core/ ... _Win32.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{604E3C02-9762-4529-8263-C15C3D59EE57}: NameServer = 192.168.2.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Belkin High-Speed Mode Wireless G USB Driver (Belkin High-Speed Mode Wireless G USB Network Adapter Service) - Unknown owner - C:\Programmi\Belkin\F5D7051\WLService.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Servizio Google Update (gupdate) (gupdate) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: Servizio Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Programmi\CDBurnerXP\NMSAccessU.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Intel(R) PROSet/Wireless SSO Service (WLANKEEPER) - Intel(R) Corporation - C:\Programmi\Intel\Wireless\Bin\WLKeeper.exe
O23 - Service: Dell Wireless WLAN Tray Service (wltrysvc) - Unknown owner - C:\WINDOWS\System32\WLTRYSVC.EXE

--
End of file - 7716 bytes

[Luke57]

Ciao, esegui questa scansione:


•scarica combofix
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
salvalo sul desktop ,disattiva il tuo antivirus
Una volta posizionato il programma sul desktop incolla nello spazio bianco di esegui questo comando, cosi' com'e':

"%userprofile%\desktop\combofix.exe" /killall <==copia e incolla la dicitura in neretto

Premi OK, partirà la scansione.Durante questa fase non fare assolutamente niente con il pc.
Apparirà una schermata di esonero garanzie sul software-clicca su si,
Apparirà una schermata (solo per chi usa windows xp) per installare la console di ripristino,clicca su no.
Al termine apparirà a schermo il log di combofix che potrai anche trovare in C:\combofix.txt .Copialo e incollalo nel prossimo nel prossimo post.

Nel caso combofix non partadevi avviare il pc in modalità provvisoria e copiare poi combofix sul dektop.Nel caso combofix richiedesse un riavvio devi riavviare il pc sempre in modalità provvisoria.
Per avviare in mod.provvisoria premi ripetutamente il tasto F8 all'accensione del computer, prima che si carichi windows. Quando appare la schermata grigia, scegli l'opzione avvia in mod.provvisoria spostandoti con le freccette e confermando con Invio
Allega il log.

[greta76]

Piccolo problema, non trovo ocme disattivare k0antivirus, ho Microsoft security essential

[Luke57]

Ciao, vedi qui:
http://answers.microsoft.com/it-it/prot ... 1cf03b9a7f

[marcozenon]

Ciao, mi accodo a questa discussione perchè credo sia successo qualcosa di simile anche a me. Ho un XP con WinPatrol installato che da stamattina continua a dirmi che c'è un'applicazione che vuole scrivere sul mio registro di sistema: di volta in volta che spengo e riaccendo il pc, il file che vuole scrivere cambia nome (qooky.exe, brsps.exe, uovqw.exe, pembe.exe,....); se li vado a scovare nella cartella \windows li cancello ma riappaiono dopo pochi secondi. Chi li rigenera? Se li cancello dalla lista Active Tasks di winpatrol, non si rimuovono, ma al massimo si disabilitano, ma riappare dopo poco la richiesta di scrittura del file sul registro. SUl TaskManager di windows non appaiono.
Ora quello "attivo" è UOVQW.exe. SpyBot non lo vede. MalwareByte non mi dà errori.
Se uso HiJackThis me li vede, gli faccio un FIX, ma riappaiono. Copio il log di HiJackThis.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10.50.35, on 24/01/2012
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Google\Update\GoogleUpdate.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\WinPatrol\winpatrol.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Programmi\Malwarebytes' Anti-Malware\mbam.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\taskmgr.exe
C:\Programmi\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [WinPatrol] C:\Programmi\WinPatrol\winpatrol.exe -expressboot
O4 - HKLM\..\Run: [uovqv.exe] "C:\WINDOWS\uovqv.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [uovqv.exe] "C:\WINDOWS\uovqv.exe"
O4 - HKUS\S-1-5-19\..\Run: [qooky.exe] "C:\WINDOWS\qooky.exe" (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [brsps.exe] "C:\WINDOWS\brsps.exe" (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [uovqv.exe] "C:\WINDOWS\uovqv.exe" (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [qooky.exe] "C:\WINDOWS\qooky.exe" (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Servizio di Google Update (gupdate) (gupdate) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: Servizio Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 4221 bytes

GRAZIE, MARCO

[greta76]

Luke57 mi dice che l'antivirus è comunque attivo e che se lancio è a mio rischio e pericolo... non che ocn un pc messo in quel modo rischi poi tanto... vado a farmi un back up di tutti i miei dati su hard disk e poi me ne frego dei messaggi intimidatori che dici?

Poi ti aggiorno (se non esplodo insieme al pc)

[Luke57]

Ciao, eseguilo lo stesso.

[greta76]

Finito il salvataggio delle foto dei bambini lo faccio (tanto mi sa che da perdere non ho molto)

Ma non c'è il rischio che passando foto e video passi pure qualche schifezza?

[greta76]

Ecco il Log:

ComboFix 12-01-23.02 - greta 23/01/2012 19.07.08.1.1 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.39.1040.18.1023.695 [GMT 1:00]
Eseguito da: c:\documents and settings\greta\desktop\combofix.exe
Opzioni usate :: /killall
.
ATTENZIONE - QUESTO PC NON HA LA CONSOLE DI RIPRISTINO DI EMERGENZA INSTALLATA !!
.
.
((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\documents and settings\All Users\Dati applicazioni\TEMP
c:\documents and settings\greta\Impostazioni locali\Dati applicazioni\43ce8f9a\U
c:\documents and settings\greta\Impostazioni locali\Dati applicazioni\43ce8f9a\U\000000c0.@
c:\documents and settings\greta\Impostazioni locali\Dati applicazioni\43ce8f9a\U\000000cb.@
c:\documents and settings\greta\Impostazioni locali\Dati applicazioni\43ce8f9a\U\800000c0.$
c:\documents and settings\greta\Impostazioni locali\Dati applicazioni\43ce8f9a\X
c:\windows\$NtUninstallKB13227$
c:\windows\$NtUninstallKB13227$\1137610650\@
c:\windows\$NtUninstallKB13227$\1137610650\L(2)\nisihpqm
c:\windows\$NtUninstallKB13227$\236841299
c:\windows\EventSystem.log
c:\windows\IsUn0410.exe
c:\windows\system32\F5D7051.dll
c:\windows\system32\mrobeservice.dll
c:\windows\system32\TBM8E.tmp
.
La copia infetta di c:\windows\system32\drivers\mrxsmb.sys è stata trovata e disinfettata
ipristinata copia da - The cat found it
c:\windows\system32\drivers\netbt.sys was missing
ipristinata copia da - c:\windows\ServicePackFiles\i386\netbt.sys
.
c:\windows\system32\drivers\cdrom.sys was missing
ipristinata copia da - c:\windows\system32\dllcache\cdrom.sys
.
c:\windows\system32\drivers\ipsec.sys was missing
ipristinata copia da - c:\windows\ServicePackFiles\i386\ipsec.sys
.
.
((((((((((((((((((((((((( Files Creati Da 2011-12-23 al 2012-01-23 )))))))))))))))))))))))))))))))))))
.
.
2012-01-23 18:14 . 2008-04-13 19:19 75264 -c--a-w- c:\windows\system32\dllcache\ipsec.sys
2012-01-23 18:14 . 2008-04-13 19:19 75264 ----a-w- c:\windows\system32\drivers\ipsec.sys
2012-01-23 18:14 . 2008-04-13 19:40 62976 -c--a-w- c:\windows\system32\dllcache\cdrom.sys
2012-01-23 18:14 . 2008-04-13 19:40 62976 ----a-w- c:\windows\system32\drivers\cdrom.sys
2012-01-23 18:14 . 2008-04-13 19:21 162816 -c--a-w- c:\windows\system32\dllcache\netbt.sys
2012-01-23 18:14 . 2008-04-13 19:21 162816 ----a-w- c:\windows\system32\drivers\netbt.sys
2012-01-23 18:04 . 2011-07-15 13:29 457856 -c--a-w- c:\windows\system32\dllcache\mrxsmb.sys
2012-01-22 23:07 . 2012-01-22 23:07 -------- d-----w- c:\documents and settings\greta\Dati applicazioni\Malwarebytes
2012-01-22 23:07 . 2012-01-22 23:07 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Malwarebytes
2012-01-22 23:07 . 2012-01-22 23:07 -------- d-----w- c:\programmi\Malwarebytes' Anti-Malware
2012-01-22 23:07 . 2011-12-10 14:24 20464 ----a-w- c:\windows\system32\drivers\mbam.sys
2012-01-22 22:24 . 2012-01-22 22:24 388096 ----a-r- c:\documents and settings\greta\Dati applicazioni\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe
2012-01-22 22:24 . 2012-01-22 22:24 -------- d-----w- c:\programmi\Trend Micro
2012-01-22 17:51 . 2012-01-22 17:51 -------- d-----w- c:\windows\system32\wbem\Repository
2012-01-22 16:50 . 2004-08-03 21:41 129535 -c--a-w- c:\windows\system32\dllcache\slnt7554.sys
2012-01-22 02:26 . 2012-01-22 02:26 -------- d--h--w- c:\windows\system32\GroupPolicy
2012-01-22 02:12 . 2012-01-22 02:12 -------- d-----w- c:\windows\Temp5C52ED0A-8E20-B9BF-7A93-E4D3C79011FF-Signatures
2012-01-21 04:56 . 2012-01-21 04:56 2106216 ----a-w- c:\programmi\Mozilla Firefox\D3DCompiler_43.dll
2012-01-21 04:56 . 2012-01-21 04:56 121816 ----a-w- c:\programmi\Mozilla Firefox\components\browsercomps.dll
2012-01-21 04:56 . 2012-01-21 04:56 1998168 ----a-w- c:\programmi\Mozilla Firefox\d3dx9_43.dll
2012-01-21 04:56 . 2012-01-21 04:56 97240 ----a-w- c:\programmi\Mozilla Firefox\libEGL.dll
2012-01-21 04:56 . 2012-01-21 04:56 486360 ----a-w- c:\programmi\Mozilla Firefox\libGLESv2.dll
2012-01-21 04:56 . 2012-01-21 04:56 2124760 ----a-w- c:\programmi\Mozilla Firefox\mozjs.dll
2012-01-21 04:56 . 2012-01-21 04:56 15832 ----a-w- c:\programmi\Mozilla Firefox\mozalloc.dll
2012-01-21 04:56 . 2012-01-21 04:56 814040 ----a-w- c:\programmi\Mozilla Firefox\mozsqlite3.dll
2012-01-21 04:56 . 2012-01-21 04:56 626688 ----a-w- c:\programmi\Mozilla Firefox\msvcr80.dll
2012-01-21 04:56 . 2012-01-21 04:56 548864 ----a-w- c:\programmi\Mozilla Firefox\msvcp80.dll
2012-01-21 04:56 . 2012-01-21 04:56 479232 ----a-w- c:\programmi\Mozilla Firefox\msvcm80.dll
2012-01-21 04:56 . 2012-01-21 04:56 43992 ----a-w- c:\programmi\Mozilla Firefox\mozutils.dll
2012-01-21 04:28 . 2012-01-21 04:28 -------- d-----w- c:\windows\system32\drivers\NSS
2012-01-21 04:28 . 2012-01-21 04:28 -------- d-----w- c:\programmi\NortonInstaller
2012-01-21 01:59 . 2012-01-22 04:19 0 --sha-w- c:\windows\system32\dds_log_trash.cmd
2012-01-21 01:58 . 2012-01-23 18:14 -------- d-sh--w- c:\documents and settings\greta\Impostazioni locali\Dati applicazioni\43ce8f9a
.
.
.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-01-04 09:26 . 2011-08-12 22:10 236576 ------w- c:\windows\system32\MpSigStub.exe
2011-12-22 03:30 . 2011-12-22 03:30 404640 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl
2011-11-25 21:57 . 2004-09-07 12:00 293888 ----a-w- c:\windows\system32\winsrv.dll
2011-11-23 14:40 . 2004-09-07 12:00 1859584 ----a-w- c:\windows\system32\win32k.sys
2011-11-20 06:12 . 2004-09-07 12:00 60928 ----a-w- c:\windows\system32\packager.exe
2011-11-16 14:22 . 2004-09-07 12:00 354816 ----a-w- c:\windows\system32\winhttp.dll
2011-11-16 14:22 . 2004-09-07 12:00 152064 ----a-w- c:\windows\system32\schannel.dll
2011-11-03 15:28 . 2004-09-07 12:00 386560 ----a-w- c:\windows\system32\qdvd.dll
2011-11-03 15:28 . 2004-09-07 12:00 1297408 ----a-w- c:\windows\system32\quartz.dll
2011-11-01 16:07 . 2004-09-07 12:00 1288192 ----a-w- c:\windows\system32\ole32.dll
2011-10-31 23:37 . 2004-09-07 12:00 832512 ----a-w- c:\windows\system32\wininet.dll
2011-10-31 23:37 . 2004-09-07 12:00 1830912 ----a-w- c:\windows\system32\inetcpl.cpl
2011-10-31 23:37 . 2004-09-07 12:00 78336 ----a-w- c:\windows\system32\ieencode.dll
2011-10-31 23:37 . 2004-09-07 12:00 17408 ----a-w- c:\windows\system32\corpol.dll
2011-10-28 05:31 . 2004-09-07 12:00 33280 ----a-w- c:\windows\system32\csrsrv.dll
2011-10-26 10:50 . 2004-09-07 12:00 2196480 ----a-w- c:\windows\system32\ntoskrnl.exe
2011-10-26 10:50 . 2004-08-04 00:48 2073088 ----a-w- c:\windows\system32\ntkrnlpa.exe
2012-01-21 04:56 . 2012-01-21 04:56 121816 ----a-w- c:\programmi\mozilla firefox\components\browsercomps.dll
.
.
------- Sigcheck -------
Note: Unsigned files aren't necessarily malware.
.
[-] 2004-09-07 12:00 . 2AEAD5031A06726376E86A5669933336 . 25600 . . [10.0.3790.3646] . . c:\windows\system32\mspmsnsv.dll
[-] 2004-09-07 12:00 . 2AEAD5031A06726376E86A5669933336 . 25600 . . [10.0.3790.3646] . . c:\windows\system32\dllcache\mspmsnsv.dll
.
((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Skype"="c:\programmi\Skype\Phone\Skype.exe" [2006-12-18 25365032]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray"="c:\windows\ehome\ehtray.exe" [2004-08-10 59392]
"Apoint"="c:\programmi\Apoint\Apoint.exe" [2005-10-07 176128]
"Broadcom Wireless Manager UI"="c:\windows\system32\WLTRAY.exe" [2007-03-16 1392640]
"ATIPTA"="c:\programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2005-08-05 344064]
"SunJavaUpdateSched"="c:\programmi\Java\jre6\bin\jusched.exe" [2009-06-27 148888]
"IntelZeroConfig"="c:\programmi\Intel\Wireless\bin\ZCfgSvc.exe" [2007-02-21 819200]
"IntelWireless"="c:\programmi\Intel\Wireless\Bin\ifrmewrk.exe" [2007-02-21 970752]
"Adobe Reader Speed Launcher"="c:\programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-05-11 40048]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"h"="c:\windows\system32\MsiExec.exe" [2008-04-14 78848]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
"DWQueuedReporting"="c:\progra~1\FILECO~1\MICROS~1\DW\dwtrig20.exe" [2007-02-25 437160]
.
c:\documents and settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\
QuickTV6.lnk - c:\programmi\AVerTV 6.0\AVerQT.exe [2005-11-7 512000]
.
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Avvio^Programmi^Esecuzione automatica^WinZip Quick Pick.lnk]
path=c:\documents and settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\WinZip Quick Pick.lnk
backup=c:\windows\pss\WinZip Quick Pick.lnkCommon Startup
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2007-05-11 01:06 40048 -c--a-w- c:\programmi\Adobe\Reader 8.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msnmsgr]
2009-02-06 16:52 3885408 ----a-w- c:\programmi\Windows Live\Messenger\msnmsgr.exe
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programmi\\Windows Live\\Messenger\\wlcsdk.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programmi\\eMule\\emule.exe"=
"c:\\Programmi\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programmi\\Messenger\\msmsgs.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Programmi\\uTorrent\\uTorrent.exe"=
"c:\\Programmi\\Skype\\Phone\\Skype.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3014:TCP"= 3014:TCP:qcjdbqz
.
S1 MpKsl1a2c2854;MpKsl1a2c2854;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{C8E0FC89-EAC9-495E-9BFD-9BB4EA354A96}\MpKsl1a2c2854.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{C8E0FC89-EAC9-495E-9BFD-9BB4EA354A96}\MpKsl1a2c2854.sys [?]
S1 MpKsl1d6b9652;MpKsl1d6b9652;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKsl1d6b9652.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKsl1d6b9652.sys [?]
S1 MpKsl32c005ad;MpKsl32c005ad;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKsl32c005ad.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKsl32c005ad.sys [?]
S1 MpKsl525237f5;MpKsl525237f5;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{59AE2BB5-1B02-457F-BDCC-FE56B914650A}\MpKsl525237f5.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{59AE2BB5-1B02-457F-BDCC-FE56B914650A}\MpKsl525237f5.sys [?]
S1 MpKsl8b1d2a47;MpKsl8b1d2a47;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{6C5BA51E-9CE9-40FC-8EB2-A1921BD91A6F}\MpKsl8b1d2a47.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{6C5BA51E-9CE9-40FC-8EB2-A1921BD91A6F}\MpKsl8b1d2a47.sys [?]
S1 MpKslc448dbdd;MpKslc448dbdd;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{6D2D03ED-9AB0-44DA-926B-334E58528DE7}\MpKslc448dbdd.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{6D2D03ED-9AB0-44DA-926B-334E58528DE7}\MpKslc448dbdd.sys [?]
S1 MpKslffa3d1cf;MpKslffa3d1cf;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKslffa3d1cf.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKslffa3d1cf.sys [?]
S2 gupdate;Servizio Google Update (gupdate);c:\programmi\Google\Update\GoogleUpdate.exe [16/12/2011 17.28.39 136176]
S2 jffiytq;Driver Security;c:\windows\system32\svchost.exe -k netsvcs [07/09/2004 13.00.00 14336]
S3 avera800;AVerMedia DVB-T BDA Video Capture(A800);c:\windows\system32\drivers\avera800.sys [22/05/2010 19.33.11 41600]
S3 DCALEXICO;DCALEXICO;c:\windows\system32\drivers\DCalexico.sys --> c:\windows\system32\drivers\DCalexico.sys [?]
S3 gupdatem;Servizio Google Update (gupdatem);c:\programmi\Google\Update\GoogleUpdate.exe [16/12/2011 17.28.39 136176]
S3 ZTEusbnet;ZTE USB-NDIS miniport;c:\windows\system32\drivers\ZTEusbnet.sys [12/08/2011 9.32.41 114688]
S3 ZTEusbvoice;ZTE VoUSB Port;c:\windows\system32\drivers\zteusbvoice.sys [12/08/2011 9.32.27 105088]
.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
jffiytq
.
Contenuto della cartella 'Scheduled Tasks'
.
2012-01-23 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programmi\Google\Update\GoogleUpdate.exe [2011-12-16 16:28]
.
2012-01-23 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programmi\Google\Update\GoogleUpdate.exe [2011-12-16 16:28]
.
2012-01-21 c:\windows\Tasks\Norton Security Scan for greta.job
- c:\progra~1\NORTON~1\Engine\351~1.10\Nss.exe [2012-01-21 07:02]
.
.
------- Scansione supplementare -------
.
uStart Page = hxxp://www.google.it/
uInternet Connection Wizard,ShellNext = iexplore
IE: E&sporta in Microsoft Excel - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.2.1
TCP: Interfaces\{604E3C02-9762-4529-8263-C15C3D59EE57}: NameServer = 192.168.2.1
FF - ProfilePath - c:\documents and settings\greta\Dati applicazioni\Mozilla\Firefox\Profiles\sqpt17r7.default\
FF - prefs.js: browser.search.selectedEngine - Yahoo
FF - prefs.js: browser.startup.homepage - www.google.it
.
- - - - CHIAVI ORFANE RIMOSSE - - - -
.
AddRemove-Adolix Split and Merge PDF_is1 - c:\programmi\Adolix\Adolix Split and Merge PDF\unins000.exe
AddRemove-GarminPOIUpdater_is1 - c:\garminpoiupdater\unins000.exe
AddRemove-Microsoft Security Essentials - c:\programmi\Microsoft Security Essentials\setup.exe
AddRemove-Ulead Photo Express 3.0 SE - c:\windows\IsUn0410.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2012-01-23 19:18
Windows 5.1.2600 Service Pack 3 NTFS
.
scansione processi nascosti ...
.
scansione entrate autostart nascoste ...
.
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
h? = 63 00 3A 00 5C 00 57 00 49 00
.
Scansione files nascosti ...
.
Scansione completata con successo
Files nascosti: 0
.
**************************************************************************
.
--------------------- CHIAVI DI REGISTRO BLOCCATE ---------------------
.
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•9~*]
"0140110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Dlls caricate dai processi in esecuzione ---------------------
.
- - - - - - - > 'winlogon.exe'(848)
c:\windows\system32\Ati2evxx.dll
c:\windows\System32\BCMLogon.dll
.
- - - - - - - > 'explorer.exe'(2768)
c:\windows\system32\WININET.dll
.
------------------------ Altri processi in esecuzione ------------------------
.
c:\windows\system32\Ati2evxx.exe
c:\programmi\Intel\Wireless\Bin\EvtEng.exe
c:\windows\system32\Ati2evxx.exe
c:\programmi\Intel\Wireless\Bin\S24EvMon.exe
c:\programmi\Intel\Wireless\Bin\WLKeeper.exe
c:\windows\System32\WLTRYSVC.EXE
c:\windows\System32\bcmwltry.exe
c:\programmi\Belkin\F5D7051\WLService.exe
c:\programmi\Belkin\F5D7051\WLanCfgG.exe
c:\windows\eHome\ehRecvr.exe
c:\windows\eHome\ehSched.exe
c:\programmi\Java\jre6\bin\jqs.exe
c:\programmi\CDBurnerXP\NMSAccessU.exe
c:\programmi\Intel\Wireless\Bin\RegSrvc.exe
c:\windows\system32\dllhost.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\system32\wscntfy.exe
c:\windows\eHome\ehmsas.exe
c:\programmi\Apoint\HidFind.exe
c:\programmi\Apoint\Apntex.exe
c:\programmi\Intel\Wireless\Bin\Dot1XCfg.exe
.
**************************************************************************
.
Ora fine scansione: 2012-01-23 19:26:08 - Il pc è stato riavviato
ComboFix-quarantined-files.txt 2012-01-23 18:25
.
Pre-Run: 11.843.162.112 byte disponibili
Post-Run: 12.629.651.456 byte disponibili
.
- - End Of File - - 829263F758BA05143239515DC3CD0F7B

[greta76]

E il miopc si è magicamente connesso ad internet di nuovo da solo

Grazie grazie grazie

[FrancescoFDAC]

MarcoZenon, il PC è infetto, segui la procedura di ComboFix postata da Luke, e allega il log (non in questa discussione però, altrimenti facciamo confusione. Creane un'altra, sempre nella sezione Sicurezza!)

Francesco

[Luke57]

@greta76
Ciao, apri un file di testo, al suo interno copia e incolla il seguente script:

NetSvcs::
jffiytq

Driver::
jffiytq

Registry::
HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3014:TCP"= -

chiama il file obbligatoriamente CFScript.txt
Posizionalo sul desktop e con il puntatore del mouse trascinalo sull'icona di combofix. Il programma avvierà una nuova scansione. Posta il nuovo report prodotto.

[greta76]

Ecco il nuovo report

ComboFix 12-01-23.02 - greta 24/01/2012 1.01.47.2.1 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.39.1040.18.1023.634 [GMT 1:00]
Eseguito da: c:\documents and settings\greta\Desktop\ComboFix.exe
Opzioni usate :: c:\documents and settings\greta\Desktop\CFScript.txt
* Creato nuovo punto di ripristino
.
ATTENZIONE - QUESTO PC NON HA LA CONSOLE DI RIPRISTINO DI EMERGENZA INSTALLATA !!
.
.
((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
.
((((((((((((((((((((((((((((((((((((((( Driver/Servizi )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_JFFIYTQ
-------\Service_jffiytq
.
.
((((((((((((((((((((((((( Files Creati Da 2011-12-24 al 2012-01-24 )))))))))))))))))))))))))))))))))))
.
.
2012-01-23 18:14 . 2008-04-13 19:19 75264 -c--a-w- c:\windows\system32\dllcache\ipsec.sys
2012-01-23 18:14 . 2008-04-13 19:19 75264 ----a-w- c:\windows\system32\drivers\ipsec.sys
2012-01-23 18:14 . 2008-04-13 19:40 62976 -c--a-w- c:\windows\system32\dllcache\cdrom.sys
2012-01-23 18:14 . 2008-04-13 19:40 62976 ----a-w- c:\windows\system32\drivers\cdrom.sys
2012-01-23 18:14 . 2008-04-13 19:21 162816 -c--a-w- c:\windows\system32\dllcache\netbt.sys
2012-01-23 18:14 . 2008-04-13 19:21 162816 ----a-w- c:\windows\system32\drivers\netbt.sys
2012-01-23 18:04 . 2011-07-15 13:29 457856 -c--a-w- c:\windows\system32\dllcache\mrxsmb.sys
2012-01-23 18:04 . 2011-07-15 13:29 457856 ----a-w- c:\windows\system32\drivers\mrxsmb.sys
2012-01-23 02:04 . 2012-01-23 02:04 -------- d-----w- c:\documents and settings\LocalService\Impostazioni locali\Dati applicazioni\PCHealth
2012-01-22 23:07 . 2012-01-22 23:07 -------- d-----w- c:\documents and settings\greta\Dati applicazioni\Malwarebytes
2012-01-22 23:07 . 2012-01-22 23:07 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Malwarebytes
2012-01-22 22:24 . 2012-01-22 22:24 388096 ----a-r- c:\documents and settings\greta\Dati applicazioni\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe
2012-01-22 22:24 . 2012-01-22 22:24 -------- d-----w- c:\programmi\Trend Micro
2012-01-22 17:51 . 2012-01-22 17:51 -------- d-----w- c:\windows\system32\wbem\Repository
2012-01-22 16:50 . 2004-08-03 21:41 129535 -c--a-w- c:\windows\system32\dllcache\slnt7554.sys
2012-01-22 02:26 . 2012-01-22 02:26 -------- d--h--w- c:\windows\system32\GroupPolicy
2012-01-22 02:12 . 2012-01-22 02:12 -------- d-----w- c:\windows\Temp5C52ED0A-8E20-B9BF-7A93-E4D3C79011FF-Signatures
2012-01-21 04:56 . 2012-01-21 04:56 2106216 ----a-w- c:\programmi\Mozilla Firefox\D3DCompiler_43.dll
2012-01-21 04:56 . 2012-01-21 04:56 121816 ----a-w- c:\programmi\Mozilla Firefox\components\browsercomps.dll
2012-01-21 04:56 . 2012-01-21 04:56 1998168 ----a-w- c:\programmi\Mozilla Firefox\d3dx9_43.dll
2012-01-21 04:56 . 2012-01-21 04:56 97240 ----a-w- c:\programmi\Mozilla Firefox\libEGL.dll
2012-01-21 04:56 . 2012-01-21 04:56 486360 ----a-w- c:\programmi\Mozilla Firefox\libGLESv2.dll
2012-01-21 04:56 . 2012-01-21 04:56 2124760 ----a-w- c:\programmi\Mozilla Firefox\mozjs.dll
2012-01-21 04:56 . 2012-01-21 04:56 15832 ----a-w- c:\programmi\Mozilla Firefox\mozalloc.dll
2012-01-21 04:56 . 2012-01-21 04:56 814040 ----a-w- c:\programmi\Mozilla Firefox\mozsqlite3.dll
2012-01-21 04:56 . 2012-01-21 04:56 626688 ----a-w- c:\programmi\Mozilla Firefox\msvcr80.dll
2012-01-21 04:56 . 2012-01-21 04:56 548864 ----a-w- c:\programmi\Mozilla Firefox\msvcp80.dll
2012-01-21 04:56 . 2012-01-21 04:56 479232 ----a-w- c:\programmi\Mozilla Firefox\msvcm80.dll
2012-01-21 04:56 . 2012-01-21 04:56 43992 ----a-w- c:\programmi\Mozilla Firefox\mozutils.dll
2012-01-21 04:28 . 2012-01-21 04:28 -------- d-----w- c:\windows\system32\drivers\NSS
2012-01-21 04:28 . 2012-01-21 04:28 -------- d-----w- c:\programmi\NortonInstaller
2012-01-21 01:59 . 2012-01-22 04:19 0 --sha-w- c:\windows\system32\dds_log_trash.cmd
2012-01-21 01:58 . 2012-01-23 18:14 -------- d-sh--w- c:\documents and settings\greta\Impostazioni locali\Dati applicazioni\43ce8f9a
.
.
.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-01-04 09:26 . 2011-08-12 22:10 236576 ------w- c:\windows\system32\MpSigStub.exe
2011-12-22 03:30 . 2011-12-22 03:30 404640 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl
2011-11-25 21:57 . 2004-09-07 12:00 293888 ----a-w- c:\windows\system32\winsrv.dll
2011-11-23 14:40 . 2004-09-07 12:00 1859584 ----a-w- c:\windows\system32\win32k.sys
2011-11-20 06:12 . 2004-09-07 12:00 60928 ----a-w- c:\windows\system32\packager.exe
2011-11-16 14:22 . 2004-09-07 12:00 354816 ----a-w- c:\windows\system32\winhttp.dll
2011-11-16 14:22 . 2004-09-07 12:00 152064 ----a-w- c:\windows\system32\schannel.dll
2011-11-03 15:28 . 2004-09-07 12:00 386560 ----a-w- c:\windows\system32\qdvd.dll
2011-11-03 15:28 . 2004-09-07 12:00 1297408 ----a-w- c:\windows\system32\quartz.dll
2011-11-01 16:07 . 2004-09-07 12:00 1288192 ----a-w- c:\windows\system32\ole32.dll
2011-10-31 23:37 . 2004-09-07 12:00 832512 ----a-w- c:\windows\system32\wininet.dll
2011-10-31 23:37 . 2004-09-07 12:00 1830912 ----a-w- c:\windows\system32\inetcpl.cpl
2011-10-31 23:37 . 2004-09-07 12:00 78336 ----a-w- c:\windows\system32\ieencode.dll
2011-10-31 23:37 . 2004-09-07 12:00 17408 ----a-w- c:\windows\system32\corpol.dll
2011-10-28 05:31 . 2004-09-07 12:00 33280 ----a-w- c:\windows\system32\csrsrv.dll
2011-10-26 10:50 . 2004-09-07 12:00 2196480 ----a-w- c:\windows\system32\ntoskrnl.exe
2011-10-26 10:50 . 2004-08-04 00:48 2073088 ----a-w- c:\windows\system32\ntkrnlpa.exe
2012-01-21 04:56 . 2012-01-21 04:56 121816 ----a-w- c:\programmi\mozilla firefox\components\browsercomps.dll
.
.
------- Sigcheck -------
Note: Unsigned files aren't necessarily malware.
.
[-] 2004-09-07 12:00 . 2AEAD5031A06726376E86A5669933336 . 25600 . . [10.0.3790.3646] . . c:\windows\system32\mspmsnsv.dll
[-] 2004-09-07 12:00 . 2AEAD5031A06726376E86A5669933336 . 25600 . . [10.0.3790.3646] . . c:\windows\system32\dllcache\mspmsnsv.dll
.
((((((((((((((((((((((((((((( SnapShot@2012-01-23_18.18.53 )))))))))))))))))))))))))))))))))))))))))
.
+ 2012-01-24 00:09 . 2012-01-24 00:09 16384 c:\windows\Temp\Perflib_Perfdata_22c.dat
+ 2012-01-23 18:20 . 2012-01-23 18:26 1690 c:\windows\SoftwareDistribution\EventCache\{91CF064D-03A0-481A-82EF-CB5A4A311146}.bin
.
((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Skype"="c:\programmi\Skype\Phone\Skype.exe" [2006-12-18 25365032]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray"="c:\windows\ehome\ehtray.exe" [2004-08-10 59392]
"Apoint"="c:\programmi\Apoint\Apoint.exe" [2005-10-07 176128]
"Broadcom Wireless Manager UI"="c:\windows\system32\WLTRAY.exe" [2007-03-16 1392640]
"ATIPTA"="c:\programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2005-08-05 344064]
"SunJavaUpdateSched"="c:\programmi\Java\jre6\bin\jusched.exe" [2009-06-27 148888]
"IntelZeroConfig"="c:\programmi\Intel\Wireless\bin\ZCfgSvc.exe" [2007-02-21 819200]
"IntelWireless"="c:\programmi\Intel\Wireless\Bin\ifrmewrk.exe" [2007-02-21 970752]
"Adobe Reader Speed Launcher"="c:\programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-05-11 40048]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"h"="c:\windows\system32\MsiExec.exe" [2008-04-14 78848]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
"DWQueuedReporting"="c:\progra~1\FILECO~1\MICROS~1\DW\dwtrig20.exe" [2007-02-25 437160]
.
c:\documents and settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\
QuickTV6.lnk - c:\programmi\AVerTV 6.0\AVerQT.exe [2005-11-7 512000]
.
[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Avvio^Programmi^Esecuzione automatica^WinZip Quick Pick.lnk]
path=c:\documents and settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\WinZip Quick Pick.lnk
backup=c:\windows\pss\WinZip Quick Pick.lnkCommon Startup
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2007-05-11 01:06 40048 -c--a-w- c:\programmi\Adobe\Reader 8.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msnmsgr]
2009-02-06 16:52 3885408 ----a-w- c:\programmi\Windows Live\Messenger\msnmsgr.exe
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programmi\\Windows Live\\Messenger\\wlcsdk.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programmi\\eMule\\emule.exe"=
"c:\\Programmi\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programmi\\Messenger\\msmsgs.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Programmi\\uTorrent\\uTorrent.exe"=
"c:\\Programmi\\Skype\\Phone\\Skype.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3014:TCP"= 3014:TCP:qcjdbqz
.
S1 MpKsl1a2c2854;MpKsl1a2c2854;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{C8E0FC89-EAC9-495E-9BFD-9BB4EA354A96}\MpKsl1a2c2854.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{C8E0FC89-EAC9-495E-9BFD-9BB4EA354A96}\MpKsl1a2c2854.sys [?]
S1 MpKsl1d6b9652;MpKsl1d6b9652;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKsl1d6b9652.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKsl1d6b9652.sys [?]
S1 MpKsl32c005ad;MpKsl32c005ad;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKsl32c005ad.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKsl32c005ad.sys [?]
S1 MpKsl525237f5;MpKsl525237f5;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{59AE2BB5-1B02-457F-BDCC-FE56B914650A}\MpKsl525237f5.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{59AE2BB5-1B02-457F-BDCC-FE56B914650A}\MpKsl525237f5.sys [?]
S1 MpKsl8b1d2a47;MpKsl8b1d2a47;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{6C5BA51E-9CE9-40FC-8EB2-A1921BD91A6F}\MpKsl8b1d2a47.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{6C5BA51E-9CE9-40FC-8EB2-A1921BD91A6F}\MpKsl8b1d2a47.sys [?]
S1 MpKslc448dbdd;MpKslc448dbdd;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{6D2D03ED-9AB0-44DA-926B-334E58528DE7}\MpKslc448dbdd.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{6D2D03ED-9AB0-44DA-926B-334E58528DE7}\MpKslc448dbdd.sys [?]
S1 MpKslffa3d1cf;MpKslffa3d1cf;\??\c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKslffa3d1cf.sys --> c:\documents and settings\All Users\Dati applicazioni\Microsoft\Microsoft Antimalware\Definition Updates\{F1826A22-6477-48AD-8E55-8323EE90EEED}\MpKslffa3d1cf.sys [?]
S2 gupdate;Servizio Google Update (gupdate);c:\programmi\Google\Update\GoogleUpdate.exe [16/12/2011 17.28.39 136176]
S3 avera800;AVerMedia DVB-T BDA Video Capture(A800);c:\windows\system32\drivers\avera800.sys [22/05/2010 19.33.11 41600]
S3 DCALEXICO;DCALEXICO;c:\windows\system32\drivers\DCalexico.sys --> c:\windows\system32\drivers\DCalexico.sys [?]
S3 gupdatem;Servizio Google Update (gupdatem);c:\programmi\Google\Update\GoogleUpdate.exe [16/12/2011 17.28.39 136176]
S3 ZTEusbnet;ZTE USB-NDIS miniport;c:\windows\system32\drivers\ZTEusbnet.sys [12/08/2011 9.32.41 114688]
S3 ZTEusbvoice;ZTE VoUSB Port;c:\windows\system32\drivers\zteusbvoice.sys [12/08/2011 9.32.27 105088]
.
Contenuto della cartella 'Scheduled Tasks'
.
2012-01-24 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programmi\Google\Update\GoogleUpdate.exe [2011-12-16 16:28]
.
2012-01-23 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programmi\Google\Update\GoogleUpdate.exe [2011-12-16 16:28]
.
2012-01-21 c:\windows\Tasks\Norton Security Scan for greta.job
- c:\progra~1\NORTON~1\Engine\351~1.10\Nss.exe [2012-01-21 07:02]
.
.
------- Scansione supplementare -------
.
uStart Page = hxxp://www.google.it/
uInternet Connection Wizard,ShellNext = iexplore
IE: E&sporta in Microsoft Excel - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.2.1
TCP: Interfaces\{604E3C02-9762-4529-8263-C15C3D59EE57}: NameServer = 192.168.2.1
FF - ProfilePath - c:\documents and settings\greta\Dati applicazioni\Mozilla\Firefox\Profiles\sqpt17r7.default\
FF - prefs.js: browser.startup.homepage - www.google.it
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2012-01-24 01:10
Windows 5.1.2600 Service Pack 3 NTFS
.
scansione processi nascosti ...
.
scansione entrate autostart nascoste ...
.
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
h? = 63 00 3A 00 5C 00 57 00 49 00
.
Scansione files nascosti ...
.
Scansione completata con successo
Files nascosti: 0
.
**************************************************************************
.
--------------------- CHIAVI DI REGISTRO BLOCCATE ---------------------
.
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•9~*]
"0140110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Dlls caricate dai processi in esecuzione ---------------------
.
- - - - - - - > 'winlogon.exe'(848)
c:\windows\system32\Ati2evxx.dll
c:\windows\System32\BCMLogon.dll
.
- - - - - - - > 'explorer.exe'(3592)
c:\windows\system32\WININET.dll
c:\programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
c:\programmi\Microsoft Office\OFFICE11\msohev.dll
.
------------------------ Altri processi in esecuzione ------------------------
.
c:\windows\system32\Ati2evxx.exe
c:\programmi\Intel\Wireless\Bin\EvtEng.exe
c:\windows\system32\Ati2evxx.exe
c:\programmi\Intel\Wireless\Bin\S24EvMon.exe
c:\programmi\Intel\Wireless\Bin\WLKeeper.exe
c:\windows\System32\WLTRYSVC.EXE
c:\windows\System32\bcmwltry.exe
c:\programmi\Belkin\F5D7051\WLService.exe
c:\programmi\Belkin\F5D7051\WLanCfgG.exe
c:\windows\eHome\ehRecvr.exe
c:\windows\eHome\ehSched.exe
c:\programmi\Java\jre6\bin\jqs.exe
c:\programmi\CDBurnerXP\NMSAccessU.exe
c:\programmi\Intel\Wireless\Bin\RegSrvc.exe
c:\windows\system32\dllhost.exe
c:\windows\system32\wscntfy.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\eHome\ehmsas.exe
c:\programmi\Apoint\Apntex.exe
c:\programmi\Apoint\HidFind.exe
c:\programmi\Intel\Wireless\Bin\Dot1XCfg.exe
.
**************************************************************************
.
Ora fine scansione: 2012-01-24 01:13:39 - Il pc è stato riavviato
ComboFix-quarantined-files.txt 2012-01-24 00:13
ComboFix2.txt 2012-01-23 18:26
.
Pre-Run: 12.617.261.056 byte disponibili
Post-Run: 12.621.680.640 byte disponibili
.
- - End Of File - - AAAF3D363845DC6C8BFBBB2F57F91076

[greta76]

Cavoli, in questi 2 gg ho superato me stessa, e son riuscita a salvare il mio pc

Luke ora però il mio fantastico antivirus (fantastico in senso ironico visto quello che è successo) non so che fine abbia fatto, ossia è nei programmi ma non nelle applicazioni, se cerco di installarlo ex novo mi dice che non trova un non so quale file eseguibile e mi blocca l''installazione, la guida microsoft è stata inutile e ora ho un pc funzionante ma totalmente non protetto

Non è che mi linkeresti qualcosa di utile e gratuito da installare?

Grazie mille