Nail.exe

[sanpap2000]

Non vedendo il messaggio scritto pochi minuti fa riscrivo. Chiedo se qualcuno ha notizie del file Nail.exe, che sembra essere un Trojan. Sono tre giorni che sto cercando di eliminarlo dal sistema, utilizzando vari programmi di scansione trovati con Google.

[MikelinoPaneVino]

hai mica guardato nella sezione download ?? ci sono tutti i tools per la rimozione di spyware,trojans,virus, insomma è il prontosoccorso per pc !
Ciao

[Dylan666]

Ma hai provato a cercare in Google?
http://www.google.it/search?q=Nail%2Eexe

Il primo link ha come titolo "C:\WINDOWS\Nail.exe[RESOLVED]"
http://www.geekstogo.com/forum/C_WINDOW ... 17901.html

[Dylan666]

Ringrazio sentitamente chi si è disturbato nella precedente risposta, ma questa vicenda mi ha scaraventato in una realtà che già conoscevo: Winzoz, al pari di una brava donna di mal'affare, accoglie a braccia aperte nel suo baccanale qualsiasi cliente. In questi giorni ho usato vari prodotti per il controllo di virus ecc., con risultati sempre diversi: il che mi fa capire quanto vaga sia la pretesa, e la possibilità, di una vera sicurezza. Purtroppo sui siti in lingua inglese mi trovo in difficoltà. E quindi spero di trovare tra voi qualcuno che ha affrontato e risolto realmente il problema.
Cordialità a tutti i partecipanti Sandro

I risultati diversi dei vari antivirus possono essere causati da vari fattori:

1) alcuni programmi possono trivare più virus di altri

2) alcuni programmi possono segnalare come virus gli spyware mentre latri non lo fanno

3) alcuni virus potrebbero essere segnalati con diversi nomi a seconda del programma che li trova

Detto questo, posta un log di HijackThis e ti diremo cosa togliere:
http://www.pc-facile.com/guida_hijackthis_t148946/

[Dylan666]

Questo è il risultato di spybot:

BackWeb lite: Impostazioni di avvio automatico (Valore di registro, nothing done)
HKEY_USERS\S-1-5-21-1801674531-682003330-725345543-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\LDM


--- Spybot - Search && Destroy version: 1.3 ---
2005-04-26 Includes\Cookies.sbi
2005-04-27 Includes\Dialer.sbi
2005-04-27 Includes\Hijackers.sbi
2005-04-15 Includes\Keyloggers.sbi
2005-04-27 Includes\Malware.sbi
2005-04-27 Includes\Revision.sbi
2005-02-09 Includes\Security.sbi
2005-04-27 Includes\Spybots.sbi
2005-04-27 Includes\Trojans.sbi
2005-02-17 Includes\Tracks.uti
2004-11-29 Includes\LSP.sbi
2005-04-27 Includes\PUPS.sbi

Per quanto riguarda il nail, non ho riscotri di sue azioni o disturbi.

Colgo l'occasione per comunicare, ce mi occupo di informatica da moltissimi anni, e che ora, dato che sono in pensione, insegno a usare il PC ai privi della vista e purtroppo queste porcherie mi sono arrivate da qualche non vedente!

Cordialmente Sandro

Ok, quello è il risultato di Sybot, ma io ti avevo chiesto un log di HijackThis... Che sia un malware è scritto da iù parti, che tu non ne veda gli effetti o non ne subisca i redirect non è un buon motivo per lasciarlo dove sta...

Se ti occupi di informatica allora posso dirti che devi trovare la chiave che avvia quell'exe nel registro e rimuoverla.

PS: se è un computer per non vedenti magari è il caso prendere le docute precauzioni contro le instllazioni di spyware o ad-aware...

[sanpap2000]

Spero che così vada bene, ma dubito.

Non capisco perche si faccia riferimento a un certo hijack ecc., quando mi pare che questa sigla si riferisc a Spyboot.

Ecco quanto ho trovato vagando per i menù
a naso:


--- Search result list ---

--- Spybot - Search && Destroy version: 1.3 ---
2005-04-26 Includes\Cookies.sbi
2005-04-27 Includes\Dialer.sbi
2005-04-27 Includes\Hijackers.sbi
2005-04-15 Includes\Keyloggers.sbi
2005-04-27 Includes\Malware.sbi
2005-04-27 Includes\Revision.sbi
2005-02-09 Includes\Security.sbi
2005-04-27 Includes\Spybots.sbi
2005-04-27 Includes\Trojans.sbi
2005-02-17 Includes\Tracks.uti
2004-11-29 Includes\LSP.sbi
2005-04-27 Includes\PUPS.sbi


--- System information ---
Windows 2000 (Build: 2195) Service Pack 4
/ DataAccess: Microsoft Data Access Components KB870669
/ DataAccess: Security Update for Microsoft Data Access Components
/ DirectX / DX8.1 / SP1: Aggiornamento rapido di DirectX 8.1 - KB839643
/ DirectX: DirectX Update 819696
/ Internet Explorer 6 / SP1: Aggiornamento rapido per Windows 2000 - 834707 KB
/ Internet Explorer 6 / SP1: Aggiornamento rapido per Windows 2000 - KB867282
/ Internet Explorer 6 / SP1: Aggiornamento rapido per Windows 2000 - KB889293
/ Internet Explorer 6 / SP1: Aggiornamento rapido per Windows 2000 - KB890923
/ MSXML4: Patch Available For XMLHTTP Vulnerability
/ Windows 2000 / SP4: Windows 2000 Service Pack 4
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB823182
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB823559
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB824105
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB825119
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB826232
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB828035
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB828741
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB828749
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB835732
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB837001
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB839645
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB840315
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB840987
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB841356
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB841533
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB841872
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB841873
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB842526
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB842773
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB871250
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB873333
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB873339
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB885250
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB885835
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB885836
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB888113
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB890047
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB890175
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB890859
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB891711
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB891781
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB893066
/ Windows 2000 / SP5: Aggiornamento rapido di Windows 2000 - KB893086
/ Windows 2000 / SP5: Windows Installer 3.1 (KB893803)
/ Windows Media Player: Aggiornamento rapido di Windows Media Player [Per ulteriori informazioni vedere Q828026]
/ Windows Media Player / SP0: Aggiornamento rapido di Windows Media Player [Per ulteriori informazioni vedere Q828026]
/ Windows Media Player 9 / SP0: Aggiornamento rapido di Windows Media Player 9 [Per ulteriori informazioni, vedere KB885492]


--- Startup entries list ---
Located: HK_LM:Run, ccApp
command: "D:\Programmi\File comuni\Symantec Shared\ccApp.exe"
file: D:\Programmi\File comuni\Symantec Shared\ccApp.exe
size: 70760
MD5: dac4113d940f1ad75ab8a9e379bd802e

Located: HK_LM:Run, CloneCDElbyCDFL
command: "D:\Programmi\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
file: D:\Programmi\Elaborate Bytes\CloneCD\ElbyCheck.exe
size: 45056
MD5: 56193bce4dfd8879aedeb26b71a0a583

Located: HK_LM:Run, FineReader6NewsReaderPro
command: D:\Programmi\ABBYY FineReader 6.0\AbbyyNewsReader.exe
file: D:\Programmi\ABBYY FineReader 6.0\AbbyyNewsReader.exe
size: 258048
MD5: c40e1a8ab2eece70b1cfcebacbc1db6b

Located: HK_LM:Run, Logitech Utility
command: Logi_MwX.Exe
file: D:\WINNT\Logi_MwX.Exe
size: 19968
MD5: 35725dcd484543d71d8871482178be5f

Located: HK_LM:Run, LogitechVideoRepair
command: D:\Programmi\Logitech\Video\ISStart.exe
file: D:\Programmi\Logitech\Video\ISStart.exe
size: 188416
MD5: 3257a2a9e9943de93ee5438cb2e77359

Located: HK_LM:Run, LogitechVideoTray
command: D:\Programmi\Logitech\Video\LogiTray.exe
file: D:\Programmi\Logitech\Video\LogiTray.exe
size: 65536
MD5: 66fa2cc087dfa905c22a7f83ff59c7dc

Located: HK_LM:Run, NAV Agent
command: D:\PROGRA~1\NORTON~1\navapw32.exe
file: D:\PROGRA~1\NORTON~1\navapw32.exe
size: 75384
MD5: 4c6ee18f06a4b95697fd51fa5aa1745f

Located: HK_LM:Run, NeroCheck
command: D:\WINNT\system32\NeroCheck.exe
file: D:\WINNT\system32\NeroCheck.exe
size: 155648
MD5: 3e4c03cefad8de135263236b61a49c90

Located: HK_LM:Run, NvCplDaemon
command: RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
file: D:\WINNT\system32\RUNDLL32.EXE
size: 10000
MD5: fef164fc71fe934023beba34c8666c73

Located: HK_LM:Run, SSC_UserPrompt
command: D:\Programmi\File comuni\Symantec Shared\Security Center\UsrPrmpt.exe
file: D:\Programmi\File comuni\Symantec Shared\Security Center\UsrPrmpt.exe
size: 218240
MD5: 2d741e6e14887f073bf773fa4beff60d

Located: HK_LM:Run, Symantec NetDriver Monitor
command: D:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
file: D:\PROGRA~1\SYMNET~1\SNDMon.exe
size: 100056
MD5: f9418981ee4d7e995d359833adab59d5

Located: HK_LM:Run, Synchronization Manager
command: mobsync.exe /logon
file: D:\WINNT\system32\mobsync.exe
size: 111376
MD5: fbe5cd4f730b331bfdabe729f4096611

Located: HK_LM:Run, TkBellExe
command: "D:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
file: D:\Programmi\File comuni\Real\Update_OB\realsched.exe
size: 151597
MD5: a05da809ac0d86d916d09e3a908d3a06

Located: HK_CU:Run, ctfmon.exe
command: ctfmon.exe
file: D:\WINNT\system32\ctfmon.exe
size: 8192
MD5: d36a33c21eeed5a6c1daecb7c80a1909

Located: HK_CU:Run, LDM
command: \Program\BackWeb-8876480.exe

Located: Esecuzione automatica (comune), Logitech Desktop Messenger.lnk
command: D:\Programmi\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
file: D:\Programmi\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
size: 169472
MD5: 91291ca1490f952d977618544d540b87

Located: Esecuzione automatica (comune), Microsoft Office.lnk
command: D:\Programmi\Microsoft Office\Office10\OSA.EXE
file: D:\Programmi\Microsoft Office\Office10\OSA.EXE
size: 83360
MD5: 5bc65464354a9fd3beaa28e18839734a



--- Browser helper object list ---
{01FB9C55-FC66-4476-A199-389241193188} ()
BHO name:
CLSID name:

{302A3240-4805-4a34-97D7-1645A0B08410} (BolgerObj Class)
BHO name:
CLSID name: BolgerObj Class
Path: D:\WINNT\
Long name: Bolger.dll
Short name: BOLGER.DLL
Date (created): 01/01/2003 1.38.04
Date (last access): 03/05/2005
Date (last write): 01/01/2003 1.38.04
Filesize: 172032
Attributes: archive
MD5: 67DA1E869864F3B17DBD66E58A3D29C5
CRC32: C8D089EF
Version: 0.0.0.12

{53707962-6F74-2D53-2644-206D7942484F} ()
BHO name:
CLSID name:
description: Spybot-S&D IE Browser plugin
classification: Legitimate
known filename: SDHelper.dll
info link: http://spybot.eon.net.au/
info source: Patrick M. Kolla
Path: D:\PROGRA~1\SPYBOT~1\
Long name: SDHelper.dll
Short name: SDHELPER.DLL
Date (created): 12/05/2004 1.03.00
Date (last access): 03/05/2005
Date (last write): 12/05/2004 1.03.00
Filesize: 744960
Attributes: archive
MD5: ABF5BA518C6A5ED104496FF42D19AD88
CRC32: 5587736E
Version: 0.1.0.3

{9ECB9560-04F9-4bbc-943D-298DDF1699E1} (Web assistant)
BHO name: Web assistant
CLSID name: CNisExtBho Class
Path: D:\Programmi\File comuni\Symantec Shared\AdBlocking\
Long name: NISShExt.dll
Short name: NISSHEXT.DLL
Date (created): 09/09/2003 21.12.44
Date (last access): 03/05/2005
Date (last write): 09/09/2003 21.12.44
Filesize: 131072
Attributes: archive
MD5: 8634C90313B0B36352F40710B818ABD8
CRC32: 95161696
Version: 0.7.0.0

{AA58ED58-01DD-4d91-8333-CF10577473F7} (Google Toolbar Helper)
BHO name:
CLSID name: Google Toolbar Helper
description: Google toolbar
classification: Open for discussion
known filename: Googletoolbar.dll
info link: http://toolbar.google.com/
info source: TonyKlein
Path: d:\programmi\google\
Long name: GoogleToolbar2.dll
Short name: GOOGLE~2.DLL
Date (created): 04/01/2005 0.04.08
Date (last access): 03/05/2005
Date (last write): 02/12/2004 13.59.32
Filesize: 720896
Attributes: readonly archive
MD5: D4E9B7B696E8C40A0E5CB76621A03EE4
CRC32: 019AF69C
Version: 0.2.0.0

{BDF3E430-B101-42AD-A544-FADC6B084872} (NAV Helper)
BHO name: NAV Helper
CLSID name: CNavExtBho Class
description: Norton Antivirus
classification: Legitimate
known filename: NavShExt.dll
info link: http://www.symantec.com/nav/nav_9xnt/
info source: TonyKlein
Path: D:\Programmi\Norton AntiVirus\
Long name: NAVSHEXT.DLL
Short name:
Date (created): 12/06/2003 17.29.58
Date (last access): 03/05/2005
Date (last write): 08/03/2002 18.12.10
Filesize: 102400
Attributes: archive
MD5: 0BE15518DC60A3174050BC5E88E0FB82
CRC32: 88312F13
Version: 0.8.0.0



--- ActiveX list ---
DirectAnimation Java Classes (DirectAnimation Java Classes)
DPF name: DirectAnimation Java Classes
CLSID name:
description:
classification: Legitimate
known filename: %WINDIR%\Java\classes\dajava.cab
info link:
info source: Patrick M. Kolla

Microsoft XML Parser for Java (Microsoft XML Parser for Java)
DPF name: Microsoft XML Parser for Java
CLSID name:
description:
classification: Legitimate
known filename: %WINDIR%\Java\classes\xmldso.cab
info link:
info source: Patrick M. Kolla

Yahoo! Checkers (Yahoo! Checkers)
DPF name: Yahoo! Checkers
CLSID name:

Yahoo! Chess (Yahoo! Chess)
DPF name: Yahoo! Chess
CLSID name:

Yahoo! Pool 2 (Yahoo! Pool 2)
DPF name: Yahoo! Pool 2
CLSID name:

{0191ABF4-9421-435E-9FFD-CD827A2A82D8} ()
DPF name:
CLSID name:

{2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner)
DPF name:
CLSID name: Symantec AntiVirus scanner
description: Symantec online scanner
classification: Legitimate
known filename: AVSNIFF.DLL
info link:
info source: Patrick M. Kolla
Path: D:\WINNT\Downloaded Program Files\
Long name: avsniff.dll
Short name:
Date (created): 03/06/2004 11.19.12
Date (last access): 03/05/2005
Date (last write): 03/06/2004 11.19.12
Filesize: 197760
Attributes: archive
MD5: 022A51548912CDC16403BFD74C2B5185
CRC32: 5C5E85AC
Version: 7.212.0.5

{30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class)
DPF name:
CLSID name: YInstStarter Class
Path: D:\WINNT\Downloaded Program Files\
Long name: yinsthelper.dll
Short name: YINSTH~1.DLL
Date (created): 26/01/2004 18.40.04
Date (last access): 03/05/2005
Date (last write): 26/01/2004 18.40.04
Filesize: 133120
Attributes: archive
MD5: E1FBF33D995C89583A36F461EC2879FF
CRC32: 1592E04B
Version: 7.212.0.1

{3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine)
DPF name:
CLSID name: Office Update Installation Engine
Path: D:\WINNT\
Long name: opuc.dll
Short name:
Date (created): 27/08/2003 4.10.30
Date (last access): 03/05/2005
Date (last write): 27/08/2003 4.10.30
Filesize: 314368
Attributes: archive
MD5: 1E32EC4A8A17B19926B49EA5F6B79A76
CRC32: E98FC293
Version: 0.11.0.0

{560F0128-CF3D-4368-BEE9-326FBC3270E1} (PhotosCtrlIT Class)
DPF name:
CLSID name: PhotosCtrlIT Class
Path: D:\WINNT\Downloaded Program Files\
Long name: YPhotoIT.dll
Short name: YPHOTOIT.DLL
Date (created): 19/12/2002 16.06.58
Date (last access): 03/05/2005
Date (last write): 19/12/2002 16.06.58
Filesize: 455840
Attributes: archive
MD5: 7BC1711AA69E6BB9B88F5C3BAC77A451
CRC32: 19B51926
Version: 7.210.0.12

{56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class)
DPF name:
CLSID name: RdxIE Class
description: Netster
classification: Confirmed as malware
known filename:
info link:
info source:
Path: D:\WINNT\Downloaded Program Files\
Long name: RdxIE.dll
Short name: RDXIE.DLL
Date (created): 28/01/2004 13.54.34
Date (last access): 03/05/2005
Date (last write): 28/01/2004 13.54.34
Filesize: 524445
Attributes: archive
MD5: 2478F04ABDEFA6FB21E076AF60BEC231
CRC32: 207BC312
Version: 0.6.0.0

{814EA0DA-E0D9-4AA4-833C-A1A6D38E79E9} (DASWebDownload Class)
DPF name:
CLSID name: DASWebDownload Class
Path: D:\WINNT\
Long name: DASAct.dll
Short name: DASACT.DLL
Date (created): 23/09/2003 10.50.32
Date (last access): 03/05/2005
Date (last write): 23/09/2003 10.50.32
Filesize: 154320
Attributes: archive
MD5: 9585A0BF0765C4748287D8577547559C
CRC32: 3A5C8F45
Version: 0.2.0.0

{8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.2)
DPF name: Java Runtime Environment 1.4.2
CLSID name: Java Plug-in 1.4.2
description: Sun Java
classification: Legitimate
known filename: %PROGRAM FILES%\JabaSoft\JRE\*\Bin\npjava131.dll
info link:
info source: Patrick M. Kolla
Path: D:\Programmi\Java\j2re1.4.2\bin\
Long name: NPJPI142.dll
Short name:
Date (created): 09/04/2005 19.53.04
Date (last access): 02/05/2005
Date (last write): 09/04/2005 19.53.04
Filesize: 65636
Attributes: archive
MD5: 4ACFBF6AB1BBE79DBD665C186B3B5AFD
CRC32: BE89D675
Version: 0.1.0.4

{9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class)
DPF name:
CLSID name: Update Class
description: Windows Update
classification: Legitimate
known filename: %WINDIR%\System32\iuctl.dll,iuengine.dll
info link:
info source: Patrick M. Kolla
Path: D:\WINNT\System32\
Long name: iuctl.dll
Short name:
Date (created): 25/08/2003 18.06.50
Date (last access): 03/05/2005
Date (last write): 09/02/2004 21.08.38
Filesize: 115480
Attributes: archive
MD5: 3AEF2B6F0E16F232676392DB0C106DA4
CRC32: 0A50A657
Version: 0.5.0.4

{AED98630-0251-4E83-917D-43A23D66D507} (WebHandler Class)
DPF name:
CLSID name: WebHandler Class
Path: D:\WINNT\Downloaded Program Files\
Long name: dlhelper.dll
Short name:
Date (created): 28/03/2003 14.28.14
Date (last access): 03/05/2005
Date (last write): 28/03/2003 14.28.14
Filesize: 245760
Attributes: archive
MD5: 489B3DE5BB5E02648782027342B01D99
CRC32: 4C690816
Version: 0.7.0.0

{C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class)
DPF name:
CLSID name: Symantec RuFSI Registry Information Class
description: Symantec RuFSI Registry Information Class
classification: Legitimate
known filename: RUFSI.DLL
info link:
info source: Patrick M. Kolla
Path: D:\WINNT\Downloaded Program Files\
Long name: rufsi.dll
Short name:
Date (created): 03/06/2004 11.19.22
Date (last access): 03/05/2005
Date (last write): 03/06/2004 11.19.22
Filesize: 160928
Attributes: archive
MD5: 12D9D01A82190E56CAB50B8232388282
CRC32: 862514A3
Version: 7.212.0.5

{CAFEEFAC-0014-0002-0000-ABCDEFFEDCBA} (Java Runtime Environment 1.4.2)
DPF name: Java Runtime Environment 1.4.2
CLSID name: Java Plug-in 1.4.2
Path: D:\Programmi\Java\j2re1.4.2\bin\
Long name: NPJPI142.dll
Short name:
Date (created): 09/04/2005 19.53.04
Date (last access): 03/05/2005
Date (last write): 09/04/2005 19.53.04
Filesize: 65636
Attributes: archive
MD5: 4ACFBF6AB1BBE79DBD665C186B3B5AFD
CRC32: BE89D675
Version: 0.1.0.4

{D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object)
DPF name:
CLSID name: Shockwave Flash Object
description: Macromedia Shockwave Flash Player
classification: Legitimate
known filename:
info link:
info source: Patrick M. Kolla
Path: D:\WINNT\system32\macromed\flash\
Long name: Flash.ocx
Short name: FLASH.OCX
Date (created): 08/04/2004 17.51.02
Date (last access): 02/05/2005
Date (last write): 08/04/2004 17.51.02
Filesize: 939368
Attributes: archive
MD5: 2FB1D6FAB135CEE391AB3D70E1C26347
CRC32: 488FA4EC
Version: 0.7.0.0

{FFD1E45F-2B11-4742-BF47-3822FE02EE0F} (Yahoo! Foto - salva e condividi le tue foto su Yahoo! E' facile!l Class)
DPF name:
CLSID name: Yahoo! Foto - salva e condividi le tue foto su Yahoo! E' facile!l Class
Path: D:\WINNT\Downloaded Program Files\
Long name: YDropperIT.dll
Short name: YDROPP~1.DLL
Date (created): 01/12/2003 11.33.20
Date (last access): 03/05/2005
Date (last write): 01/12/2003 11.33.20
Filesize: 259040
Attributes: archive
MD5: FF8F09ED2CEDDB05D93CC43AC8AE40F0
CRC32: 1AD0B84B
Version: 7.211.0.12



--- Process list ---
Spybot - Search && Destroy process list report, 03/05/2005 9.55.29

PID: 0 ( 0) [System]
PID: 8 ( 0) System
PID: 192 ( \SystemRoot\System32\smss.exe
PID: 216 ( 192) \??\D:\WINNT\system32\winlogon.exe
PID: 220 ( 192) csrss.exe
PID: 268 ( 216) D:\WINNT\system32\services.exe
PID: 280 ( 216) D:\WINNT\system32\lsass.exe
PID: 444 ( 268) D:\WINNT\system32\svchost.exe
PID: 464 ( 268) D:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
PID: 484 (1404) D:\Programmi\File comuni\Symantec Shared\ccApp.exe
PID: 500 ( 268) D:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
PID: 504 (1404) D:\WINNT\system32\ctfmon.exe
PID: 564 ( 268) D:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
PID: 668 ( 268) D:\WINNT\system32\spoolsv.exe
PID: 700 ( 268) D:\Programmi\File comuni\Symantec Shared\ccProxy.exe
PID: 720 ( 444) D:\Programmi\Microsoft Office\Office10\WINWORD.EXE
PID: 732 ( 268) D:\WINNT\System32\svchost.exe
PID: 776 ( 268) D:\WINNT\downlo~1\5whzo\womve1.exe
PID: 808 ( 268) D:\Programmi\Norton AntiVirus\navapsvc.exe
PID: 884 ( 268) D:\WINNT\system32\regsvc.exe
PID: 924 ( 268) D:\WINNT\system32\MSTask.exe
PID: 944 ( 268) D:\WINNT\system32\stisvc.exe
PID: 1048 ( 268) D:\WINNT\System32\WBEM\WinMgmt.exe
PID: 1072 ( 268) D:\WINNT\System32\mspmspsv.exe
PID: 1112 (1404) D:\Programmi\Spybot - Search & Destroy\spybotsd.exe
PID: 1156 ( 268) D:\WINNT\system32\svchost.exe
PID: 1368 (1532) D:\Programmi\Logitech\Video\LowLight.exe
PID: 1372 (1404) D:\Programmi\File comuni\Real\Update_OB\realsched.exe
PID: 1404 (1380) D:\WINNT\Explorer.exe
PID: 1472 (1404) D:\PROGRA~1\NORTON~1\navapw32.exe
PID: 1496 (1404) D:\WINNT\system32\NOTEPAD.EXE
PID: 1504 (1404) D:\Programmi\ABBYY FineReader 6.0\AbbyyNewsReader.exe
PID: 1532 (1404) D:\Programmi\Logitech\Video\LogiTray.exe
PID: 1552 (1488) D:\Programmi\Logitech\MouseWare\system\em_exec.exe
PID: 1632 (1800) D:\Programmi\Internet Explorer\iexplore.exe
PID: 1656 ( 444) D:\WINNT\system32\LVComS.exe
PID: 1672 ( 268) D:\WINNT\System32\svchost.exe
PID: 1736 (1404) D:\WINNT\system32\ntvdm.exe
PID: 1800 (1404) D:\Programmi\Microsoft Office\Office10\OUTLOOK.EXE


--- Browser start & search pages list ---
Spybot - Search && Destroy browser pages report, 03/05/2005 9.55.29

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Search Page
http://www.google.com
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Search Bar
http://www.google.com/ie
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
http://www.libero.it/
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchUrl\@
http://www.google.com/keyword/%s
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Search Page
http://www.microsoft.com/isapi/redir.dl ... r=iesearch
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Start Page
http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
http://www.microsoft.com/isapi/redir.dl ... ar=msnhome
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Search_URL
http://www.microsoft.com/isapi/redir.dl ... r=iesearch
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant
http://www.google.com/ie
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch
http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm


--- Winsock Layered Service Provider list ---
Protocol 0: MSAFD Tcpip [TCP/IP]
GUID: {E70F1AA0-AB8B-11CF-8CA3-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP IP protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD Tcpip [*]

Protocol 1: MSAFD Tcpip [UDP/IP]
GUID: {E70F1AA0-AB8B-11CF-8CA3-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP IP protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD Tcpip [*]

Protocol 2: MSAFD Tcpip [RAW/IP]
GUID: {E70F1AA0-AB8B-11CF-8CA3-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP IP protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD Tcpip [*]

Protocol 3: RSVP UDP Service Provider
GUID: {9D60A9E0-337A-11D0-BD88-0000C082E69A}
Filename: %SystemRoot%\system32\rsvpsp.dll
Description: Microsoft Windows NT/2k/XP RVSP
DB filename: %SystemRoot%\system32\rsvpsp.dll
DB protocol: RSVP * Service Provider

Protocol 4: RSVP TCP Service Provider
GUID: {9D60A9E0-337A-11D0-BD88-0000C082E69A}
Filename: %SystemRoot%\system32\rsvpsp.dll
Description: Microsoft Windows NT/2k/XP RVSP
DB filename: %SystemRoot%\system32\rsvpsp.dll
DB protocol: RSVP * Service Provider

Protocol 5: MSAFD NetBIOS [\Device\NetBT_Tcpip_{F68E0837-31B9-41B1-AF15-E802271135FF}] SEQPACKET 4
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Protocol 6: MSAFD NetBIOS [\Device\NetBT_Tcpip_{F68E0837-31B9-41B1-AF15-E802271135FF}] DATAGRAM 4
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Protocol 7: MSAFD NetBIOS [\Device\NetBT_Tcpip_{6826DB25-9B37-4342-BAE4-809CE83756F0}] SEQPACKET 1
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Protocol 8: MSAFD NetBIOS [\Device\NetBT_Tcpip_{6826DB25-9B37-4342-BAE4-809CE83756F0}] DATAGRAM 1
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Protocol 9: MSAFD NetBIOS [\Device\NetBT_Tcpip_{D2F23EDE-F82F-4277-B256-37CD9C25C85A}] SEQPACKET 2
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Protocol 10: MSAFD NetBIOS [\Device\NetBT_Tcpip_{D2F23EDE-F82F-4277-B256-37CD9C25C85A}] DATAGRAM 2
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Protocol 11: MSAFD NetBIOS [\Device\NetBT_Tcpip_{667AF40E-E74E-43D5-A4B8-8FAF5070EE2C}] SEQPACKET 0
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Protocol 12: MSAFD NetBIOS [\Device\NetBT_Tcpip_{667AF40E-E74E-43D5-A4B8-8FAF5070EE2C}] DATAGRAM 0
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Protocol 13: MSAFD NetBIOS [\Device\NetBT_Tcpip_{2106D438-C672-4C62-9435-069DCC73B093}] SEQPACKET 3
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Protocol 14: MSAFD NetBIOS [\Device\NetBT_Tcpip_{2106D438-C672-4C62-9435-069DCC73B093}] DATAGRAM 3
GUID: {8D5F1830-C273-11CF-95C8-00805F48A192}
Filename: %SystemRoot%\system32\msafd.dll
Description: Microsoft Windows NT/2k/XP NetBios protocol
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: MSAFD NetBIOS *

Namespace Provider 0: Tcpip
GUID: {22059D40-7E9E-11CF-AE5A-00AA00A7112B}
Filename: %SystemRoot%\System32\rnr20.dll
Description: Microsoft Windows NT/2k/XP TCP/IP name space provider
DB filename: %SystemRoot%\system32\mswsock.dll
DB protocol: TCP/IP

Namespace Provider 1: NTDS
GUID: {3B2637EE-E580-11CF-A555-00C04FD8D4AC}
Filename: %SystemRoot%\System32\winrnr.dll
Description: Microsoft Windows NT/2k/XP name space provider
DB filename: %SystemRoot%\system32\winrnr.dll
DB protocol: NTDS

[Dylan666]

Non capisco perche si faccia riferimento a un certo hijack ecc., quando mi pare che questa sigla si riferisc a Spyboot.

Ma cosa si rifersice a Spybot? Nail.exe? E dove lo hai letto? Comunque il file EXE che stiamo cercando di eliminare come vedi non appare nelle lunghe liste che trascrivi. A questo punto sarebbe meglio che ti rassegnassi a postare il log di HijackThis che ti viene chiesto...

[sanpap2000]

Certo che non appare: è una delle tante cose incomprensibili di questo guazzabuglio. Io vorrei sapere come si fa a postare (come dite voi) il log di hijachthis.

[Dylan666]

PRIMA PARTE:
La schermata iniziale di HijackThis è un po' cambiata da quando ho scritto la guida. Ora quando avvi il programma basta premere sul primo bottone in alto:

"Do a systema scan and save a log file"

Hai problemi su questo?

SECONDA PARTE:
Poi apri il file log che hai salvato col Blocco Note (o altro editor di testo), ne copi il contenuto e lo incoli nel forum.

Hai problemi su questo?

[sanpap2000]

Sì ho capito che questo HijackThis è un programma che, evidente, devo scricare: mi farebbe comodo se mi fornite il link; poi, quando avrò davanti l'nterfaccia del programma, cercherò di copiare il log e di trasferirlo in questo spazio del forum.

[*~Hayabusa~*]

Hai provato a dare uno sguardo nella sezione download di questo sito?

[Dylan666]

Sì ho capito che questo HijackThis è un programma che, evidente, devo scricare: mi farebbe comodo se mi fornite il link; poi, quando avrò davanti l'nterfaccia del programma, cercherò di copiare il log e di trasferirlo in questo spazio del forum.

Io ti ho messo 9 post fa il link a una guida e nella guida c'era scritto anche dove scaricare il programma. Rimetto il link, leggilo:
http://www.pc-facile.com/guida_hijackthis_t148946/

[sanpap2000]

Entrare qui, soprattutto per chi ha una data di nascita locata negli anni '40, è un po' traumatico: a volte un linguaggio troppo tecnicizzato crea una barriera contraria alla vera comprensione. So che questo sarà visto come non pertinente: ma un uomo non può rinunciare a mettere l'anima in tutte le sue attività.
Ecco il Log:

Logfile of HijackThis v1.99.1
Scan saved at 7.01.34, on 04/05/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINNT\System32\smss.exe
D:\WINNT\system32\winlogon.exe
D:\WINNT\system32\services.exe
D:\WINNT\system32\lsass.exe
D:\WINNT\system32\svchost.exe
D:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
D:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
D:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
D:\WINNT\system32\spoolsv.exe
D:\Programmi\File comuni\Symantec Shared\ccProxy.exe
D:\WINNT\System32\svchost.exe
D:\WINNT\downlo~1\5whzo\womve1.exe
D:\Programmi\Norton AntiVirus\navapsvc.exe
D:\WINNT\system32\regsvc.exe
D:\WINNT\system32\MSTask.exe
D:\WINNT\system32\stisvc.exe
D:\WINNT\System32\WBEM\WinMgmt.exe
D:\WINNT\System32\mspmspsv.exe
D:\WINNT\system32\svchost.exe
D:\WINNT\Explorer.exe
D:\PROGRA~1\NORTON~1\navapw32.exe
D:\Programmi\ABBYY FineReader 6.0\AbbyyNewsReader.exe
D:\Programmi\Logitech\MouseWare\system\em_exec.exe
D:\Programmi\File comuni\Real\Update_OB\realsched.exe
D:\Programmi\File comuni\Symantec Shared\ccApp.exe
D:\WINNT\system32\ctfmon.exe
D:\WINNT\system32\LVComS.exe
D:\Programmi\Logitech\Video\LowLight.exe
D:\WINNT\System32\svchost.exe
D:\Programmi\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da PC Magazine
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F2 - REG:system.ini: Shell=Explorer.exe D:\WINNT\Nail.exe
F2 - REG:system.ini: UserInit=D:\WINNT\system32\Userinit.exe
O2 - BHO: (no name) - {01FB9C55-FC66-4476-A199-389241193188} - (no file)
O2 - BHO: BolgerObj Class - {302A3240-4805-4a34-97D7-1645A0B08410} - D:\WINNT\Bolger.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - D:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - d:\programmi\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - D:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - d:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NAV Agent] D:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [FineReader6NewsReaderPro] D:\Programmi\ABBYY FineReader 6.0\AbbyyNewsReader.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "D:\Programmi\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [NeroCheck] D:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "D:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [LogitechVideoRepair] D:\Programmi\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [ccApp] "D:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [LogitechVideoTray] D:\Programmi\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] D:\Programmi\File comuni\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] D:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe
O4 - Startup: DLHelperEXE.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Logitech Desktop Messenger.lnk = D:\Programmi\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O8 - Extra context menu item: &Google Search - res://d:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward Links - res://d:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://d:\programmi\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Similar Pages - res://d:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://d:\programmi\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\WINNT\system32\msjava.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINNT\web\related.htm
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\YAHOO!\MESSEN~1\MESSEN~1\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\YAHOO!\MESSEN~1\MESSEN~1\YPAGER.EXE
O16 - DPF: Yahoo! Checkers - http://download.games.yahoo.com/games/c ... /kt4_x.cab
O16 - DPF: Yahoo! Chess - http://download.games.yahoo.com/games/c ... /ct2_x.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/c ... pote_x.cab
O16 - DPF: {0191ABF4-9421-435E-9FFD-CD827A2A82D8} - http://movie-browser.com/tl7000.dll
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {560F0128-CF3D-4368-BEE9-326FBC3270E1} (PhotosCtrlIT Class) - http://it.f2.pg.photos.yahoo.com/ocx/it ... r1_9it.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/221b2b1614d ... 601_it.cab
O16 - DPF: {814EA0DA-E0D9-4AA4-833C-A1A6D38E79E9} (DASWebDownload Class) - http://das.microsoft.com/activate/cab/x ... DASAct.cab
O16 - DPF: {AED98630-0251-4E83-917D-43A23D66D507} (WebHandler Class) - http://activex.microgaming.com/dlhelper ... helper.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {FFD1E45F-2B11-4742-BF47-3822FE02EE0F} (Yahoo! Foto - salva e condividi le tue foto su Yahoo! E' facile!l Class) - http://us.dl1.yimg.com/download.yahoo.c ... r1_1it.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F68E0837-31B9-41B1-AF15-E802271135FF}: NameServer = 151.99.125.2,151.99.125.3
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: Servizio amministrativo di Gestione disco logico (dmadmin) - VERITAS Software Corp. - D:\WINNT\System32\dmadmin.exe
O23 - Service: Servizio Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - D:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - D:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: System Startup Service (SvcProc) - Unknown owner - D:\WINNT\svcproc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe

[Dylan666]

L'importanete è che alla fine ci siamo capiti.
Io posso spiegare la stessa cosa anche in 200 maniere diverse, non ci sono problemi, l'importante è che tu esprimi chiaramente su cosa hai dubbi o non ci siamo intesi.

Ok, ora abbiamo la lista, il passo sucessivo è questo: incolli questa stessa lista in questa pagina (clicca sul link seguente):

http://hijackthis.de/index.php?langselect=italian

Dopo aver incollate premi il bottone "Analizza" e ora vediamo insieme i risultati. Vengono contraddistinti da un simbolo verde i processi che sul sito sono stati memorizzati nel loro database come sicuri, in giallo quelli sconosciuti e in rosso quelli da rimuovere.

Ora ci occupesemo di 3 voci: due che sono state segnalate come dannose...
O2 - BHO: BolgerObj Class - {302A3240-4805-4a34-97D7-1645A0B08410} - D:\WINNT\Bolger.dll

O16 - DPF: {0191ABF4-9421-435E-9FFD-CD827A2A82D8} - http://movie-browser.com/tl7000.dll

...e Nail.exe che ha il simbolo giallo, ma abbiamo letto su Google che va cancellato.
F2 - REG:system.ini: Shell=Explorer.exe D:\WINNT\Nail.exe

Ecco come agire. Apri nuovamente il programma HijackThis ma questa volta nella schermata iniziale premi "Do a systema scan only".
Apparirà nella finestra del programma la stessa lista che hai salvato prima, e al fianco di ogni riga c'è un quadratino bianco. Cliccandoci dentro appare un segnetto nero che indica che la voce in questione è stata selezionionata. Clicca nel quadratino delle tre righe che abbiamo detto anche prima, e cioè:

O2 - BHO: BolgerObj Class - {302A3240-4805-4a34-97D7-1645A0B08410} - D:\WINNT\Bolger.dll

O16 - DPF: {0191ABF4-9421-435E-9FFD-CD827A2A82D8} - http://movie-browser.com/tl7000.dll

F2 - REG:system.ini: Shell=Explorer.exe D:\WINNT\Nail.exe

Una volta fatto premi il bottone "Fix checked". Fine.

In pratica, cosa abbiamo fatto? Abbiamo agito sul registro di Windows tramite questo programma che analizza automaticamente solo le chiavi che lanciano l'esecuzione di file in maniera più o meno automatica. Cancellando queste chiavi Windows non ha più l'ordine di avviare i file dannosi e quindi i sintomi dovrebbero scomparire. Se è così ora possiamo anche andare a cancellare i file stessi, che ora sono sul nostro PC in stato inerte (cioè ci sono ma sono innoqui, nessuna chiave li ha avviati e quindi non possono fare del male). Nel caso delle voci in rosso l'eliminazione del file può essere fatta a colpo sicuo, nel caso delle voci in giallo si può anche aspettare un po' a farla anche se con Nail non mi sembrano ci siano dubbi sulla sua natura dannosa. Perché dico che con le voci gialle si può aspettare un po'? Perché se avessimo eliminato per sbaglio un chiave che avviava un processo utile e innocuo la nostra cancellazione è reversibile. Bastra aprire HijackThis, cliccare su "Open Misc Tool section" e poi andare se "Backups" dove troveremo la mista di quanto abbiamo tolto, basta cliccare nel quadratino vicino alla riga come abbiamo fatto primna e premere Restore.

Tutto chiaro? Se hai dubbi siamo sempre qui

Un'ultima cosa: siccome alcuni di questi file sono fatti piùttosto bene e trovano il modo di ricreare le chiave che stai per eliminare, per sicurezza dopo che hai tolto le tre voci con "Fix checked" chiudi il programma, resetta e rifai un'altro log, così siamo sicuri che il tuo PC sia definitivamente "pulito"

[Tomas Milian]

Riavvia il pc ed entra in modalità provvisoria premendo F8 durante l'avvio...

fai una scansone con hijackthis ed elimina:

D:\WINNT\downlo~1\5whzo\womve1.exe

F2 - REG:system.ini: Shell=Explorer.exe D:\WINNT\Nail.exe

O2 - BHO: (no name) - {01FB9C55-FC66-4476-A199-389241193188} - (no file)

O2 - BHO: BolgerObj Class - {302A3240-4805-4a34-97D7-1645A0B08410} - D:\WINNT\Bolger.dll

O4 - Startup: DLHelperEXE.exe

O16 - DPF: {0191ABF4-9421-435E-9FFD-CD827A2A82D8} - http://movie-browser.com/tl7000.dll

O16 - DPF: {AED98630-0251-4E83-917D-43A23D66D507} (WebHandler Class) - http://activex.microgaming.com/dlhelper ... helper.cab

O23 - Service: System Startup Service (SvcProc) - Unknown owner - D:\WINNT\svcproc.exe

[Dylan666]

Sì, direi che tutte quelle sono da togliere. Solo su womve1.exe non trovo informazioni ma mi insospettisce l cartella in cui si trova.

[Dylan666]

Riavvia il pc ed entra in modalità provvisoria premendo F8 durante l'avvio...

fai una scansone con hijackthis ed elimina:

Chiarisco: con "fai una scansone con hijackthis ed elimina" si intende quanto spiegavi prima con "Do a systema scan only" e "Fix checked".

Invece "entra in modalità provvisoria" serve a veitare che quelche file ricreai le chiavi come dicevo prima. In pratica accendi il PC e premi F8 prima della prima schermata a colori di Windows. Schegli la modalità provvisoria e usi HijackThis come spiegato prima. Poi resetti ed è tutto finito. Se non riesci in questa parte usa normalmente HijackThis e poi resetta e manda un nuovo log, così controlliamo che non si sia ricreato nulla.

[sanpap2000]

Dopo l'esecuzione del programma hijackthis (fatta due volte), mi ritrovo in questa situazine come potete vedere dal log riportato: nail.exe è presente, ma anche svcproc.exe non se ne è andato nonostante la cancellazione. Devo anche dire che uso procexp.exe per il controllo dei Task e questi programmi non risultano occupare PID: quindi non dovrebbero essere attivi.

Ecco il Log:

Logfile of HijackThis v1.99.1
Scan saved at 17.31.00, on 04/05/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINNT\System32\smss.exe
D:\WINNT\system32\winlogon.exe
D:\WINNT\system32\services.exe
D:\WINNT\system32\lsass.exe
D:\WINNT\system32\svchost.exe
D:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
D:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
D:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
D:\WINNT\system32\spoolsv.exe
D:\Programmi\File comuni\Symantec Shared\ccProxy.exe
D:\WINNT\System32\svchost.exe
D:\WINNT\downlo~1\5whzo\womve1.exe
D:\Programmi\Norton AntiVirus\navapsvc.exe
D:\WINNT\system32\regsvc.exe
D:\WINNT\system32\MSTask.exe
D:\WINNT\system32\stisvc.exe
D:\WINNT\System32\WBEM\WinMgmt.exe
D:\WINNT\System32\mspmspsv.exe
D:\WINNT\system32\svchost.exe
D:\WINNT\Explorer.exe
D:\PROGRA~1\NORTON~1\navapw32.exe
D:\Programmi\Logitech\MouseWare\system\em_exec.exe
D:\Programmi\ABBYY FineReader 6.0\AbbyyNewsReader.exe
D:\Programmi\File comuni\Real\Update_OB\realsched.exe
D:\Programmi\File comuni\Symantec Shared\ccApp.exe
D:\Programmi\Logitech\Video\LogiTray.exe
D:\WINNT\system32\ctfmon.exe
D:\WINNT\system32\LVComS.exe
D:\Programmi\Logitech\Video\LowLight.exe
D:\Programmi\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da PC Magazine
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F2 - REG:system.ini: Shell=Explorer.exe D:\WINNT\Nail.exe
F2 - REG:system.ini: UserInit=D:\WINNT\system32\Userinit.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - D:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - d:\programmi\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - D:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - D:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - D:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - d:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NAV Agent] D:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [FineReader6NewsReaderPro] D:\Programmi\ABBYY FineReader 6.0\AbbyyNewsReader.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "D:\Programmi\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [NeroCheck] D:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "D:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [LogitechVideoRepair] D:\Programmi\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [ccApp] "D:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [LogitechVideoTray] D:\Programmi\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] D:\Programmi\File comuni\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] D:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Logitech Desktop Messenger.lnk = D:\Programmi\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O8 - Extra context menu item: &Google Search - res://d:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward Links - res://d:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://d:\programmi\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Similar Pages - res://d:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://d:\programmi\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\WINNT\system32\msjava.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - D:\WINNT\web\related.htm
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\YAHOO!\MESSEN~1\MESSEN~1\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\YAHOO!\MESSEN~1\MESSEN~1\YPAGER.EXE
O16 - DPF: Yahoo! Checkers - http://download.games.yahoo.com/games/c ... /kt4_x.cab
O16 - DPF: Yahoo! Chess - http://download.games.yahoo.com/games/c ... /ct2_x.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/c ... pote_x.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {560F0128-CF3D-4368-BEE9-326FBC3270E1} (PhotosCtrlIT Class) - http://it.f2.pg.photos.yahoo.com/ocx/it ... r1_9it.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/221b2b1614d ... 601_it.cab
O16 - DPF: {814EA0DA-E0D9-4AA4-833C-A1A6D38E79E9} (DASWebDownload Class) - http://das.microsoft.com/activate/cab/x ... DASAct.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {FFD1E45F-2B11-4742-BF47-3822FE02EE0F} (Yahoo! Foto - salva e condividi le tue foto su Yahoo! E' facile!l Class) - http://us.dl1.yimg.com/download.yahoo.c ... r1_1it.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F68E0837-31B9-41B1-AF15-E802271135FF}: NameServer = 151.99.125.2,151.99.125.3
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: Servizio amministrativo di Gestione disco logico (dmadmin) - VERITAS Software Corp. - D:\WINNT\System32\dmadmin.exe
O23 - Service: Servizio Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - D:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - D:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: System Startup Service (SvcProc) - Unknown owner - D:\WINNT\svcproc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - D:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe


mi

[Dylan666]

Prova ri-eliminare quelle voci terminando prima l'esecuzione di womve1.exe.

Hai agito da modalità provvisoria o normale?

[sanpap2000]

Ho lavorato chiaramente in modalità provvisoria. E la prima volta, dopo l'uso di hijackthis, sono andato a verificare se trovavo Nail.exe, e visto che l'ho trovato lo anche eliminato, ma il file è stato subito reintegrato (vorrei tanto sapere da cosa). Mi piacerebbe sapere e vedere il risultato se, partendo da dos e creando un Nail.exe fasullo, con parametri di sola lettra, avviene all'apertura di Windows la sostituzione del file!?.

Ho cercato il file che mi vuoi far rimuovere prima, di cui ora non ricordo il nome, mi sa che in modalità provvisoria nrl log non compare, proverò a cancellarlo con un banale erase da prompt dei comandi provvisori.

Strano che non vi sia capitato nessuno con infezione da Nail.