Richiedo aiuto per spyare e dialer

di **nico86** » 07/10/06 13:08

Ciao a tutti..
vi spiego il problema..qualche giorno fa mi si è interrotta la connessione ad internet e mi si è aperta la richiesta di connessione ad un sito a pagamento..non ho prestato molta attenzione a questo fatto fino a quando stamattina ho fatto una scansione con Panda ActiveScan che non solo mi ha trovato dei dialer ma anche altra roba..vi posto il rapporto:
Incidente Stato Percorso

Spyware:Cookie/Statcounter Non Disinfettato C:\Documents and Settings\Jedi\Cookies\jedi@statcounter[1].txt
Spyware:Cookie/Razespyware Non Disinfettato C:\Documents and Settings\Jedi\Cookies\jedi@www.razespyware[1].txt
Spyware:Cookie/Xiti Non Disinfettato C:\Documents and Settings\Jedi\Cookies\jedi@xiti[1].txt
Dialer:Dialer.ICB Non Disinfettato C:\Documents and Settings\Jedi\Impostazioni locali\Temp\it_0118.exe
Dialer:Dialer.HWC Non Disinfettato C:\Documents and Settings\Jedi\Impostazioni locali\Temp\winsyst32.exe
Dialer:Dialer.HRR Non Disinfettato C:\WINDOWS\2321614943.exe
Strumenti indesiderati:Application/MonacoGoldCasino Non Disinfettato C:\WINDOWS\Temp\idd173.tmp.exe
Strumenti indesiderati:Application/MonacoGoldCasino Non Disinfettato C:\WINDOWS\Temp\idd3D2.tmp.exe
Strumenti indesiderati:Application/MonacoGoldCasino Non Disinfettato C:\WINDOWS\Temp\idd543.tmp.exe
Dialer:Dialer.HJP Non Disinfettato C:\WINDOWS\Temp\idd66E.tmp.exe
Dialer:Dialer.HRR Non Disinfettato C:\WINDOWS\Temp\win66D.tmp.exe

Io non so proprio come eliminare tutta questa roba..potete aiutarmi??
Ah premetto che come sicurezza pensavo di essere a posto (zone alarm+avast+spywareguard+spywareblaster+AVG Anti spyware+costanti scansioni con Ad-Aware e SpyBot) ma mi sbagliavo!!
Grazie a tutti!

di **andorra24** » 07/10/06 13:25

Questi per eliminarli ti basta svuotare i cookies del browser:

C:\Documents and Settings\Jedi\Cookies\jedi@statcounter[1].txt
C:\Documents and Settings\Jedi\Cookies\jedi@www.razespyware[1].txt
C:\Documents and Settings\Jedi\Cookies\jedi@xiti[1].txt

Questi per eliminarli ti basta svuotare i files temporanei:

C:\Documents and Settings\Jedi\Impostazioni locali\Temp\it_0118.exe
C:\Documents and Settings\Jedi\Impostazioni locali\Temp\winsyst32.exe

Per eliminare questi prova a svuotare i file temp di windows:

C:\WINDOWS\Temp\idd173.tmp.exe
C:\WINDOWS\Temp\idd3D2.tmp.exe
C:\WINDOWS\Temp\idd543.tmp.exe
C:\WINDOWS\Temp\idd66E.tmp.exe
C:\WINDOWS\Temp\win66D.tmp.exe

Puoi benissimo avvalerti dell'aiuto di un cleaner come CCleaner:
http://www.ccleaner.com/

Poi elimina questo con killbox: http://www.killbox.net/downloads/KillBox.exe
estrai l'eseguibile sul desktop
apri KillBox
inserisci all'interno della stringa bianca questo percorso:
C:\WINDOWS\2321614943.exe
metti la spunta alla voce "Delete on Reboot", clicca sul bottone con una X bianca a sfondo rosso.

di **nico86** » 07/10/06 13:36

Grazie mille!!
Ho fatto ciò che mi hai detto!!
Quindi l'unica reale minaccia era quella che ho risolto con killbox?
Devo fare qualcos altro tipo usare hijackthis per vedere se è andato tutto bene?
Grazie ancora!

di **andorra24** » 07/10/06 13:40

Beh puoi riprovare a fare la scansione con Panda per vedere se ti trova ancora quelle infezioni oppure no.

di **nico86** » 07/10/06 13:41

ok provo..

di **nico86** » 07/10/06 16:17

ascolta ho rifatto un altra scansione con panda e mi trova ancora infezioni..posto il tutto..

Dialer:Dialer.HWC Non Disinfettato C:\!KillBox\2321614943.exe
Adware:Adware/SaveNow Non Disinfettato C:\Programmi\DAEMON Tools\SetupDTSB.exe
Strumenti indesiderati:Application/MonacoGoldCasino Non Disinfettato C:\WINDOWS\Temp\idd62.tmp.exe

In più AGV anti-spyware mi ha trovato:
hijacker.small.kj
hijacker.agent.hz
adaware.savenow

Che cosa devo fare??

di **nico86** » 07/10/06 16:20

ah scusa ti posto anche il rapporto di Avg Antispyware:

---------------------------------------------------------
AVG Anti-Spyware - Rapporto scansione
---------------------------------------------------------

+ Creato alle: 17.18.25 07/10/2006

+ Risultato scansione:

C:\Programmi\DAEMON Tools\SetupDTSB.exe -> Adware.SaveNow : Ignorato.
C:\System Volume Information\_restore{9BB43F9B-8CE6-4B42-B50C-9CA251CC18FF}\RP31\A0009324.dll -> Hijacker.Agent.hz : Ignorato.
C:\System Volume Information\_restore{9BB43F9B-8CE6-4B42-B50C-9CA251CC18FF}\RP30\A0009182.dll -> Hijacker.Small.kj : Ignorato.
C:\System Volume Information\_restore{9BB43F9B-8CE6-4B42-B50C-9CA251CC18FF}\RP31\A0009338.dll -> Hijacker.Small.kj : Ignorato.
C:\System Volume Information\_restore{9BB43F9B-8CE6-4B42-B50C-9CA251CC18FF}\RP32\A0009526.dll -> Hijacker.Small.kj : Ignorato.

::Fine rapporto

di **andorra24** » 07/10/06 16:37

nico86 ha scritto:
C:\!KillBox\2321614943.exe
C:\Programmi\DAEMON Tools\SetupDTSB.exe
C:\WINDOWS\Temp\idd62.tmp.exe

La prima voce e' il backup fatto da killbox quando hai eliminato quella infezione. Segui il percorso ed elimina il backup di killbox.

Per quanto riguarda la seconda voce dovresti cercare nel Pannello di controllo/installazione applicazioni questo DAEMON Tools e disinstallarlo. Poi elimina manualmente la cartella DAEMON Tools.

Per quanto riguarda la terza voce ti basta svuotare i files temp di windows.

Per quanto riguarda le infezioni trovate da avg antispyware ti basta disattivare il ripristino di sistema e in questo modo dovrebbero sparire. Se non sai disattivarlo segui il link:
http://service1.symantec.com/SUPPORT/IN ... 3151930924

di **nico86** » 07/10/06 16:42

ok grazie..ma poi se tolgo il ripristino di sistema non succede niente?

di **andorra24** » 07/10/06 16:44

nico86 ha scritto:ok grazie..ma poi se tolgo il ripristino di sistema non succede niente?

Che deve succedere? Quando il tuo pc sara' pulito potrai nuovamente riattivare il ripristino di sistema.

di **nico86** » 07/10/06 16:48

mmm..scusa ma non sto capendo più niente.. :oops:

ascolta ripartiamo da zero..e per far le cose fatte bene ti posto il file di hijackthis..

Logfile of HijackThis v1.99.1
Scan saved at 17.45.31, on 07/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\ScanSoft\OmniPageSE\opware32.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programmi\DAEMON Tools\daemon.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\Programmi\Trust\Trust 235A USB ADSL MODEM\CnxDslTb.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\SpywareGuard\sgmain.exe
C:\Programmi\SpywareGuard\sgbhp.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
C:\Programmi\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\TEMP\idd37D.tmp.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\DOCUME~1\Jedi\IMPOST~1\Temp\Rar$EX00.594\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Programmi\SpywareGuard\dlprotect.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Omnipage] C:\Programmi\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [EPSON Stylus C64 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C64 Series" /O6 "USB001" /M "Stylus C64"
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programmi\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programmi\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Programmi\Trust\Trust 235A USB ADSL MODEM\CnxDslTb.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: SpywareGuard.lnk = C:\Programmi\SpywareGuard\sgmain.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan ... asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{795FB520-268E-43BD-B6CF-05F73533FFCB}: NameServer = 193.12.150.2 212.247.152.2
O17 - HKLM\System\CS1\Services\Tcpip\..\{795FB520-268E-43BD-B6CF-05F73533FFCB}: NameServer = 193.12.150.2 212.247.152.2
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: wintfj32 - C:\WINDOWS\SYSTEM32\wintfj32.dll
O23 - Service: ASP.NET State Service (aspnet_state) - Unknown owner - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: RadClock - Unknown owner - C:\WINDOWS\system32\RadClock.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

di **andorra24** » 07/10/06 16:57

Apri hijackthis, premi su ''open the misc tools section'', poi premi ''open process manager'', individua la voce indicata sotto e premi ''kill process'':

C:\WINDOWS\TEMP\idd37D.tmp.exe

Poi vai in basso e premi il tasto back e subito dopo il tasto scan. Metti la spunta nella casellina accanto alle voci indicate sotto e premi ''fix checked'':

O20 - Winlogon Notify: wintfj32 - C:\WINDOWS\SYSTEM32\wintfj32.dll

Vai su start/risorse del computer/strumenti/opzioni cartella/visualizzazione e metti la spunta su visualizza cartelle file nascosti e togli la spunta da ''nascondi i file protetti di sistema''.

Scarica killbox da qui: http://www.killbox.net/downloads/KillBox.exe
Con killbox elimina i seguenti files:
C:\WINDOWS\SYSTEM32\wintfj32.dll
C:\WINDOWS\TEMP\idd37D.tmp.exe

Poi ti consiglierei di disinstallare questo DAEMON Tools perche' contiene un adware.

ps: adesso devo uscire. Ciao.

di **nico86** » 07/10/06 17:17

ok ma comunque tranquillo rispondimi quando puoi

cmq killbox dice che non possono essere rimossi!!

di **andorra24** » 07/10/06 18:01

Scarica avenger sul desktop
http://swandog46.geekstogo.com/avenger.zip
Decomprimi l'archivio

Avvia il file avenger.exe
Seleziona l'opzione "Input Script Manually"
Clicca sulla lente di ingrandimento

Ti si apre una finestra "View/edit script"
All'interno del box bianco,copia e incolla la scritta in neretto:

Files to delete:
C:\WINDOWS\SYSTEM32\wintfj32.dll
C:\WINDOWS\TEMP\idd37D.tmp.exe

Clicca sul pulsante Done
Clicca sull'icona del semaforo verde
Rispondi Yes
Il pc dovrebbe riavviarsi da solo,se così non fosse riavvialo manualmente
Una volta riavviato il pc, collegati e posta il contenuto del file C:\Avenger.txt

di **nico86** » 07/10/06 18:19

ecco cosa c'è scritto..

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\qnthkmpv

*******************

Script file located at: \??\C:\WINDOWS\rwdnuebn.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\SYSTEM32\wintfj32.dll not found!
Deletion of file C:\WINDOWS\SYSTEM32\wintfj32.dll failed!

Could not process line:
C:\WINDOWS\SYSTEM32\wintfj32.dll
Status: 0xc0000034

File C:\WINDOWS\TEMP\idd37D.tmp.exe not found!
Deletion of file C:\WINDOWS\TEMP\idd37D.tmp.exe failed!

Could not process line:
C:\WINDOWS\TEMP\idd37D.tmp.exe
Status: 0xc0000034

Completed script processing.

*******************

Finished! Terminate.

di **andorra24** » 07/10/06 18:26

Quei 2 files non sono stati trovati. Adesso dovresti essere a posto.

di **nico86** » 07/10/06 18:28

grazie mille allora!!
ora faccio un altra scansione con panda active scan..poi ti faccio sapere..grazie..

di **nico86** » 07/10/06 19:37

ho fatto la scansione con panda active scan..mi sa che il problema non è risolto..ecco cosa dice:

Strumenti indesiderati:Application/MonacoGoldCasino Non Disinfettato C:\!KillBox\idd37D.tmp.exe
Dialer:Dialer.HRR Non Disinfettato C:\Documents and Settings\Jedi\Impostazioni locali\Temporary Internet Files\Content.IE5\89ABCDEF\srvyhq.exe
Strumenti indesiderati:Application/MonacoGoldCasino Non Disinfettato C:\WINDOWS\Temp\idd62.tmp.exe

di **andorra24** » 07/10/06 19:51

Scarica questo file
http://downloads.andymanchesta.com/Tools/IceSword1.zip
decomprimi l'archivio,avvia il file icesword.exe,sotto clicca sul pulsante "File" adesso clicca su "Local disk" dovresti visualizzare la cartella !KillBox,selezionala,destro del mouse e scegli "Delete".

Scarica ATF Cleaner da qui:
http://www.atribune.org/ccount/click.php?id=1
(per eliminare file temporanei di windows e IE)
Avvia ATF cleaner, clicca sul menu "main" e poi seleziona la casella "Select All". Adesso clicca sul pulsante "Empty selected" e aspetta il messaggio "Done Cleaning!"

di **nico86** » 07/10/06 19:59

scusa se ti sto facendo disperare..allora..con ATF cleaner tutto a posto mentre con icesword non mi visualizza la cartella killbox!!

Richiedo aiuto per spyare e dialer

Richiedo aiuto per spyare e dialer

Topic correlati a "Richiedo aiuto per spyare e dialer":

Chi c’è in linea