WinXP Firefox - Impossibile accedere a siti antivirus

[greenrose]

Scrivo per chiedere un aiuto nella rimozione di un virus/malware che non riesco a eliminare. Ho cercato di fare tutto quello che ero in grado di fare ma non sono riuscita a risolvere la situazione, quindi mi affido a voi per un ultimo tentativo prima di pensare alla formattazione.
Premessa: ho Windows XP, come antivirus Avast (con protezione in tempo reale) + Ad-aware (disabilitata la protezione in tempo reale) aggiornati e utilizzati settimanalmente, faccio quotidianamente la pulizia con CCleaner, uso Firefox aggiornato all’ultima versione, non ho password salvate, non scarico roba da internet e sto sempre attenta ai siti che visito, non ho fatto niente di strano e/o particolare.
Passiamo alla descrizione di quello che è successo (mi scuso per la lunghezza ma cerco di non trascurare nulla).
Le normali scansioni non mi rivelavano nessun problema, ma all’improvviso mi compariva in continuazione il messaggio “Periferica USB non riconosciuta” anche se non avevo inserito nessuna chiavetta e in Gestione periferiche non mi segnalava niente di anomalo. Ho scollegato e ricollegato stampante, tastiera e tutti i cavi dal pc e il problema sembrava risolto.
Una nuova scansione con Avast mi rileva un rootkit nella cartella “System Volume Information”, quindi disabilito il ripristino configurazione di sistema, faccio una nuova scansione che mi dice che è tutto ok e riabilito il ripristino. Pensavo di aver risolto.
Invece apro Facebook (non mi connettevo da più di un mese) e mi compare una finestra con lo stesso stile di Facebook in cui mi vengono chiesti nome e numero di carta di credito, impedendomi di fare qualsiasi altra azione. Chiudo il browser, cerco qualche informazione in più e scopro che anche ad altre persone è successo, che è un malware e si elimina con Malwarebytes. Quindi tento di scaricarlo ma noto un altro problema: non riesco ad accedere ai siti degli antivirus, vengo reindirizzata su Google oppure mi compare l’errore 404 con il messaggio “The requested URL was not found on this server”. Riesco comunque a scaricarlo da un altro link, aggiorno e faccio la scansione: 25 elementi tra trojan, worm e altri, che elimino. Ma il problema con Facebook e con i siti degli antivirus rimane.
Leggo che potrebbe essere il worm Conficker, quindi scarico il tool di Bitdefender ma mi dice che non c’è nessun worm.
Disinstallo e reinstallo Firefox. Faccio altre scansioni con Spybot e Hitman Pro (gli unici che sono riuscita a scaricare) e dicono che è tutto ok, mentre non è così.
Come ultima soluzione scarico Combofix, seguo le istruzioni e lo faccio partire, poi noto che mi sta eliminando alcuni programmi e alcuni file di Windows, lo stoppo con ctrl+alt+canc ed eseguo un ripristino a prima della scansione di Combofix (lo so che non avrei dovuto interromperlo ma temevo di fare un danno peggiore). Riavvio ed è tutto ok.
Nel frattempo accedo a Facebook da un altro pc (sempre con Firefox) e non ho nessun problema, cambio alcune impostazioni e cambio la password. Stamattina ho riprovato ad accedere dal pc infetto e non compare più il messaggio, però ho ancora problemi con i siti antivirus e ogni tanto compare ancora: “Periferica USB non riconosciuta”.
Da ultimo riesco a scaricare Prevx 3.0 che mi segnala 2 infezioni che però non mi fa cancellare:

c:\documents and settings\utente\dati applicazioni\otobs\iwmot.exe
Malware Group: High Risk Fraudulent Security Program

\REGISTRY\User\S-1-5-21-790525478-1897051121-1801674531-1003\Software\Microsoft\Windows\CurrentVersion\Run
Infected Entry: [Etkuywnu]

La prima cartella compare anche nella quarantena di Combofix (in Qoobox) che ho ancora sul pc. Elimino manualmente la cartella, rifaccio la scansione ma c’è ancora la stessa infezione. Per Malwarebytes e gli altri invece non c’è nessuna infezione.
Se potete aiutarmi in qualche modo, vi ringrazio in anticipo.

[COCCOBELLO]

ciao
Ripristina il file Hosts
Clicca sul link riporatato in basso ed esegui il Fix automatico del file hosts seguendo la procedura
http://go.microsoft.com/?linkid=9668866

finita l'operazione riavvia il pc

poi
Start/ Esegui digita MRT poi clicca ok
scegli scansione completa
Partirà l'analisi alla ricerca di virus attendere la scansione
ed eliminare tutto quello che trova,se non vengono rilevate infezioni premere Fine

poi
Scarica HiJackThis
http://it.trendmicro.com/it/products/pe ... -services/
salvalo sul desktop

installalo
aprilo
clicca sul pulsante Do a system scan and save a logfile
A questo punto inizia la scansione,alla fine della scansione apparirà un log in formato documento di testo salvalo sul desktop
postalo qui sul forum

[greenrose]

Ciao! Grazie mille non ci sarei mai arrivata da sola.
Ho ripristinato il file Hosts, poi ho fatto la scansione con lo Strumento di rimozione malware di Microsoft ma non mi ha trovato niente.

[greenrose]

Avevo già provato a scaricare HijackThis ma non mi apriva il link, adesso invece riesco. Ti allego il log:
h t t p: //wikisend. com/download/460760/hijackthis1.txt
(elimina gli spazi, riesco a metterlo solo così perchè non posso ancora inserire link nei post)

Ho dato un’occhiata veloce e ho visto la toolbar di Yahoo, che io non ho mai installato, poi c’è sempre lo stesso elemento:
O4 - HKCU\..\Run: [Etkuywnu] "C:\Documents and Settings\utente\Dati applicazioni\Otobs\iwmot.exe"

[COCCOBELLO]

ciao,prego
si avevi il file hosts corrotto da virus,che impediva l'apertura dei siti di software per la sicurezza
il link mi da url non valido
scrivi un paio di messaggi,e riposta il report di hijackthis

[greenrose]

Ecco il log:
hijackthis1.txt

Intanto con CCleaner ho provato a disattivare l'avvio automatico di iwmot.exe ma non me lo fa fare.

[nikita75]

avvia le scansioni antivirus in modalita' provvisoria ,disconnettiti dalla lan - se hai infezioni è l'unico modo per eliminarle

C:\WINDOWS\system32\PxSecure.dll ---in questa libreria si nasconde il rootkit - fixal
perche' Xp non e' aggiornato al SP 3
avevi 25 trojan ...come mai l'avast non li ha rivelati

Per Malwarebytes e gli altri invece non c’è nessuna infezione.

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 18.20.51, on 14/05/2012
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\AVAST Software\Avast\AvastSvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\Programmi\File comuni\Java\Java Update\jusched.exe
C:\Programmi\AVAST Software\Avast\avastUI.exe
C:\Programmi\Epson Software\FAX Utility\FUFAXSTM.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\WIDCOMM\Software Bluetooth\BTTray.exe
C:\Programmi\Alice ti aiuta\bin\mpbtn.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Programmi\Prevx\prevx.exe
C:\Programmi\Java\jre6\bin\jqs.exe
c:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\TomTom HOME 2\TomTomHOMEService.exe
C:\Programmi\Prevx\prevx.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Trend Micro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: SafeOnline BHO - {69D72956-317C-44bd-B369-8E44D4EF9801} -

C:\WINDOWS\system32\PxSecure.dll

O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Programmi\Epson Software\Easy Photo Print\EPTBL.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Programmi\Epson Software\Easy Photo Print\EPTBL.dll
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Motive SmartBridge] C:\PROGRA~1\ALICET~1\SMARTB~1\MotiveSB.exe
O4 - HKLM\..\Run: [AliceRE_McciTrayApp] C:\Programmi\Alice ti aiuta\vendors\AliceRE\content\template\driven_dev\syncer\McciTrayApp.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\File comuni\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [avast] "C:\Programmi\AVAST Software\Avast\avastUI.exe" /nogui
O4 - HKLM\..\Run: [FUFAXSTM] "C:\Programmi\Epson Software\FAX Utility\FUFAXSTM.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TomTomHOME.exe] "C:\Programmi\TomTom HOME 2\TomTomHOMERunner.exe" -s
O4 - HKCU\..\Run: [EPSON BX305 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIGJE.EXE /FU "C:\WINDOWS\TEMP\E_SF0.tmp" /EF "HKCU"
O4 - HKCU\..\Run: [Etkuywnu] "C:\Documents and Settings\utente\Dati applicazioni\Otobs\iwmot.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Alice ti aiuta.lnk = C:\Programmi\Alice ti aiuta\bin\matcli.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Invia a &Bluetooth - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie_ctx.htm
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .mp3: C:\Programmi\Internet Explorer\PLUGINS\npqtplugin3.dll
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-U ... E_UNO1.cab
O16 - DPF: {8FEFF364-6A5F-4966-A917-A3AC28411659} (SopCore Control) - http://www.mariatv.it/SOPCORE.CAB
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/Mi ... b56986.cab
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - AVAST Software - C:\Programmi\AVAST Software\Avast\AvastSvc.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: CSIScanner - Prevx - C:\Programmi\Prevx\prevx.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft Limited - C:\Programmi\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - c:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: Nullwnb8 - - C:\WINDOWS\system32\drivers\mtlstrm.sys
O23 - Service: SmartLinkService (SLService) - Unknown owner - slserv.exe (file missing)
O23 - Service: TomTomHOMEService - TomTom - C:\Programmi\TomTom HOME 2\TomTomHOMEService.exe

--
End of file - 8186 bytes

[COCCOBELLO]

Rilancia Hijackthis:
clicca sul pulsante Do a system scan only
metti la spunta alle voci che vedi sotto e clicca su Fixchecked
Se vengono rilasciati messaggi clicca su Si

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: SafeOnline BHO - {69D72956-317C-44bd-B369-8E44D4EF9801} - C:\WINDOWS\system32\PxSecure.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Motive SmartBridge] C:\PROGRA~1\ALICET~1\SMARTB~1\MotiveSB.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\File comuni\Java\Java Update\jusched.exe"

O4 - HKCU\..\Run: [EPSON BX305 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIGJE.EXE /FU "C:\WINDOWS\TEMP\E_SF0.tmp" /EF "HKCU"

O4 - HKCU\..\Run: [Etkuywnu] "C:\Documents and Settings\utente\Dati applicazioni\Otobs\iwmot.exe"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: BTTray.lnk = ?

O16 - DPF: {8FEFF364-6A5F-4966-A917-A3AC28411659} (SopCore Control) - http://www.mariatv.it/SOPCORE.CAB

poi
Aggiorna il sistema vai in windows update
scarica e installa tutti gli aggiornamenti compreso il service pack 3

p.s Nikita
PxSecure.dll appartiene a Prevx
nessun rootkit

[nikita75]

p.s Nikita
PxSecure.dll appartiene a Prevx
nessun rootkit

vero pxsecure.dll è il rootkit , questa è la dll di Prevx

[nikita75]

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

perche' sono da fixare queste chiavi di registro? sono della scheda audio e video

[COCCOBELLO]

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

perche' sono da fixare queste chiavi di registro? sono della scheda audio e video

perchè non servono per avviare windows
sono programmi in avvio automatico,rallentano solo l'avvio del pc
una volta avviato windows funzionano correttamente
in più ALCMTR.EXE e associato a spyware,anche se di basso rischio appartiene al driver audio Realtek AC97

[nikita75]

ALCMTR.EXE e associato a spyware,

lo usa realtek per le indagini

SOUNDMAN .EXE .- è anche lui di realtek

soundman.exe se lo trovi scritto in minuscolo nel task manager è differente



Security Task Manager
http://www.neuber.com/taskmanager/itali ... ef=file.it

[greenrose]

Coccobello ho fatto tutto quello che mi hai detto, ma l'infezione c'è ancora.
Ho fatto una nuova scansione con Prevx (uguale a prima) e con HiJackThis, ti allego il nuovo log:
hijackthis2.txt

[COCCOBELLO]

lascia perdere Prevx,per quello che mi riguarda puoi anche disinstallarlo
piuttosto,perchè non hai terminato la scansione con combofix?
ciò che stava rimuovendo erano virus e non file e programmi leggittimi di windows

questa e rimasta
O4 - HKCU\..\Run: [Etkuywnu] "C:\Documents and Settings\utente\Dati applicazioni\Otobs\iwmot.exe"

fai la scansione con combofix
prima però disattiva AVAST e il firewall

attendi il termine della scansione senza toccare nulla sul pc,ne anche il mouse
finita la scansione combofix rilascia un report,si trova in C
allegalo qui sul forum

[nikita75]

O4 - HKCU\..\Run: [Etkuywnu] "C:\Documents and Settings\utente\Dati applicazioni\Otobs\iwmot.exe"

questa applicazione , che si avvia in automatico molto sospetta e sconosciuta - non esiste in nessun database
sara' un nuovo virus

http://www.securelist.com/en/descriptio ... rch_type=1

[greenrose]

Hai ragione, ma non sapevo con certezza quello che stavo facendo e avevo paura di fare qualche danno.
Ho fatto tutto, ecco il log:
Combofix1.txt

Grazie per la pazienza!

[COCCOBELLO]

ok
ora
crea un nuovo documento di testo sul Desktop
copia\incolla dentro al documento di testo,il codice che vedi sotto
e lo salvi con il nome di CFScript.txt
e trascinalo sull'icona di ComboFix.
partirà la scansione attendi la fine senza toccare niente
se chiede il riavvio del pc riavvia
Posta il log aggiornato di combofix

Codice: Seleziona tutto

KillAll::

File::
c:\documents and settings\utente\Dati applicazioni\Otobs\iwmot.exe

Folder::
c:\documents and settings\utente\Dati applicazioni\Otobs

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Etkuywnu"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Etkuywnu]
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000000

[greenrose]

Fatto. Sembra sia stato eliminato, giusto?
Combofix2.txt
hijackthis3.txt

[COCCOBELLO]

si sembrerebbe di si non lo vedo più
dimmi tu se e tutto ok

[greenrose]

Sì sembra tutto ok, ho fatto un po' di prove anche con i siti che prima non vedevo e ora funzionano.
Grazie mille!
Ho deciso di cancellare Ad-Aware e tenere Malwarebytes; HiJackThis e Combofix invece devo eliminarli?