Virus, trojan roba che non riesco propio a rimuovere...

[Luke57]

Scusa, l'avevo già detto, ma non lo hai fatto...
sposta l'eseguibile di hijackthis in una cartella permanente , esempio C\HJT, nè temporanea nè desktop, in modo che il programma possa fare un backup delle voci rimosse.

[Marco5003]

http://news.swzone.it/swznews-16590.php,
Sto link non va... sto pensando che forse mi conviene arrendermi comunque...

[Luke57]

Scusa, scaricalo da qui:
qui http://www.filehippo.com/download_ccleaner/

[Marco5003]

Ho creato una nuova cartella nel deskop come mi hai detto e ci ho messo dentro l'exe di HijackThis. Il backup cmq lo faceva ugualmente nel deskop mi pare...
Ho fatto ciò che mi hai detto alla lettera come mi hai detto.
Solo che HijackThis mi da un messaggio d'errore ed alcune cose non me le fixa evidentemente ed i seguenti file:
C:\WINDOWS\System32\mlljh.dll
C:\WINDOWS\system32\gp44l3hq1.dll
Li ho trovati ma mi dice che è impossibile eliminarli.
In più, non trovo sto cavolo di C:\WINDOWS\downlo~1\fcoomxt\xtzkig2m.exe

Eccoti l'ultimo log, fatto però in modalita provvisoria per ora:
Logfile of HijackThis v1.99.1
Scan saved at 14.48.57, on 28/01/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Marco\Desktop\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.virgilio.it/oggi/index.html
O2 - BHO: ATLDistrib Object - {4A85F02A-CCD3-4E96-9BB1-7ACE7D0B9C23} - C:\WINDOWS\System32\mlljh.dll
O4 - HKLM\..\Run: [C-Media Echo Control] C:\Programmi\PCI Audio Applications\Bin\EchoCtrl.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [KAVPersonal50] C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Ulead Photo Express SE Calendar Checker.lnk = C:\Programmi\Ulead Systems\Ulead Photo Express 3.0 SE\CalCheck.exe
O4 - Global Startup: Watch.lnk = C:\Programmi\Mustek 1200 UB Plus\Driver\WATCH.exe
O20 - Winlogon Notify: Control Panel - C:\WINDOWS\system32\gp44l3hq1.dll
O20 - Winlogon Notify: mlljh - C:\WINDOWS\System32\mlljh.dll
O20 - Winlogon Notify: winmfu32 - C:\WINDOWS\SYSTEM32\winmfu32.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: Bluetooth Service (btwdins) - Unknown owner - C:\Programmi\Bluetooth Software\bin\btwdins.exe
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\TWFyY28\command.exe (file missing)
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: nvidGUIv (nvidGUIv2) - Unknown owner - C:\WINDOWS\nvidGUIv.exe (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe

[Marco5003]

Ecco il messaggio d'errore che mi da:
HijackThis is this about to remove a BHO and the corresponding file from your system. Close all Internet Exploer windows AND all Windows Explorer windows before continuing for the best chance of success.
Premetto che questo messaggio me lo da anche in mod provvisoria con modem staccato.

[Alexsandra]

Prova così:
scarica Virit : http://www.tgsoft.it/files/vnlt5255.exe installalo e aggiornalo.non eseguirlo.(dovrebbe riconoscere Look2Me)

Riavvia in provvisoria,disabilita ripristino di sistema e poi vai in :
Start , Esegui e digita cmd , dai invio. Poi premi CTRL+ALT+DEL e vai nel Task Manager di Windows, clicca sulla scheda Processi, seleziona EXPLORER.EXE, poi clicca sul pulsante Termina processo. rimarrai con lo sfondo del desktop ed il task manager di windows aperto.

Nella finestra del prompt dei comandi DOS digita questo
cd\ e invio

digita del secure32.html poi premi invio

dopo digita

cd\Windows\System32 e premi invio
dopo digita questi comandi:

del mlljh.dll e premi invio , poi
del gp44l3hq1.dll e premi invio

Poi torna al Task Manager, clicca sulla scheda Applicazioni poi sul pulsante Nuova operazione e digita explorer.exe premi invio e OK.
Ora lancia Virit ed esegui una scansione, poi segui le istruzioni di Luke (CCcleaner elimina i tmp,cookies e svuota il cestino e una scansione con CWShredder) e rifai un log di Hijacthis, se trovi le voci che hai appena cancellato ,oltre a quelle suggerite da Luke nei post precedenti fixale.
Riavvia (dì qualche preghiera) ,rifai un log di Hijacthis e posta i risultati

ciao

PS. prima di fare il tutto quando hai scaricato Virit,fai un log di Hijacthis e vedi se hai ancora quelle dll o se ce ne sono di nuove,la caratteristica di quel trojan è quella di creare dll ed exe a caso,segnati i nomi(sono nelle stesse posizioni di quelli che hai adesso) e cancella anche quelli

[Marco5003]

Mi scrive impossibile accedere al file, il file è utilizzato da un altro processo. (Facendo dal dos come hai detto tu di cmd).
Non si riesce propio a elimanarli

[Marco5003]

VirIT eXplorer Lite Log

SCANSIONE DELLA MEMORIA
OK
SCANSIONE DELLA MEMORIA
OK
--------------------------------------------------------
28/01/2006 - 16:41:26

[SCANSIONE DEL REGISTRO]
{4A85F02A-CCD3-4E96-9BB1-7ACE7D0B9C23} Infetto da BHO.Quake.C
* * * RIMOSSO * * *

[A:]
BOOT SECTOR: OK


[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK

C:\Documents and Settings\Marco\Desktop\HJT\backups\backup-20060128-144953-120.dll Infetto da BHO.Quake.C
* * * RIMOSSO * * *
C:\Documents and Settings\Marco\Desktop\HJT\backups\backup-20060128-152016-281.dll Infetto da BHO.Quake.C
* * * RIMOSSO * * *
C:\Documents and Settings\Marco\Desktop\HJT\backups\backup-20060128-164053-205.dll Infetto da BHO.Quake.C
* * * RIMOSSO * * *
C:\Documents and Settings\Marco\Menu Avvio\exsplorer.lnk Infetto da Trojan.Win32.Agent.SP
* * * RIMOSSO * * *
C:\Programmi\backups\backup-20060128-141132-556.dll Infetto da BHO.Quake.C
* * * RIMOSSO * * *
C:\WINDOWS\Downloaded Program Files\fcoomxt\xtzkig2m.exe Infetto da Trojan.Win32.Agent.SS
* * * RIMOSSO * * *
C:\WINDOWS\system32\copypad32.exe Infetto da Backdoor.RBot.PD
* * * RIMOSSO * * *
C:\WINDOWS\system32\mlljh.dll Infetto da BHO.Quake.C
Contattare il Supporto Tecnico TG Soft
C:\WINDOWS\system32\wev3is.dll Infetto da Trojan.Win32.Agent.QM
* * * RIMOSSO * * *

[D:]


[E:]


Chiavi Registro infette: 1.
Files Infetti: 9.
Files Sospetti: 0.
Files Analizzati: 19585.
Files Totali: 19585.
Chiavi Registro rimosse: 1.
Virus Rimossi: 8.

[Luke57]

Ciao marco, hai una brutta bestia nel computer....hai fatto la scansione con virit? Falla a prescindere dagli scarsi risultati avuti con il tentativo dal prompt dei comandi. Non so se hai dimestichezza con il registro di sistema ma ti aggiungo due link diciamo come penultimo tentativo per quanto ne so io.
http://www.symantec.com/region/it/techs ... ndo.b.html
segui per filo e per segno le istruzioni riportate

http://www.nod32.it/cgi-bin/mapdl.pl?tool=AgentCS
scarica questo e inserisci nel campo questo:
C:\WINDOWS\System32\mlljh.dll
Riavvia in modalità normale, posta nuovo log di hijackthis

[Alexsandra]

Seguite le istruzioni di Luke57,quando posti il log di Hijacthis prova anche a postare quello che trovi in questa chiave di regedit.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg

Per trovarla vai in Start-esegui e digita regedit.
Nel pannello di Sx trovi le varie chiavi,clicca sui + finchè non arrivi alla chiave che ti ho postato fai clik sull'ultima voce (startupreg) e posta i valori che trovi nel pannello di Dx.(non modificare niente,posta solo quello che vedi nel pannello di Dx)

Comunque ha ragione Luke "hai propio una bella gatta da pelare" vediamo cosa trovi.
No panico e tranquillità, vedrai che lo togliamo

[Marco5003]

Dunque, nella cartella ho trovato le seguenti chiavi:
Antivirus Protection
archivio del porno - accesso immediato
Compaqs Service Driver
DRam prosessor
myupdates
NvCplDaemon
nwiz
Windows Update
winsysban
winsysupd

[Marco5003]

Logfile of HijackThis v1.99.1
Scan saved at 19.10.03, on 28/01/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmi\Bluetooth Software\bin\btwdins.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\PCI Audio Applications\Bin\EchoCtrl.exe
C:\WINDOWS\Mixer.exe
C:\WINDOWS\StartupMonitor.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Marco\Desktop\HJT\HijackThis.exe
C:\VEXPLITE\MONLITE.EXE
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Ulead Systems\Ulead Photo Express 3.0 SE\CalCheck.exe
C:\Programmi\Mustek 1200 UB Plus\Driver\WATCH.exe
C:\Programmi\ewido anti-malware\securitysuite.exe
C:\VEXPLITE\VIRITEXP.EXE
C:\Programmi\ewido anti-malware\securitysuite.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.virgilio.it/oggi/index.html
O2 - BHO: ATLDistrib Object - {4A85F02A-CCD3-4E96-9BB1-7ACE7D0B9C23} - C:\WINDOWS\System32\mlljh.dll
O4 - HKLM\..\Run: [C-Media Echo Control] C:\Programmi\PCI Audio Applications\Bin\EchoCtrl.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [Run StartupMonitor] StartupMonitor.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [KAVPersonal50] C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKLM\..\Run: [VIRIT LITE MONITOR] C:\VEXPLITE\MONLITE.EXE
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Ulead Photo Express SE Calendar Checker.lnk = C:\Programmi\Ulead Systems\Ulead Photo Express 3.0 SE\CalCheck.exe
O4 - Global Startup: Watch.lnk = C:\Programmi\Mustek 1200 UB Plus\Driver\WATCH.exe
O20 - Winlogon Notify: mlljh - C:\WINDOWS\System32\mlljh.dll
O20 - Winlogon Notify: SharedDLLs - C:\WINDOWS\system32\guard.tmp (file missing)
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: Bluetooth Service (btwdins) - Unknown owner - C:\Programmi\Bluetooth Software\bin\btwdins.exe
O23 - Service: Controllo account locale (ctrlacclc) - Unknown owner - C:\WINDOWS\downlo~1\fcoomxt\xtzkig2m.exe (file missing)
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: nvidGUIv (nvidGUIv2) - Unknown owner - C:\WINDOWS\nvidGUIv.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe

[Marco5003]

Però ora non mi apre più pagine web a caso

[Alexsandra]

Credo che lo abbiamo individuato.

Ritorna in regedit con lo stesso percorso che hai fatto prima e alla chiave startupreg nel pannello di Dx fai clik col Dx su queste chiavi

archivio del porno - accesso immediato
winsysban
winsysupd
e dal menù a tendina che ti appare clicca su elimina.(non ti scandalizzare per la prima voce,sono cose che in rete succedono)

Poi ripeti l'operazione dal dos che ti avevo postato prima e cerca questi file
c: \ secure32.html
C:\WINDOWS\temp \ 2C.tmp - nag
C:\windows \ winsysupd.exe
C:\WINDOWS\system32 \ dfrtof.exe
C:\WINDOWS\system32 \ n6r2lg9o16.dll
(start-esegui digita cmd e invio) e poi con cd ti sposti nelle varie directory dei file e digiti del nomefile.estensione.

Il tutto in provvisoria e con il ripristino di sistema disabilitato.

Ripeti poi un'altra scansione con Virit e adesso ti dovrebbe togliere tutto,inoltre lancia CCleaner e svuota i TMP (secondo mè è molto importante). Aggiungerei di fare una scansione con Spyboot o Ad Aware aggiornati.

Aspetta anche Luke57 se è d'accordo con mè,ma credo che così sia fatta.

Fai dopo un riavvio e una scansione dalla normale con i tuoi antivirus installati e aggiornati,e dopo tienilo come regola,fai una copia del regedit e proteggilo,ma di questo ne parleremo quando il tuo sistema è pulito.

[Luke57]

@ per Alexsandra
Ciao, ci incontriamo al capezzale del malato
penso che il problema sarà soprattutto togliere questo
O2 - BHO: ATLDistrib Object - {4A85F02A-CCD3-4E96-9BB1-7ACE7D0B9C23} - C:\WINDOWS\System32\mlljh.dll
O20 - Winlogon Notify: mlljh - C:\WINDOWS\System32\mlljh.dll
anche se il secure e il look2me sembra che se ne siano andati
@ Marco
Non so se hai provato il tool di nod 32
http://www.nod32.it/cgi-bin/mapdl.pl?tool=AgentCS
scarica questo e inserisci nel campo questo:
C:\WINDOWS\System32\mlljh.dll
A dopo.

[Alexsandra]

Ci troviamo spesso in queste sezioni,ma io già da diversi anni mi faccio il vaccino (per l'influenza)
Ho proposto quella soluzione in quanto credo che nelle chiavi di regedit che ha postato Marco ci sia la chiave di attivazione.

Concordo con tè che i valori da togliere siano quelli dell'ultimo tuo post,ma credo che si ricreano(è una mia idea)
I file che gli avevo postato di eliminare dal dos erano una precauzione,come sai questo "signorino" è bello tosto e anche per escludere secure e Look2Me

Comunque,prima di mettere le mani al regedit,è giusto provare anche con Nod32 che è validissimo

PS. Mi piacciono i nostri scambi di opinioni sai,sempre basati sul rispetto e la considerazione reciproca

[Marco5003]

Luke e Alexsandra, vi ringrazio vivamente per il vostro aiuto...
Si avevo provato Luke... ma quell'infame si ri-crea semrpe .
Ho cancellato ciò che mi ha detto Alexsandra, ma i file in dos non li trova nemmeno .
Si si è tosto tosto..

[Marco5003]

Si luke... è quel dannato file .dll che non si riesce a rimuovere... ma porca vacca...

[Alexsandra]

Hai cancellato queste chiavi dal regedit?
archivio del porno - accesso immediato
winsysban
winsysupd

Se le hai cancellate e te le ritrovi ancora postalo,con un trucco possiamo impedire che vadano a riscriversi in regedit

Inoltre guarda in questa chiave HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run se hai chiamate a quelle dll o a qualche .exe strano

[Marco5003]

Si le ho cancellate Alexsandra e non si sono ricreate.
Il punto è che gli antivirus rimuovono tutto perfettamente tranne quel danno .dll in system 32.