pc di lavoro lento ...

[gahan]

Voglio fare un controllo...esegui quanto segue:

- Disattiva il Ripristino Configurazione Sistema:
tasto destro del mouse su Risorse del Computer --> proprietà --> ripristino configurazione di Sistema --> spunta la voce Disattiva ripristino configurazione di sistema
conferma la modifica con Applica e, poi Ok.

- Scarica mbr.exe dal link sottostante e salvalo direttamente in C:\

http://www2.gmer.net/mbr/mbr.exe

Riavvia il PC in modalità provvisoria F5
Da start - esegui - digita
C:\mbr.exe -f e clicca su OK

NB - c'è uno spazio tra "C:\mbr.exe" e "-f"
Salva il log prodotto come MBR e postalo qui sul forum.

[mrshank]

Anche io ho lo stesso problema:
Ecco quello che mi dà HijackThis:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15.10.43, on 01/02/2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\iTunes\iTunesHelper.exe
C:\Programmi\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Creative\Shared Files\CamTray.exe
C:\Programmi\Microsoft ActiveSync\wcescomm.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\cmd.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\Spyware Terminator\sp_rsser.exe
C:\PROGRA~1\MICROS~4\rapimgr.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\WINDOWS\System32\svchost.exe
C:\DOCUME~1\Utente\IMPOST~1\Temp\winygnfy.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\PROGRA~1\Crawler\CToolbar.exe
C:\DOCUME~1\Utente\IMPOST~1\Temp\Directory temporanea 1 per HiJackThis.zip\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programmi\Microsoft Office\Office10\WINWORD.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.alice.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - C:\Programmi\Crawler\ctbr.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programmi\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Toolbar &Crawler - {4B3803EA-5230-4DC3-A7FC-33638F3D3542} - C:\Programmi\Crawler\ctbr.dll
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Creative WebCam Tray] "C:\Programmi\Creative\Shared Files\CamTray.exe"
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programmi\Microsoft ActiveSync\wcescomm.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [worizozuka] Rundll32.exe "C:\WINDOWS\system32\wabodezi.dll",s (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: Aggiungi all'elenco di stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Anteprima Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Crawler Search - tbr:iemenu
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Stampa ad alta velocità Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~4\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~4\INetRepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~4\INetRepl.dll
O9 - Extra button: (no name) - {53F6FCCD-9E22-4d71-86EA-6E43136192AB} - (no file)
O9 - Extra button: (no name) - {925DAB62-F9AC-4221-806A-057BFB1014AA} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra button: Alice - {B886B3D2-B59C-4C74-83C1-32C5BCBFA6FC} - http://gw.aliceadsl.it/alice (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://gw.aliceadsl.it/home
O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - C:\Programmi\Crawler\ctbr.dll
O20 - AppInit_DLLs: vvlevr.dll ,
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe

--
End of file - 6753 bytes


Se mi potete aiutare e dirmi quali devo bloccare...
Grazie mille

[gahan]

Per @mrshank

Chiudi tutte le applicazioni, apri HijackThis, clicca su "do a system scan only", seleziona le seguenti voci:

C:\DOCUME~1\Utente\IMPOST~1\Temp\winygnfy.exe
O4 - HKUS\S-1-5-19\..\Run: [worizozuka] Rundll32.exe "C:\WINDOWS\system32\wabodezi.dll",s (User 'SERVIZIO LOCALE')
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: (no name) - {53F6FCCD-9E22-4d71-86EA-6E43136192AB} - (no file)
O9 - Extra button: (no name) - {925DAB62-F9AC-4221-806A-057BFB1014AA} - (no file)
O9 - Extra button: Alice - {B886B3D2-B59C-4C74-83C1-32C5BCBFA6FC} - http://gw.aliceadsl.it/alice (file missing) (HKCU)
O20 - AppInit_DLLs: vvlevr.dll ,

e clicca su Fix Checked in basso.


Successivamente scarica, installa malwarebytes dal link sottostante:

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

- aggiornalo
- disattiva il tuo antivirus
- esegui una "scansione completa"

A fine scansione, posta il rapporto.

[ivo]

voglio segnalarti una cosa un po' strana....
mi hai detto di scaricare il seguente file
ftp://ftp.drweb.com/pub/drweb/cureit/launch.exe
l'ho fatto dal pc di lavoro
poi tanto per provare a vedere il suo corretto funzionamento, visto che il pc fi lavoro è stato ripulito da tutto e non si riavvia più, l'ho eseguito.
La prima schermata propone di aggiornare il programma perché si aggiornamenti ce ne sono molti nella stessa giornata.
Fatto sta che si è aperta una finestra di Firefox con il sito e il link per lo scarico, ci ho premuto sopra e... si è aperta e chiusa subito una finestra dello scarico. A primo impatto non ci ho fatto caso e poi rieseguendo lo scarico mi ha scaricato un file con un nome diverso ma sempre con la stessa icona: gkkal7rm.exe
Ovvio che non l'ho eseguito ne sul pc di lavoro ne su quello di casa, la cosa mi puzzava un po' ...
fatto sta che adesso, il kaspersky 2010 del pc di lavoro, ogni tanto mi segnala qualcosa e lo trovo nella sezione "difesa proattiva"

Codice: Seleziona tutto

01/02/2010 10.06.11   Rilevato: PDM.Hidden object   gu683xp.exe   C:\DOCUMENTS AND SETTINGS\IVO\IMPOSTAZIONI LOCALI\TEMP\RARSFX0\GU683XP.EXE   

ogni volta cambia il nome del file finale
non trovo la cartella RARSFX0 pur avendo abilitato l'opzione di vedere le cartelle nascoste
kaspersky sembra che lo elimini ... ma ogni tanto ritorna col nome diverso ...
c'è modo di levarlo definitivamente? forse è una riga di registro?

[gahan]

Dal PC infetto effettua quanto ho scritto nel mio post precedente...vorrei controllare una cosa se per te va bene

[ivo]

scusami, siccome stai rispondendo a 2 persone nello stesso "tread" ... non capisco se ti riferisci a me o a mrshank
comunque non finirò mai di ringraziarti per la pazienza e la disponibilità che hai ....

eseguito il comando C:\mbr.exe -f sul pc di casa
sempre in C:\ è apparso un mbr.log

Codice: Seleziona tutto

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened succesfully
user: MBR read succesfully
kernel: MBR read succesfully
user & kernel MBR OK


[gahan]

si scusami...

@ivo

appena hai tempo rifai una scansione con Combofix, ma in modalità provissoria.

[ivo]

ulteriore info ....
in pausa pranzo avevo eseguito la scansione in modalità "normale" e si era impiantato tutto dopo poco...
adesso ho riprovato in modalità provvisoria e sono riuscito a completare la scansione senza trovare nulla.
Ma il pc poco dopo si è intruppato con il solito problema e non funzionava più il task manager ...
me**@ me**@ me**@ NON NE POSSO PIU' !!!!!!!!!!

[ivo]

@gahan
prima di tutto, non hai da scusarti di nulla.
Quando passi dalle mie parti (Treviso), sarai il ben venuto a casa mia!!!!!


il log di combofix in modalità provvisoria

http://rapidshare.com/files/344497857/log.txt.html

[ivo]

dopo il riavvio ho trovato che sul C:\ si è di nuovo creato il file ComboFix.txt
allora ti invio pure quello
http://rapidshare.com/files/344500422/ComboFix.txt.html

Grazie mille !

[gahan]

Ti ringrazio ivo,

se mi trovo a passare dalle tue parti ti faccio sapere

Tornando al tuo PC...

il log di combofix mi sembra pulito...tuttavia ci sono 2 file che non riconosco...

c:\windows\is-7FJIB.exe
c:\windows\is-HD4KB.exe

riconosci questi file?

- Disinstalla la pdfforge Toolbar

- Avvia CCleaner ed effettua una pulizia completa, ricordando di togliere la spunta da "cancella file in windows temp se più vecchi di 48 ore" se non lo hai già fatto.

- Lascia il "ripristino configurazione di sistema" disabilito per il momento
- Riavvia il PC in provvisoria ed effettua una scansione completa con Malwarebytes

Tienimi aggiornato.

[ivo]

c:\windows\is-7FJIB.exe
c:\windows\is-HD4KB.exe

non li conosco e non mi dicono nulla
ha senso rinominarli .old e zipparli ?? non si sa mai se servono a qualcosa poi posso sempre recuperarli ...
Proverò ad eseguire le tue preziose istruzioni in pausa pranzo.

[ivo]

mmm Me**@ Me**@

rinominati i file come .old ma avevano l'icona din installazione di CDBURNER XP
disinstallata la barra pdfforge
eseguito come da istruzioni ccleaner
riavvio per andare in modalità provvisoria carica un po' di file ma si ferma ad una schermata nera e cursore che lampeggia.
riavviato modalità normale e parte sempre un controllo dell'hd come se avessi lanciato CHKDSK
non eseguo nulla e si avvia in modalità normale
disabilito il ripristino di sistema (doveva essere già disabilitato)
riesegui ccleaner
riavvio in modalità provvisoria non funziona (come sopra)
riavvio modalità normale
sempre controllo HD che salto ma si avvia
ho provato a lanciare un programmino di controllo del registro: registry mechanic 8
mi ha trovato tante cose
2 add. remove program
12 share dll
1 software location
21 deep scan
faccio pulire ma... 3 ignorati
http://rapidshare.com/files/344798116/Immagine.JPG.html

rieseguo più volte il controllo ma sempre le 3 righe ignorate
eseguo ancora ccleaner e riavvio modalità provvisoria: non funge ancora

[gahan]

Ciao ivo,

il trattino lampeggiante su sfondo nero è normale...il tempo d'attesa prima che parta la modalità provvisoria può essere anche di 3-4 o piu...
Prova ad aspettare un po di piu e vedi se si avvia per poter eseguire malwarebytes da provvisoria.

Ricapitolando, ora come ora su questo PC che problemi hai?

Abbiamo detto che il problema del riavvio automatico si è risolto...confermi?

[ivo]

no il riavvio automatico c'è ancora: peccato.
questa sera attenderò anche ad attendere 15 / 20 minuti

[ivo]

risultato è il seguente
entro in modalità normale controllo di aver disabilitato il ripristino di sistema
eseguo ccleaner
riavvio in modalità provvisoria
eseguo Malwarebytes
dopo 24 minuti, non 25 ne 23 ma 24, Malwarebytes sta ancora lavorando e si intruppa tutto lo schermo compreso il programma che tra l'altro segnala falsi allarmi su cartelle.
Perché dico che segnala falsi allarmi?
Riesco a leggere cosa stava controllando Malwarebytes prima di intrupparsi assieme al sistema operativo e al successivo riavvio gli faccio fare una scansione solo della cartella incriminata: non trova nulla!
Ho pensato, questo è il mio guaio: penso .... che se ci fosse qualcosa di marcio nel registro, allora sempre in modalità provvisoria ho lanciato Registry Mechanic 8 (ho una licenza gratuita per 1 anno), l'ho impostato in maniera che controlli dappertutto:
C:\system volume infomation
C:\document and setting\all users\menu avvio
C:\document and setting\utente\menu avvio
C:\document and setting\utente\Desktop
C:\document and setting\utente\Documenti
C:\
E:\ (è un HD usb esterno)

Lavora e trova tante cose che non vanno
ma dopo 24 minuti non ha ancora finito di scansionare, il sistema va in palla e si intruppa anche il programma e si riavvia tutto ....

[gahan]

Ciao ivo,
prova a fare uno scan disk completo del tuo HD in questo modo:

start --> esegui --> nel box bianco digita:

chkdsk /r
NB - nota lo spazio vuoto tra "chkdsk" e "/r"

- Si aprirà una schermata in DOS e ti sarà chiesto se vuoi programmare un controllo al prossimo riavvio del sistema....rispondi digitando s seguito da INVIO
- Riavvia il sistema per far partire lo scan disk

Successivamente se disponi del CD di windows
- inseriscilo nel lettore
- start --> esegui --> nel box bianco digita

sfc /scannow
NB - nota lo spazio vuoto tra "sfc" e "/scannow"

[ivo]

in pausa pranzo eseguirò subito quanto proposto da te, ma...
dopo devo saperti dire se il pc si riavvia ancora eseguendo le scansioni varie???
Se è così potrò dirtelo solo questa sera.
Comunque ancora grazie, grazie, grazie, .... grazie, ecc...

[ivo]

@gahan
F U N Z I O N A ! ! ! ! ! ! !

Sei il mio salvatore!!!!!!!!!
Sono in forte debito con te!!!!!!!!!

Se fra qualche giorno non torno alla carica, dicendo che è tutto come prima, puoi chiudere il post e scrivere [RISOLTO]


Grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie !!!!!!!!!

[gahan]

@gahan
F U N Z I O N A ! ! ! ! ! ! !

Sei il mio salvatore!!!!!!!!!
Sono in forte debito con te!!!!!!!!!

Se fra qualche giorno non torno alla carica, dicendo che è tutto come prima, puoi chiudere il post e scrivere [RISOLTO]


Grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie, grazie !!!!!!!!!

Finalmente...c'è l'abbiamo fatta