Associazione file exe persa dopo malaware...

[Pikokk]

MBAM dove salva i log??

[COCCOBELLO]

aprilo
e vai alla voce log

[Pikokk]

mbam-log-2011-08-08 (01-23-36).txt

hijackthis.log

il file di registro che mi haiodetto di scaricare l'ho unito al registro seguendo i passi che mi hai detto

[COCCOBELLO]

ma niente di anomalo
dal log hai preso il bagle e altre infezioni
ma sono state rimosse

in hijackthis
fixa queste 2 voci

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"

O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe

un consiglio disinstalla PC Tools Firewall Plus scadente e piu' delle volte da problemi
lasciati il firewall di w7 nettamente superiore

l'antivirus funziona bene o da problemi?

[Pikokk]

PC Tools Firewall Plus l'ho installato solo per vedere quali applicazioni utilizzano la connessione

avira mi funziona bene

[COCCOBELLO]

PC Tools Firewall Plus disinstallalo
anche perche' di solito il bagle danneggia firewall e antivirus
il firewall di w7 e superiore


Elimina i files temporanei con CCleaner (registro compreso)
scarica CCleaner da qui
CCleaner - Standard
salvalo sul desktop
installalo
durante l'installazione ti verrà chiesto di installare Google toolbar tu non installarla
togliendo la spunta su Installa Google Toolbar gratuitamente insieme a CCleaner
e vai Avanti
Alla fine dell'installazione lascia la spunta su Esegui Ccleaner
per Aprirlo

nel menù di sinistra, clicca su Opzioni
nella finestra successiva, clicca su Impostazioni
metti la spunta alla voce Tipo cancellazione: Sicura (lenta) e nel menù a tendina seleziona la voce Metodo DOD 5220.22-M (3 passaggi)

clicca su Avanzate
togli la spunta alla voce Cancella file in Windows Temp solo se più vecchi di 24 ore

togli la spunta alla voce Chiedi se salvare un backup dei problemi del registro

togli la spunta alla voce chiudi il programma dopo la pulizia

clicca, nel menù a sinistra, su Pulizia:

windows
Internet explorer
metti la spunta su tutte le voci
Se ti da un avviso clicca OK

esplora risorse
metti la spunta su tutte le voci

sistema
metti la spunta su tutte le voci

Avanzate,
metti la spunta alle voci
Vecchi dati Prefetch e
File Log IIS
Cronologia Assistenza utente
Se ti da un avviso clicca OK

Clicca su Applicazioni: a fianco windows
metti la spunta su tutte le voci presenti
Se ti da un avviso clicca OK

clicca, in basso a sinistra, su Analizza,
attendi la fine dell'Analisi
clicca, in basso a destra, su Avvia Pulizia
attendi la fine della Pulizia

terminata la pulizia, nel menù a sinistra, clicca sulla voce Registro
metti la spunta su tutte le voci alla tua sinistra clicca su Trova Problemi

assicurati che tutte le voci abbiano la spunta

al termine della scansione clicca su Ripara selezionati e procedi alla riparazione

questoo passaggio ripetilo più volte, fino a quando non verranno rilevati più problemi da correggere fino a quando la pagina risulterà completamente vuota
ovvero clicca sul bottone Trova Problemi, per avviare la ricerca delle voci di registro corrotte Ripara selezionati
una volta terminate le operazioni, chiudi il programma

disattiva il ripristino di sistema
Clicca Start con il pulsante destro del mouse sull'icona Computer nel menù a tendina che compare cliccate su Proprietà
clicca sulla voce alla tua sinistra su protezione sistema"
Alla voce unità disponibili Seleziona il disco locale C clicca sulla voce sotto configura si aprirà una finestra e metti la spunta su Disattiva partizione di sistema
vai sotto la voce Elimina per eliminare i punti di ripristino comparirà un avviso di conferma che verranno eliminati tutti i punti di ripristino memorizzati conferma su si fai Applica ok di nuovo ok

[Pikokk]

ho notato una cosa, ora per far funzionare ed avviare tutto faccio questa procedura

avvio il pc ==> lancio il file exe.reg==> mi disconnetto dall'utente ==> riaccedo all'utente , facendo così mi avvia antivirus firewall e gli altri programmi, dopo che li ha avviati perde nuovamente l'associazione e rilancio exe.reg per ripristinarla

quindi ipotizzo ci sia qualche cosa che si avvii con windows che mi cambia l'associazione ma non ho capito cosa (qualche chiave nel registro??)

ho provato anche a bloccare l'accesso e l'esecuzione a chiunque (compreso amministratore) di regedit.exe per capire se era un file esterno che richiamava il registro ma perde sempre l'associazione

[COCCOBELLO]

no ma all'amministratore non devi negare l'accesso anzi---

inizia ha fare cio che ho scritto sopra

[Pikokk]

il ripristino del sistema già l'ho disattivato, è stata la prima cosa che ho fatto

ho fatto la pulizia con ccleaner, solo una chiave di registro compare ogni volto che analizza il registro

Estensione file non usata {80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} HKCR\{80b8c23c-16e0-4cd8-bbc3- cecec9a78b79}

[COCCOBELLO]

ccleaner lo devi usare come ti ho scritto io e ora

ok per il il ripristino del sistema
attivalo
riavvia il pc

poi lo disattivi
riavvia il pc

e lo riattivi

in ccleaner quella chiave appartiene ad avira
mettila nelle esclusioni per non farla uscire piu'

[COCCOBELLO]

c'e questo file che non mi convince
vai in c:\programdata\waj.exe
e su waj.exe
clicca su propietà
vedi se ha una firma digitale e cosa dice

[Pikokk]

come faccio a vedere se ha una firma digitale??

[COCCOBELLO]

inizia ha vedere se lo vedi quel exe
in c-programdata e se non e nascosto
poi tasto destro su waj.exe
propietà
vedi che ti dice
se appartiene ad un programma o no
vedi anche in Dettagli

[Pikokk]

non mi dice nulla di particolare, non è nascosto l'unica cosa è che mi dice che l'ultima modifica risale al 08/08/2011 alle 00:00

nella stessa cartella ci sono altri file simili

[COCCOBELLO]

se hai ancora il file di testo CFScript.txt
sul desktop
cancella il contenuto al suo interno
e ci copi e incolli lo script che vedi sotto e lo salvi
altrimenti crealo
e trascinalo sull'icona di ComboFix.
partirà la scansione attendi la fine senza toccare niente
se chiede il riavvio del pc riavvia
Posta il log aggiornato di combofix

File::
c:\programdata\diw.exe
c:\programdata\icr.exe
c:\programdata\vox.exe
c:\programdata\waj.exe

[Pikokk]

ComboFix.txt

eccolo, quei file non ci sono piu sono stati eliminati da combofix

[COCCOBELLO]

il problema persiste ancora?

[Pikokk]

si

[COCCOBELLO]

tutti quegli exe
in c programdata
mi puzzano un po sono tutti uguali data e dimensione
ad esempio il sito di .prevx
uno di questi lo da come infetto
http://translate.google.com/translate?c ... pair=en|it

secondo me gli exe sono il problema

[Pikokk]

come li tolgo?? con CFScript.txt ?? ci metto tutti i file e li faccio togliere da combofix?