Problema di trojan ma non posso usare hijackthis

[fsabini]

Ecco:

Logfile of HijackThis v1.99.1
Scan saved at 10.34.49, on 09/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programmi\Executive Software\DiskeeperLite\DKService.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\RealVNC\VNC4\WinVNC4.exe
C:\Programmi\IObit\Advanced WindowsCare V2 Pro\Awc.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programmi\Lavasoft\Ad-Aware 2007\Ad-Aware2007.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\DOCUME~1\Utente\IMPOST~1\Temp\Rar$EX00.165\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://my.excite.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\pchealth\helpctr\System\panels\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\pchealth\helpctr\System\panels\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Coolstreaming Tool-Bar v1.0 Toolbar - {bd0e4d83-654e-4213-965b-fcbe887061f4} - C:\Programmi\Coolstreaming_Tool-Bar_v1.0\tbCool.dll
R3 - URLSearchHook: Multi_Media toolbar - {b5146c40-189a-4311-bda9-fbae3e023187} - C:\Programmi\Multi_Media\tbMul0.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar5.dll
O2 - BHO: Multi_Media toolbar - {b5146c40-189a-4311-bda9-fbae3e023187} - C:\Programmi\Multi_Media\tbMul0.dll
O2 - BHO: Coolstreaming Tool-Bar v1.0 Toolbar - {bd0e4d83-654e-4213-965b-fcbe887061f4} - C:\Programmi\Coolstreaming_Tool-Bar_v1.0\tbCool.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar5.dll
O3 - Toolbar: Coolstreaming Tool-Bar v1.0 Toolbar - {bd0e4d83-654e-4213-965b-fcbe887061f4} - C:\Programmi\Coolstreaming_Tool-Bar_v1.0\tbCool.dll
O3 - Toolbar: Multi_Media toolbar - {b5146c40-189a-4311-bda9-fbae3e023187} - C:\Programmi\Multi_Media\tbMul0.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CleanIt] C:\Programmi\CleanIt\cleanit.exe
O4 - HKCU\..\Run: [Advanced WindowsCare V2 Pro] "C:\Programmi\IObit\Advanced WindowsCare V2 Pro\Awc.exe" /startup
O4 - HKCU\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O8 - Extra context menu item: &Windows Live Search - res://C:\Programmi\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_01\bin\npjpi160_01.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O15 - Trusted Zone: http://www.pc-localhost
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://wearefamily1993.spaces.live.com/ ... nPUpld.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 4596976736
O16 - DPF: {FE0BD779-44EE-4A4B-AA2E-743C63F2E5E6} (IWinAmpActiveX Class) - http://pdl.stream.aol.com/downloads/aol ... _en_dl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B398476E-6724-4098-8B1E-2912C19BD21B}: NameServer = 193.12.150.2 212.247.152.2
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O21 - SSODL: rdihost - {39D32252-C461-4DA9-856E-495F005CA218} - rdihost.dll (file missing)
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Programmi\Executive Software\DiskeeperLite\DKService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: VideoAcceleratorEngine - Speedbit Ltd. - C:\PROGRA~1\SPEEDB~1\VideoAcceleratorEngine.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Programmi\RealVNC\VNC4\WinVNC4.exe" -service (file missing)


Ciao

[Luke57]

CIao, apri hijackthis, premi "do a system scan only", cerca e spunta le voci seguenti:
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O21 - SSODL: rdihost - {39D32252-C461-4DA9-856E-495F005CA218} - rdihost.dll (file missing)

premi fix checked.
Poi vai qui e utilizza il tool indicato nel link, MSN fix.
http://www.p2pforum.it/forum/showpost.p ... ostcount=1

[fsabini]

Ciao, non riesco a terminare la procedura con http://www.p2pforum.it/forum/showpost.p ... ostcount=1 perchè il pc non mi fa partire MSNFix e neanche Avenger.
Ho anche scoperto di avere un bel "programmino" di nome Link Optmizer.
Spero in un aiutone che mi salvi dal formattamento.
Chiedo scusa se "rompo" e ringrazio comunque per l'eventuale aiuto.
Grazie Ciao

[Luke57]

Ciao, non riesco a terminare la procedura con http://www.p2pforum.it/forum/showpost.p ... ostcount=1 perchè il pc non mi fa partire MSNFix e neanche Avenger.
Ho anche scoperto di avere un bel "programmino" di nome Link Optmizer.
Spero in un aiutone che mi salvi dal formattamento.
Chiedo scusa se "rompo" e ringrazio comunque per l'eventuale aiuto.
Grazie Ciao

Ciao, scusa se ti "quoto", ma è per evitare confusioni con l'altro utente.
Prova ad andare qui
http://www.tgsoft.it/files/vnlt6190.exe
scarica il file, installalo e aggiornalo alle ultime definizioni. (è shareware, scade dopo 30gg.)
Se l'antivirus non si avvierà, per poterlo eseguire, devi andare all'interno della sua cartella in C:\VEXPLITE e lanciare il file GOTGSOFT.BAT.
Fai una scansione dalla modalità normale e una dalla mod.provvisoria.

Poi da qui:
http://w13.easy-share.com/1181409.html
nella cartella zippata trovi i due tool che non puoi scaricare per linkoptimizer. Eseguili e posta i report.
Comunica eventuali problemi.

[fsabini]

Ciao, ecco i risultati sono nell'ordine in cui mi hai detto di farli:
VirIT eXplorer Lite Log

[SCANSIONE DELLA MEMORIA]
VIRUS ATTIVO IN MEMORIA: Trojan.Win32.RootKit.J
[SCANSIONE DELLA MEMORIA]
OK
--------------------------------------------------------
10/06/2007 - 09:20:48

[SCANSIONE DEL REGISTRO]
OK

[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK

C:\Documents and Settings\LocalService\Impostazioni locali\Temp\1.tmp Infetto da Trojan.Win32.Agent.AOK
* * * RIMOSSO * * *
C:\WINDOWS\Downloaded Program Files\sert.exe Infetto da Trojan.Win32.Agent.AVL
Contattare il Supporto Tecnico TG Soft
C:\WINDOWS\sbkbh1.dll Infetto da BHO.LinkOptimizer.I
Contattare il Supporto Tecnico TG Soft
C:\WINDOWS\system32\con.euo Infetto da Trojan.Win32.RootKit.J
Contattare il Supporto Tecnico TG Soft

Chiavi Registro infette: 0.
Files Infetti: 4.
Files Sospetti: 0.
Files Analizzati: 54849.
Files Totali: 54849.
Chiavi Registro rimosse: 0.
Virus Rimossi: 1.

i Registro infette: 0.
Files Infetti: 3.
Files Sospetti: 0.
Files Analizzati: 54848.
Files Totali: 54848.
Chiavi Registro rimosse: 0.
Virus Rimossi: 2.


Removing rootkit file...
Gromozon rootkit component not detected - searching for other components
Scanning: C:\Programmi\File comuni
Scanning Windows Directory...Scanning Temporary files...
Trojan.Gromozon Removed!

Scan finished normally
For a detailed log, please refer to \gromozon_removal.log.


Mentre "Symantec" ha riavviato senza "dirmi" niente.

Sono andato su installazioni applicazioni ma "Internet Verifier" ( che dovrebbe essere Link Optmizer ) è ancora presente.
Non so che dire o fare se non ringraziare.

[Luke57]

Ciao, vai qui:
http://www.suspectfile.com/forum/viewtopic.php?t=466
nel link trovi systemscan (strumento di diagnosi), se ti riesce scaricarlo, lo metti sul dektop, con le applicazioni e programmi chiusi, lo avvi, spunti tutte le opzioni, premi scan now. Il report generato dalla scansione (report.txt) è nella cartella c:/suspectfile. Ogni report è archiviato come file zip, con indicazione della data e ora della scansione.
Siccome è lunghissimo, vai in un sito di hosting, tipo
http://www.easy-share.com/
carichi il file e in un successivo post mi dai il link (il primo che ti sarà fornito) per scaricarlo.
Inoltre, apri hijackthis, premi "open the misc tolls section", poi "open uninstall manager", selezioni
Internet Verifier
premi "delete this entry".

[fsabini]

Ok.
Internet Verifier non c'è più.....
Ma adesso mi sono accorto che
"AutoUpdate"
"Yahoo! Install Manager" e
Yahoo! Internet Mail "
non mi compaiono su uninstall manager di HijackThis ma non mi si disinstallano.
Boh....
Grazie non ho più parole.