Chiave registro infetto da BHO.SGPSA.A

[plus81]

Fatto tutto.
Ecco il log di Avira Antivir:
AVSCAN-20100903-195638-1A04DB7C.LOG

Ecco il log di HJT:
hijackthis.log

Adesso mi sa che spengo. Con questo problema mi sto esaurendo. GRAZIE mille per l'aiuto Riverside. Ci risentiamo domani.

[Riverside]

rilancia Hijackthis e:
● spunta la casellina fianco di ogni singola voce che ti indicherò sotto
● una volta spuntate le voci:
● chiudi tutte le applicazioni aperte
● chiudi tutte le pagine del browser aperte
● in Hijkackthis fixa le voci cliccando su Fixchecked

Queste le voci da fixare:

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Search Helper - {6ebf7485-159f-4bff-a14f-b9e3aac4465b} - C:\Programmi\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030d464-4c02-4abf-8ecc-5164760863c6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programmi\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\5.5.5126.1836\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: Windows Live Toolbar Helper - {e15a8dc0-8516-42a1-81ea-dc94ec1acf10} - C:\Programmi\Windows Live\Toolbar\wltcore.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programmi\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [VirtualCloneDrive] "C:\Programmi\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s
O4 - HKLM\..\Run: [ulead autodetector v2] C:\Programmi\File comuni\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [smserial] sm56hlpr.exe
O4 - HKLM\..\Run: [remotecontrol] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [nerofiltercheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [controllo del calendario di ulead photo express] C:\Programmi\Ulead Systems\Ulead Photo Express 5 SE\calcheck.exe
O4 - HKLM\..\Run: [atipta] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [HitmanPro35] "C:\Programmi\Hitman Pro 3.5\HitmanPro35.exe" /scan:boot
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\File comuni\Java\Java Update\jusched.exe"
O4 - HKCU\..\Run: [VeohPlugin] "C:\Programmi\Veoh Networks\VeohWebPlayer\veohwebplayer.exe"
O4 - HKCU\..\Run: [softauto.exe] "C:\Programmi\Creative\Software Update 3\SoftAuto.exe"
O4 - HKCU\..\Run: [launchlist] C:\Programmi\Pinnacle\Studio 11\LaunchList2.exe
O4 - HKCU\..\Run: [ea core] "C:\Programmi\Electronic Arts\EADM\Core.exe" -silent
O4 - HKCU\..\Run: [alcoholautomount] "C:\Programmi\Alcohol Soft\Alcohol 120\axcmd.exe" /automount
O4 - Global Startup: Color Calibration.lnk = ?
O4 - Global Startup: MagicTune 3.5.lnk = ?
O4 - Global Startup: McAfee Security Scan Plus.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: NaturalColorLoad.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE

Poi vedo che hai installato VeohWebPlayer che è un portatore di malware: disinstalla quella robaccia.

Dopo aver disinstallato Veoh, esegui una pulizia con CCleaner (sia pulizia normale che pulizia del registro come ti avevo già spiegato prima) ed allega un nuovo log di Hijackthis.

[plus81]

Ho fatto tutto ciò che mi hai detto. Ecco il forumlink del file HJT:
hijackthis.log.

[Riverside]

Plus, il tuo computer è sempre un pozzo di sorprese
Intanto fixa questa voce:
O4 - HKCU\..\Run: [tomtomhome.exe] "C:\Programmi\TomTom HOME 2\TomTomHOMERunner.exe"

Poi fammi capire un paio di cose:
1) quel computer è un fisso o un portatile?
2) vedo tracce di McAfee:

O23 - Service: McAfee Security Scan Component Host Service (McComponentHostService) - McAfee, Inc. - C:\Programmi\McAfee Security Scan\2.0.181\McCHSvc.exe

vorrei capire se è stato disinstallato o meno.
3) hai ancora messaggi di errore in avvio del sistema o altri problemi?

[plus81]

Il computer è un fisso.
Ho visto in Installazioni Applicazioni che è presente il seguente programma:
McAfee Security Scan Plus.
Quando ho acceso il pc stamattina si è presentato sempre il solito problema all'avvio (ha impiegato circa 10 minuti per caricare il sistema operativo), in più mi è uscito il solito messaggio di errore:
Debug assertion Failed!
Program: C:\Programmi\SEC\Natural Color\NatuarlColorLoad. exe
etc. etc.
che già avevo riportato in precedenza.

Poi ho fatto le modifiche che mi hai suggerito però ancora non l'ho riavviato. Lo riavvio?

[Riverside]

Ho visto in Installazioni Applicazioni che è presente il seguente programma:
McAfee Security Scan Plus.

Ok, facciamo fuori McAfee:
1) scarica il tool di rimozione: clicca qui per il download
2) accertati che McAfee non sia in esecuzione sulla traybar (a destra accanto all'orologio: se lo fosse, cessa l'esecuzione)
3) avvia il tool di rimozione

Al termine allega un nuovo log di Hijckthis

Program: C:\Programmi\SEC\Natural Color\NatuarlColorLoad. exe

che programma è quel SEC?

[plus81]

Ho rimosso Macfee con il tool da te indicato e al termine mi ha fatto riavviare il PC.
All'avvio di windows si è ripresentato sempre il solito problema(circa 10 minuti per caricare), tuttavia il messaggio di errore che ti ho citato prima relativo a "NaturalColor" non è uscito.
Ecco il log di HJT come da te richiesto:
hijackthis.log

P.S. Il programma SEC\NaturalColor dovrebbe essere un programma per la gestione dei colori, non vorrei sbagliarmi ma sembra che mi sia stato installato in seguito all'acquisto del nuovo monitor. Scusami se non sono più preciso ma non ricordo bene.

[Riverside]

Ho rimosso Macfee con il tool da te indicato e al termine mi ha fatto riavviare il PC.

Qualcosa non quadra: vai in Installazione Applicazioni e controlla se è rimasto installato qualche riferimento a McAfee: se si, disinstalla.

All'avvio di windows si è ripresentato sempre il solito problema(circa 10 minuti per caricare)

questo problema lo vediamo dopo (ci sarà da deframmentare l'HD.
Ne aprofitto per farti un'altra domanda: su quel PC sono presenti 2 HDisk? (ho notato una anomalia nel report di Avira che, tra l'altro, non hai configurato in maniera corretta ma, per ora va bene cosi)).

tuttavia il messaggio di errore che ti ho citato prima relativo a "NaturalColor" non è uscito.

Un'altra piccola rogna risolta.

[plus81]

In Installazione applicazioni c'era di nuovo McAfee Scan Plus, l'ho disinstallato.
Sul mio PC c'è solo un hard-disk partizionato in due unità C e D.

P.S. La prima volta che ho insatallato AVRIA l'ho configurato seguendo la guida. Mi dispiace se ho fatto qualche errore. Mica devo riconfigurarlo ogni volta che lo lancio?

[Riverside]

In Installazione applicazioni c'era di nuovo McAfee Scan Plus, l'ho disinstallato.

Perfetto.

La prima volta che ho insatallato AVRIA l'ho configurato seguendo la guida. Mica devo riconfigurarlo ogni volta che lo lancio?

No. Comunque appena ho tempo, pubblico sul forum una guida di configurazione (e potrai correggere la configurazione).
Allora, ricapitoliamo:
1) l'infezione è risolta;
2) l'errore di debug in avvio è risolto;
3) il computer ora è aggiornato (a parte il SP3);

Restano alcune piccole cose da sistemare:
A) ho visto che su quel computer è installato Alcohol 120: se è un programma che non usi, disinstallalo;
B) durante l'installazione di CCleaner hai installato anche la toolbar di Google: vai in Installazione Applicazioni e disinstallala;
3) resta un problema che voglio risolvere (ma ti spiego dopo) ed il problema dei driver, che vediamo solo alla fine.

Ora, dopo aver provveduto alle questioni di cui al punto A) e B), prosegui nel modo seguente:

Esegui uno Scandisk:
● Risorse del computer
● tasto destro del mouse su Disco Locale C:
● Proprietà
● Strumenti
● Esegui Scandisk
● spunta le voci Correggi automaticamente gli errori del file System e Cerca Settori danneggiati e lancia lo scandisk
● verrà pianificato lo scandisk e ti verrà chiesto di riavviare il sistema
● dopo il riavvio, verrà eseguito automaticamente lo scandisk (si compone di 5 fasi distinte, la 4^ e la 5^ approfondite)
● lascia che tutte le fasi vengano completate (il computer si avvierà da solo), non avere fretta perché l'operazione potrebbe durare circa un'ora e, soprattutto, non la interrompere.

Una volta eseguito lo scandisk esegui una deframmentazione del disco:
● Start
● tutti i Programmi
● Accessori
● Utilità di Sistema
● clicca sulla voce Utilità di deframmentazione dischi e lancia la deframmentazione

Infine, sempre da Utilità di Sistema, esegui una Pulizia Disco

Concluse le operazioni, riavvia il sistema e dimmi se il rallentamento in fase di avvio si è ridotto.

[plus81]

C'è un piccolo problema. Il programma Alchol non me lo fa disinstallare.
Sono andato in "Installazioni applicazioni " e non è presente.
Ho cercato in C:\Programmi\Alcohol Soft\Alcohol 120 ed ho cliccato su uninst.exe, mi esce il seguente messaggio di errore:
" Setup is unable to validate installation."
Come posso procedere?

[Riverside]

Vai avanti con il resto, poi risolveremo l'ennesima rogna installandolo ed disinstallando

[plus81]

Riverside qui le rogne si moltiplicano, non mi fa fare lo scandisk.
Ho fatto come mi hai detto finoalla spunta delle voci:
[list=]Correggi automaticamente gli errori del file system[/list]

Cerca i settori danneggiati e tenta il ripristino

Dopo aver spuntato queste due voci ho cliccato sul pulsante avvia, ma mi esce il seguente messaggio:

" Impossibile ottenere accesso esclusivo ad alcuni file di Windows sul disco. Il controllo del disco non può pertanto essere effettuato. E' possibile accedere ai file soltanto riavviando Windows. Pianificare il controllo del disco al prossimo riavvio del sistema?"
Ci sono due pulsanti "SI" e "NO".

Io ho cliccato su "SI", ma non è successo nulla, così ho riavviato il sistema sperando che avviasse in automatico lo scandisk, ma mi sbagliavo. Quando finalmente il PC si è riavviato (dopo la solita attesa), ho ripetuto il procedimento cliccando questa volta su "NO", ma anche questa volta lo scandisk non è stato eseguito.

Non so come fare.

[Riverside]

Quel computer inizia a starmi un pochino sulle scatole
Vai avanti con il resto, per ora.

[Riverside]

Poi, proviamo ad eseguire un Chkdsk (inizio a pensare che l'hd sia danneggiato), quindi segui questo procedimento (combinazioni sono diverse, provale tutte):

Fare clic sul pulsante Start e scegliere Esegui.
Nella casella Apri digitare cmd e premere INVIO.

Attenersi a una delle seguenti procedure:
Per eseguire Chkdsk in modalità di sola lettura, al prompt dei comandi digitare chkdsk e premere INVIO.

Per correggere gli errori senza analizzare il volume e rilevare eventuali settori danneggiati, al prompt dei comandi digitare chkdsk volume:/f e premere INVIO.

Nota: Se uno o più file dell'unità disco rigido sono aperti, verrà visualizzato il seguente messaggio:
Impossibile eseguire Chkdsk. Il volume è in uso da un altro processo. Programmare il controllo di questo volume all'avvio successivo del sistema? (S/N)

Premere S, quindi INVIO per pianificare la verifica del disco e riavviare il computer per iniziare la verifica.

Per correggere gli errori, individuare settori danneggiati e ripristinare informazioni leggibili, al prompt dei comandi digitare chkdsk volume:/r e premere INVIO.

Nota: Se uno o più file dell'unità disco rigido sono aperti, verrà visualizzato il seguente messaggio:
Impossibile eseguire Chkdsk. Il volume è in uso da un altro processo. Programmare il controllo di questo volume all'avvio successivo del sistema? (S/N)
Premere S, quindi INVIO per pianificare la verifica del disco e riavviare il computer per iniziare la verifica.

[plus81]

In utilità di sistema non c'è il programma per la deframmentazione e quindi non ho potuto farla.
Ho eseguito la pulizia disco e riavviato il sistema. All'avvio di windows si è ripresentato il solito problema (attesa di 10 minuti), ed in più mi è uscito il seguente messaggio:

Exception in modul AVGNT.EXE (09.00.00.12)
Plugin: General (Page=1)
Function: systrayEntryOnRefresh
Exception: ACCESS_VIOLATION (0xc0000005) at address 0x00d0461e
Extended information:
Product: Avira Antivir Personal-Free Antivirus (IT), 24 Operating System: Windows XP (ServicePack2) (5.1.2600)

P.S. Mi rendo conto di averti fatto perdere molto tempo con questo mio topic e mi dispiace, sto iniziando a perdere le speranze anche io. Adesso devo allontanarmi dal PC, ma appena ritorno continuerò con gli ulteriori suggerimenti che mi hai dato. Se ritieni che il problema sia troppo complicato da risolvere fammi sapere che abbandono tutto. GRAZIE Ancora. CIAO

[Riverside]

In utilità di sistema non c'è il programma per la deframmentazione e quindi non ho potuto farla.

Stai scherzando???

P.S. Mi rendo conto di averti fatto perdere molto tempo con questo mio topic e mi dispiace, sto iniziando a perdere le speranze anche io.

Ma no, mica ho perso tempo, mi sarebbe piaciuto sistemare tutto quel caos ma, a questo punto, sono giunto alla conclusione che quel computer ti stia, lentamente, abbandonando; diversi problemi li avevo già notati prima (ma speravo si correggessero man mano), uno serio è questo, per esempio:

[b]1° log di Avira[/b]:

Inizia con la scansione di 'C:\'
C:\pagefile.sys
[AVVISO] Impossibile aprire il file!
[NOTA] Questo è un file di sistema di Windows.
[NOTA] Impossibile aprire questo file per la scansione.
C:\Documents and Settings\Davide\Dati applicazioni\Sun\Java\Deployment\cache\6.0\34\7d51b6a2-68bbf908
[0] Tipo di archivio: ZIP
--> javajava/Java.class
[RILEVAMENTO] Si tratta del cavallo di Troia TR/Dldr.Java.OpenConnection.AQ
[NOTA] È stato creato un backup con nome '4cb60652.qua' ( QUARANTENA )
[NOTA] Il file è stato eliminato.
C:\Documents and Settings\Davide\Dati applicazioni\Sun\Java\Deployment\cache\javapi\v1.0\jar\Java.jar-40e62b0f-17a48ae1.zip
[0] Tipo di archivio: ZIP
--> javajava/Java.class
[RILEVAMENTO] Si tratta del cavallo di Troia TR/Dldr.Java.OpenConnection.AQ
[NOTA] È stato creato un backup con nome '4cf70660.qua' ( QUARANTENA )
[NOTA] Il file è stato eliminato.
C:\Documents and Settings\Generoso\Documenti\nolimitcracker.zip
[0] Tipo di archivio: ZIP
--> mod.dll
[RILEVAMENTO] Contiene il modello di rilevamento del programma ingannevole JOKE/VB.K
[NOTA] È stato creato un backup con nome '4ced0995.qua' ( QUARANTENA )
[NOTA] Il file è stato eliminato.
C:\sanpcm\contreg.dll
[RILEVAMENTO] Contiene il modello di rilevamento del programma SPR/KeyLogger.UN
[NOTA] È stato creato un backup con nome '4cef205c.qua' ( QUARANTENA )
[NOTA] Il file è stato eliminato.
C:\System Volume Information\_restore{BDA3D18B-D7A2-4B19-AAB1-4C174589C296}\RP23\A0011220.dll
[RILEVAMENTO] Contiene il modello di rilevamento del programma SPR/KeyLogger.UN
[NOTA] È stato creato un backup con nome '4cb12069.qua' ( QUARANTENA )
[NOTA] Il file è stato eliminato.
Inizia con la scansione di 'D:\'
Il percorso D:\ non può essere trovato!
Errore di sistema [2]: Impossibile trovare il file specificato.
==================================================================
2° log di avira:

Attenzione: il caricamento del motore non è riuscito. La scansione è stata avviata con la copia di backup del motore.

Avira AntiVir Personal
Data del file di report: venerdì 3 settembre 2010 19:56
Inizia con la scansione di 'C:\'
C:\pagefile.sys
[AVVISO] Impossibile aprire il file!
[NOTA] Questo è un file di sistema di Windows.
[NOTA] Impossibile aprire questo file per la scansione.
Inizia con la scansione di 'D:\'
Il percorso D:\ non può essere trovato!
Errore di sistema [2]: Impossibile trovare il file specificato.
==================================================================
ovvero il fatto che l'antivirus non abbia accesso alla seconda partizione disco per scansionarla, perché non la trova, è un problema serio (aldilià dei virus trovati nella prima scansione, tra i quali un Keylogger.

Se a questo sommiamo gli altri diversi problemi, la soluzione inevitabile si chiama formattazione e reinstallazione, da zero, del sistema operativo, dei driver e di tutti i software.

[plus81]

Per quanto riguarda l'accesso all'altra unità (D) credo sia dovuto al fatto che su di essa è presente un altro sistema operativo e cioè Fedora. Quando avvio il pc posso scegliere se far partire Windows o Fedora.

Per quanto riguarda il resto dei problemi quindi mi consigli di formattare?

[Riverside]

Per quanto riguarda l'accesso all'altra unità (D) credo sia dovuto al fatto che su di essa è presente un altro sistema operativo e cioè Fedora. Quando avvio il pc posso scegliere se far partire Windows o Fedora.

Questo avresti dovuto almeno dirlo prima (non sarei diventato matto a capire il perché di certe anomalie)

Per quanto riguarda il resto dei problemi quindi mi consigli di formattare?

Con tutti i problemi che, man mano solo venuti alla luce, lo ritengo inevitabile (almeno, io non ho piu strumenti ed idee per risolverli).
Quel che conta è che tu abbia sottomano una copia di Windows XP ed un CD contenente i driver (e qui, credo si ponga un serio problema, visto che XP non è originale e, presumo, un CD dei driver non lo hai).
Ma per i driver, direi che il problema è minore (si tratta sempre di un computer datato e quindi, saranno un paio quelli che non verranno riconosciuti in fase di installazione del sistema ..... quindi li cercheremo).
Fammi sapere come intendi proseguire e sono sempre disponibile a offrirti il mio aiuto.

[plus81]

Riverside innanzitutto ti ringrazio per tutto l'aiuto che mi hai dato fino a questo momento. Anche se non siamo riusciti risolvere ho comunque appreso molte cose che prima non sapevo ed abbiamo fato anche un bel pò di pulizia delle infezioni. Mi scuso per la mia mancanza riguardo alla presenza di due sistemi operativi, ma non sapevo potesse essere importante in quanto non ero a conoscenza dell'anomalia relativa all'accesso dell'unità D. Per il momento non posso dedicare ulteriore tempo a questo pc per problemi personali. Appena deciderò cosa fare ti farò sapere e sarò lieto e grato di accettare il tuo aiuto.

P.S. Volevo dirti che ho eseguito le tue istruzioni utilizzando il comando chkdsk ma il problema all'avvio (attesa 10 minuti è sempre lo stesso). Al momento il pc sembra funzionare bene a parte questo problema, quindi mi chiedo, se in modalità provvisoria questo problema non si presenta, cos'è che differisce tra modalità provvisoria e modalità normale che mi porta questo problema? Ripeto che non sono un esperto di informatica, ma se riuscissimo a capire quale tra le cose attive in modalità normale mi porta questo problema forse potrei evitare di formattare? Per il momento resto con questo dubbio. SALUTI.