backup in hijackthis

[rael64]

Salve, avrei un quesito da sottoporvi: nonostante abbia il segno di spunta su "make backups before fixing items" in realtà quando elimino qualcosa e poi vado su "Configuration" e poi in "backups" trovo la casella desolatamente vuota. Perchè? Ho letto la guida di hijackthis, dice che il backup è automatico (infatti c'è il segno di spunta) ma allora perchè ho l'elenco vuoto? Grazie

[rael64]

...scusate se approfitto ma vorrei anche chiedere un'altra cosa: regolarmente trovo con hijackthis vari 02-BHO con estensione .dll nella cartella system 32 . Il log file automatico dice che sono da eliminare e lo faccio regolarmente, ma questi si ripresentano con altri nomi sempre piuttosto strani . La domanda è: perchè arrivano? Dov'è il difetto? Nel firewall? (uso quello di Xp sp2)? Come fare per evitare di beccarli? Grazie

[Dylan666]

Ma a parte l'opzione che non rimane segnata, i backup vengono effettivamente creati o proprio non c'è verso?

Io proverei a disinstallare l'HijackThis e a rimetterlo da capo, hai visto mai che si fosse perso qualche chiave.

Per o BHO: probabilmente non elimini tutto, se sono sempre le stesse hai all'avvio qualche spyware sotto forma di EXE o DLL che li ricrea. Ne hai la conferma se riappaiono dopo una eliminazione semplicemente riavviando il pc, senza connetterlo alla rete.

[amvinfe]

Qual è il percorso dell'eseguibile di HJT?
Nel caso, affinchè vengano creati in modo corretto i files di backup, l'eseguibile di HJT va inserito all'interno di una nuova cartella che chiamerai ad es. HJT e collocata in C:\Programmi, tutto questo ovviamente prima dello scan e delle procedure di rimozione.

[Dylan666]

Mica ho capito... perché mai uno dovrebbe mettere l'eseguibile in Programmi? Tanto l'HijackThis crea la cartella "backups" in in qualunque cartella sia stato messo l'exe del software e le voci vengono importate e esportate dal registro lo stesso...

[rael64]

dunque, ho messo l'eseguibile in una nuova cartella creata appositamente in programmi: spero così di riuscire a creare i backups. Farò sapere.
Per Dylan: forse non mi sono spiegato bene ma l'opzione è segnata, sono i backups che non si creano. Sono interessato alla questione perchè dalla scansione saltano fuori alcuni file 04-HKLM (sistray.EXE, netcom.exe, wavdriver.exe e languard.exe) che sono sconosciuti. Ho fatto una ricerca con google ma l'inglese lo capisco poco e quindi ho paura di eliminarli senza prima aver risolto la questione dei backups. Voi non è che sapete dirmi qualcosa di quei file che vi ho indicato sopra?
Questione BHO: ho già installato spywareblaster ma entrano ugualmente. Una volta eliminati, riavviando il pc sono effettivamente scomparsi. Ma mi basta connettermi per un po' in internet che ne becco subito un altro diverso. Ora io mi chiedo: è sufficiente eliminarli con hijackthis o sarebbe meglio andare alla ricerca della causa che li fa entrare?
Grazie per le risposte.

[Dylan666]

1) se cercassi i nomi dei file che non conosci qui avresti già più informazioni di quanto pensi:

2) alla fine della mia guida c'è un comodo link dove farsi analizzare i log in italiano...
http://hijackthis.de/index.php?langselect=italian

3) A meno che tu non abbia smanettato male con le ActiveX non è detto che gli spyware "rientrino" ma è più probabile che tu non li abbia eliminati completamente e quindi si rigenerino.

PS: ora ho capito la storia della cartella! L'unica limitazione è che non si può usare HJT dai file temporanei, ma va scaricato e poi aperto (non eseguito direttamente)

[Dylan666]

2) alla fine della mia guida c'è un comodo link dove farsi analizzare i log in italiano...
http://hijackthis.de/index.php?langselect=italian

Errore mio, non avevo linkato la guida
http://www.pc-facile.com/guide.php?t=148946

[rael64]

2) alla fine della mia guida c'è un comodo link dove farsi analizzare i log in italiano...

*** l'ho già fatto, ma quando mi dice che le applicazioni o i processi sono sconosciuti, cosa devo fare, eliminarli o no?[/quote]

[Dylan666]

nella guida c'è scritto pure quello... si va semplicemente a tentativi, a meno che Google non dia suggerimenti utili (anche in italiano si trovano qualche volta...).

Poi è chiaro che se il log lo trascrivessi qui ti si potrebbe anche dare un consiglio...

[amvinfe]

scusa, curiosità, ma perchè non posti il log di HJT?

[rael64]

lo faccio subito:

Logfile of HijackThis v1.99.0
Scan saved at 23.45.16, on 02/01/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\AVPersonal\AVGUARD.EXE
C:\Programmi\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\htpatch.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\System32\sistray.EXE
C:\Programmi\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\AVPersonal\AVSched32.EXE
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\StopDialers\StopDialers.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\HJT\HijackThis.exe

O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [LanGuard] "C:\WINDOWS\languard.exe"
O4 - HKLM\..\Run: [wavdriver] "C:\WINDOWS\wavdriver.exe"
O4 - HKLM\..\Run: [netcom] C:\WINDOWS\netcom.exe

Grazie

[Dylan666]

Via questi:

C:\WINDOWS\System32\sistray.EXE

O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [LanGuard] "C:\WINDOWS\languard.exe"
O4 - HKLM\..\Run: [wavdriver] "C:\WINDOWS\wavdriver.exe"
O4 - HKLM\..\Run: [netcom] C:\WINDOWS\netcom.exe

[rael64]

grazie, provvedo.

[Dylan666]

Aggiungo le voci sono di programmi noti, ma se ce li hai messi tu o no io non lo posso sapere, potrebbero essere malware che sfruttano omonimie.
Ma coi backup hai risolto? Altrimenti creali a mano prima di fare qualunque cosa.

Poi mi chiedo se hai fatto una scansione con AD-aware o Spybot.

[amvinfe]

non è che sia un log tanto normale, i BHO (Browser Helper Object) quelli che tu elimini, non sempre sono da eliminare, un BHO è in pratica un assistente del browser, implementa la funzionalità di IEcome ad es. le barre. Ora è vero che vengono usati anche e soprattutto da spyware e comunque malware, ma da qui ad eliminarli così solo perchè BHO non è il massimo
questo ad esempio è un valore riconducibile ad acrobat
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
questo a spybot
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\Programmi\Spybot - Search & Destroy\SDHelper.dll

come vedi non sempre sono da eliminare.

Il tuo log è un tantino "vuoto" nella parte dei BHO, delle toolbar ad esempio, credo tu abbia eliminato forse troppa roba

[amvinfe]

Via questi:

C:\WINDOWS\System32\sistray.EXE

O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\System32\sistray.EXE
O4 - HKLM\..\Run: [LanGuard] "C:\WINDOWS\languard.exe"
O4 - HKLM\..\Run: [wavdriver] "C:\WINDOWS\wavdriver.exe"
O4 - HKLM\..\Run: [netcom] C:\WINDOWS\netcom.exe

scusa, mi spieghi perchè dovrebbe togliere ad esempio systray.exe 8System Tray icon for SiS based graphics)
languard.exe invece è parte di un adware downloader

[Dylan666]

si va per tentativi: che il sistray.EXE sia innocente è probabile, ma spero che se è una cosa che ha installato me lo dica... comunque era già in programma di farglielo rimettere alla fine se ora fosse andato tutto ok.

[Dylan666]

Mi spiego meglio: che NON fosse uno spyware lo so, ma vorrei che pure l'utente ci arrivasse a capirlo andando per sani tentativi e ragionando su quello che installa e quello che si ritrova nel pc contro la sia volonà

Della serie: dai un pesce a un'uomo o insegnagli a pescare...

[amvinfe]

si va per tentativi: che il sistray.EXE sia innocente è probabile, ma spero che se è una cosa che ha installato me lo dica... comunque era già in programma di farglielo rimettere alla fine se ora fosse andato tutto ok.

beh, con HJT non si dovrebbe mai andare a tentativi, opinione mia ovvio, il file systray.exe in system32 (avendo lui XP) e con quel nome (SiS Tray) è più che legittimo. Se tu hai XP ti renderai conto d'averlo anche tu e nel medesimo percorso
c:\windows\system32