problemi con CoolWebSearch

[pollicino]

Buongiorno a tutti. Ho subito un attacco dal famigerato CoolWebSearch. Non mi si schioda una maledetta about:blank dalla pagina iniziale. Inoltre, ogni tanto, senza apparente motivo, mi esce fuori il riquadro di accesso remoto (sempre con la connessione predefinita, però). Spybot, Ad Aware, CWShredder, Hijackthis niente hanno potuto: individuano il problema, ma non lo risolvono. Vi mando qualche log, sperando mi possiate aiutare a risolvere questi problemi, magari anche ricorrendo alla modifica delle chiavi di configurazione.

Scansione di Spybot:

CoolWWWSearch.Bootconf: URL di ricerca di IE (Modifica al registro, nothing done)
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Search\SearchAssistant=about:blank

CoolWWWSearch.Bootconf: Barra di ricerca di IE (Modifica al registro, nothing done)
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\Search Bar=about:blank

CoolWWWSearch.Bootconf: Barra di ricerca di IE (Modifica al registro, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Search Bar=about:blank

CoolWWWSearch.Bootconf: Pagina di ricerca di IE (Modifica al registro, nothing done)
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\Search Page=http://www.google.com

CoolWWWSearch.Bootconf: Pagina di ricerca di IE (Modifica al registro, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Search Page=http://www.google.com

CoolWWWSearch.Bootconf: URL di ricerca di IE (Modifica al registro, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search\SearchAssistant=about:blank

Scansione di Hijackthis:

R1 - HKCU\Software\Microsoft\Internet Explorer,(Default) = http://targetclicks.net/srch.php?qq=%s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\SYSTEM\DSKRFUOUI.DLL/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\SYSTEM\DSKRFUOUI.DLL/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\SYSTEM\DSKRFUOUI.DLL/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\SYSTEM\DSKRFUOUI.DLL/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\SYSTEM\DSKRFUOUI.DLL/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\SYSTEM\DSKRFUOUI.DLL/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Name - {1CE2E300-99B2-11D9-AAF2-444553540000} - C:\WINDOWS\SYSTEM\MSTMP.DLL
O2 - BHO: (no name) - {42297BCF-9A01-11D9-AAF2-F65100FEAC8F} - C:\WINDOWS\SYSTEM\DSKRFUOUI.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: FreshBar - {06ABAA2D-34AB-4902-A326-409BD9B9A7A5} - C:\WINDOWS\SYSTEM\DOCNTROP.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [IrMon] IrMon.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AtiCwd32] Aticwd32.exe
O4 - HKLM\..\Run: [AtiKey] Atitask.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 69.50.176.197,195.225.176.31
O18 - Filter: text/html - {42297BCE-9A01-11D9-AAF2-F6516FB20914} - C:\WINDOWS\SYSTEM\DSKRFUOUI.DLL
O18 - Filter: text/plain - {42297BCE-9A01-11D9-AAF2-F6516FB20914} - C:\WINDOWS\SYSTEM\DSKRFUOUI.DLL

[*~Hayabusa~*]

Guarda qui e qui. Fai quello che c'è scritto, se hai problemi riposta.

Ps. se cercavi CoolWebSearch nel forum avresti trovato la risposta in 2 secondi

[pollicino]

In realtà avevo già dato uno sguardo ai link che mi hai segnalato. Ed anche le altre discussioni su CoolWebSearch non mi hanno aiutato. Sia Spybot che CWShredder individuano il problema ma non riescono ad eliminarlo. Per quanto riguarda Hijackthis, ho eliminato più volte la voce HBO (no name) ma quella si ripresenta puntualmente alla scansione successiva. Infine non ho notato voci sospette sulle chiavi di configurazione.
Qualcuno sa darmi una dritta? Per fornire ulteriori indizi, aggiungo che la pagina iniziale somiglia molto a quella di Google, ma si chiama “Quick Web Search”, anche se sulla barra degli indirizzi appare “about:blank”.
Inoltre, spesso quando mi collego, si scollega non appena apro internet explorer.

[dado]

Ho letto su google che qcuno ha risolto semplicemente usando il ripristino di sistema ad una data precedente...

[pollicino]

scusa l'ignoranza, ma che significa ripristinare il sistema a una data precedente?

[dany]

è un metodo per tornare diciamo indietro a prima che capitasse il problema, ovvero ad una configurazione del sistema operativo precedente.
Per il metodo dipende dal sitema operativo che hai!

[pollicino]

Un momento! Penso di aver finalmente individuato l’origine del problema. Vi prego di seguirmi, così potrete darmi una mano, a prescindere dal rispristino.
Dunque, dal pannello “Trova file” ho scovato sei o sette applicazioni create nell’ultima settimana, tutte con nomi strani e inserite nella cartella “System”. Sicuramente mi sono state rifilate da qualche pirata bastardo nel corso di una navigazione. Ho rimosso manualmente tutti i file, tranne uno che si chiamava “dwozf.exe”, che non si eliminava, e ogni volta che tentavo di farlo, usciva fuori il messaggio di “Accesso negato”.
Questo file veniva evidenziato nella scansione di Hijackthis, ma neanche questo riusciva a rimuoverlo.
Ho spento e riacceso il pc, e questo è quanto che è accaduto: le applicazioni eliminate poco prima, come per magia, si sono rigenerate. Quanto all’applicazione inamovibile, ha cambiato nome, ed ora si chiama “dwepl.exe”
Come faccio a togliere di mezzo ‘sto file?

[pollicino]

Buona Pasqua a tutti.
C’è un particolare da aggiungere: ho aggiornato il mio Ad-Aware, che in effetti trascuravo da qualche settimana. Ho poi fatto la scansione, che ha rilevato diversi CoolWebSearch in azione. La cosa strana è che quando do il comando “fix”, si blocca tutto, già dalla fase "Quarantining".

[dany]

Ciao, mi dici per favore che sistema operativo hai?
Inoltre ti chiedo , visto ad-aware non era aggiornato, spy bot lo è?
Hai fatto l'aggiornamento windows update?
Sei sicuro di ciò che hai cancellato? Hai il firewall?
Scusa di tutte queste domande, ma sono utili, se vuoi risolvere il problema

[dany]

Ho controllato or ora il tuo log, e dice .... che noi hai il firewall, ma neanche l'antivirus, le cose sono tre ho non li hai o non sono attivati, oppure il programma Hijackthis è vecchio

[pollicino]

Dunque. La situazione è questa: non ho ancora né antivirus né firewall (vedrò di scaricare al più presto ZoneAlarm). Ad ogni modo, questi strumenti servono solo a prevenire, più che a tirar via 'na frittata già fatta, no?
Il pc, appena riformattato, ha un windows '98 cui non ho ancora fatto l'update.
Al momento, ho Spybot e Ad-Aware, entrambi aggiornati all'ultimo secondo.

[pollicino]

Comunque correggo una cosa. Non è che ogni tanto, appena collegato a internet, si stacca automaticamente. Mi succede una cosa, apparentemente meno grave: una volta collegato, e aperto IE, mi esce fuori il pannello di accesso remoto, come quando non è in linea. E tuttavia è ancora collegato. Infatti basta che premo invio, per far sparire il pannello, e tutto torna alla normalità.
Ad ogni modo ho fatto tutti i controlli possibili per verificare se ho un dialer. Non dovrei averlo.

[pollicino]

Chiedo scusa per il messaggio a singhiozzi. E' che le idee mi vengono così, una alla volta...
volevo aggiungere della presenza di un altro fenomeno. Di punto in bianco, nonostante li abbia cancellati diverse volte, a fine navigazione vedo comparire nella mia cartella dei preferiti un bel pacchetto di dieci siti porno.

[dany]

Ti consiglio di installare la più presto sia l'antivirus che i firewall.
Aggiorna al più presto windows.
Spy bot e ad-aware (fai una bella scansione da modalità provvisoria)
Raduna le ideee e poi dimmi come va!

[pollicino]

Credo di aver risolto buona parte dei problemi. In modalità provvisoria sono riuscito ad eliminare definitivamente il file dw…exe e tutti i suoi figliocci.
Ho eliminato il file dll da hijackthis, e infine, sempre in modalità provvisoria, ho fatto correre tutti e tre gli antispyware, che in più riprese sono riusciti a ripulire tutto.
Il risultato è che la search bar clandestina è sparita.
L’unico problema rimasto è che ogni tanto appare il pannello di accesso remoto, senza che lo chiami. E poi c'è sempre quella cosa che appena collegato mi appare il pannello e sono costretto a premere invio per farlo sparire. Adesso proverò a navigare per un po’, così verifico se mi rimanda di nuovo a qualche search bar in automatico.
Comuque seguirò tutti i consigli, grazie...

[Tomas Milian]

[quote="pollicino"]Dunque. La situazione è questa: non ho ancora né antivirus né firewall (vedrò di scaricare al più presto ZoneAlarm). Ad ogni modo, questi strumenti servono solo a prevenire, più che a tirar via 'na frittata già fatta, no? [quote]

E prevenire ti sembra una cosa da poco?

[quote="dany"]Ti consiglio di installare al più presto sia l'antivirus che il firewall.
Aggiorna al più presto windows.
[quote]

Fai assolutamente queste cose altrimenti ti ritroverai di nuovo nei casini!

[Tomas Milian]

Dunque. La situazione è questa: non ho ancora né antivirus né firewall (vedrò di scaricare al più presto ZoneAlarm). Ad ogni modo, questi strumenti servono solo a prevenire, più che a tirar via 'na frittata già fatta, no?

E prevenire ti sembra una cosa da poco?

Ti consiglio di installare al più presto sia l'antivirus che il firewall.
Aggiorna al più presto windows.

Fai assolutamente queste cose altrimenti ti ritroverai di nuovo nei casini!

[dany]

Così per sicurezza ogni tanto da start -> Programmi controlla se si è installato qualcosa di non rischiesto in esecuzione automatica; da strumenti del browser -> opzioni internet -> connessioni guarda se ci sono installate solo le tue connessioni.
Un'altro controllo che dovresti fare è con ctrl + alt + can ti fa vedere quali sono i programmi che girano in quel momento, inoltre fai tutto ciò che ti è stato consigliato e ricontrolla tutto dall'inizio in modo da verificare che non sia rimasto nulla sul tuo pc. Fammi poi sapere se hai ancora problemi.