Un PERICOLOSO INTRUSO in ACCESSO REMOTO

[porcelain]

Ciao a tutti.
Ho un problema abbastanza grave.
Da qualche giorno quando accendevo il PC sentivo che il modem (56 K) stava già componendo un numero senza che io avessi fatto/toccato nulla... Ovviamente ho subito spento il modem e ho controllato il contenuto di Accesso remoto e ho scoperto che c'era una fantomatica Connessione Predefinita oltre a quella che uso abitualmente. L'ho eliminata immediatamente, ma ogni volta che riaccendo il pc la ritrovo sempre là...
Inoltre mi appare sempre una finestra "Private Zone... Hai attivato il servizio 24 ore se vuoi connetterti paghi 300 eurocent al minuto etc... " con opzione finale SI / NO e io l'ho sempre chiusa con CTRL+ALT+CANC senza selezionare nulla.
Spero di aver spiegato con chiarezza il mio problema.

Confido nel vostro aiuto.
TIA!

P.

[porcelain]

Devo aggiungere anche che nel frattempo:

- il pc è abbastanza lento, soprattutto I.E.

- ho scaricato SpyBot Search&Destroy, ho fatto due scansioni e non è cambiato nulla

[fabrizius]

posta un log hijackthis,
se non sai come si fa guarda qui:http://www.pc-facile.com/guide/guida_hijackthis/

ciao

[fabrizius]

elimina la connessione,fai una ricerca nel sistema ed elimina tutti i file con lo stesso nome della connessione,di solito i dialer si installano in C:/Windows, ma vengono creati anche altri file... (in Xp alcuni file con estensione “.pf” nella directory C:/Windows/Prefetch).

[porcelain]

Ecco:

Logfile of HijackThis v1.99.1
Scan saved at 13.57.38, on 04/01/80
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\MDM.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\CMMPU.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGCC.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGEMC.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGAMSVR.EXE
C:\WINDOWS\LOADQM.EXE
C:\WINDOWS\SYSTEM\SYSMON.EXE
C:\WINDOWS\SYSTEM\PAYTIME.EXE
C:\PROGRAMMI\FREEPOPS\FREEPOPSD.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMMI\MSN MESSENGER\MSNMSGR.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F1 - win.ini: run=C:\WINDOWS\SYSTEM\cmmpu.exe
O1 - Hosts: 127.0.0.5 makethemcry.com
O1 - Hosts: 127.0.0.5 loudcash.com
O1 - Hosts: 127.0.0.5 iframestat.com
O1 - Hosts: 127.0.0.5 toolbarpartner.com
O1 - Hosts: 127.0.0.5 hqcash.com
O1 - Hosts: 127.0.0.5 verybigcash.com
O1 - Hosts: 127.0.0.5 makethemcry.com
O1 - Hosts: 127.0.0.5 moviepartnership.com
O1 - Hosts: 127.0.0.5 callmachine.com
O1 - Hosts: 127.0.0.5 regcash.com
O1 - Hosts: 127.0.0.5 toolbarpartner.com
O1 - Hosts: 127.0.0.5 klikrevenue.com
O1 - Hosts: 127.0.0.5 p2dll.com
O1 - Hosts: 127.0.0.5 t73.com
O1 - Hosts: 127.0.0.5 http://www.makethemcry.com
O1 - Hosts: 127.0.0.5 http://www.loudcash.com
O1 - Hosts: 127.0.0.5 http://www.iframestat.com
O1 - Hosts: 127.0.0.5 http://www.toolbarpartner.com
O1 - Hosts: 127.0.0.5 http://www.hqcash.com
O1 - Hosts: 127.0.0.5 http://www.verybigcash.com
O1 - Hosts: 127.0.0.5 http://www.makethemcry.com
O1 - Hosts: 127.0.0.5 http://www.moviepartnership.com
O1 - Hosts: 127.0.0.5 http://www.callmachine.com
O1 - Hosts: 127.0.0.5 http://www.regcash.com
O1 - Hosts: 127.0.0.5 http://www.toolbarpartner.com
O1 - Hosts: 127.0.0.5 http://www.klikrevenue.com
O1 - Hosts: 127.0.0.5 http://www.p2dll.com
O1 - Hosts: 127.0.0.5 http://www.t73.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGCC.EXE /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGEMC.EXE
O4 - HKLM\..\Run: [AVG7_AMSVR] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGAMSVR.EXE
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [Systems] C:\WINDOWS\SYSTEM\sysmon.exe
O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\SYSTEM\ibm00001.exe"
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Startup: FreePOPs.lnk = C:\Programmi\FreePOPs\freepopsd.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll

[porcelain]

http://hijackthis.de/index.php#anl

[Luke57]

Ciao, prima di tutto metti l'eseguibile di hijackthis (.exe) in una cartella del diso fisso, tipo C\HJT, ( no nel desktopo come hai fatto tu) in modo che il programma possa fare un backup delle voci eliminate.Ravvia il computer in modalità provvisoria
http://service1.symantec.com/SUPPORT/IN ... 6100705924)
Apri hijackthis, premi " do a system scan only", cerca e metti il segno di spunta alle seguenti voci):
C:\WINDOWS\SYSTEM\PAYTIME.EXE
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
tutte le VOCI 01
O4 - HKLM\..\Run: [Systems] C:\WINDOWS\SYSTEM\sysmon.exe
O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\SYSTEM\paytime.exe
O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\SYSTEM\ibm00001.exe"
premi fix checked
poi rendi visibile da esplora risorse i file e le cartelle nascoste (strumenti> Opzioni Cartella > Visualizzazione, metti la spunta a “Visualizza file e cartelle nascoste”togli la spunta a nascondi file di sistema (consigliato).
cerchi e, se presenti, elimini questi file:
C:\WINDOWS\SYSTEM\paytime.exe
C:\WINDOWS\SYSTEM\sysmon.exe
C:\WINDOWS\SYSTEM\ibm00001.exe"
c:\secure32.html
Elimini tutti i file temporanei di windows (temp e tmp --->da start>cerca>tutti i file e cartelle, copi e incolli *.temp;*.tmp, ed elimini tutti quelli trovati, poi elimini i file temporanei di IE, cookies , svuoti il cestino. Su pannello di controllo, installazioni\applicazioni, rimuovi tutti i programmi, se ci sono, non installati da te Fai una scansione antivirus con antivirus aggiornato. Posta nuovo log

[porcelain]

Carissimo LUKE57, sei stato eccezionale, grazie!!! Ho cercato di seguire alla lettera tutte le tue indicazioni e ti posso dire questo:

- secure.html non si trova facendo cerca dal menu start
- due file *.tmp non li elimina, mi dice 'accesso negato'
- in pannello di controllo penso che sia tutto ok, c'è solo una cosa che mi lascia perplessa, si chiama 'origini dati ODBC 32 bit'... ma credo me l'abbia installata il tecnico del pc tempo fa
- appena ho riavviato il computer normalmente, mi è apparsa la finestra 'impossibile trovare ibm00001'
- da quando ho iniziato ad avere problemi, quando avvio il pc devo sempre premere 'F1 to resume', altrimenti non si avvia.

Ed ora ecco il nuovo log:

Logfile of HijackThis v1.99.1
Scan saved at 0.02.39, on 04/01/80
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\MDM.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\CMMPU.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGCC.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGEMC.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGAMSVR.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMMI\MSN MESSENGER\MSNMSGR.EXE
C:\PROGRAMMI\FREEPOPS\FREEPOPSD.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\DOCUMENTI\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F1 - win.ini: run=C:\WINDOWS\SYSTEM\cmmpu.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGCC.EXE /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGEMC.EXE
O4 - HKLM\..\Run: [AVG7_AMSVR] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGAMSVR.EXE
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [Machine Debug Manager] C:\WINDOWS\SYSTEM\MDM.EXE
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Startup: FreePOPs.lnk = C:\Programmi\FreePOPs\freepopsd.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll

[Luke57]

Ciao, dal log secondo me non si evidenziano più minacce attive.

[lucas/s]

Ciao,scaricati questo programmino
http://www.billsway.com/vbspage/vbsfiles/RegSrch.zip
Estrailo in una nuova cartella
Apri la cartella e avvia il file .vbs nella casellina inserisci ibm00001 e clicca su OK attendi pochi minuti,avrai un risultato,salvalo e postalo nella tua risposta,grazie ciao

PS:Essendo uno script l'antivirus potrebbe bloccarlo perchè ritenuto maligno,se ti capita prosegui con l'esecuzione dello script o disabilita momentaneamente il blocco degli script

[lucas/s]

Probabilmente lo script non gira sul tuo sistema operativo,se così fosse usa un altro programma
http://www.bleepingcomputer.com/files/s ... search.zip
avvia l'eseguibile e inserisci lo stesso nome da ricercare clicca su ok e attendi il log verrà salvato nella cartella dove è presente l'eseguibile

[porcelain]

Ciao lucas/s!
Ho scaricato bleepingcomputer, ecco il log:

REGEDIT4

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.0.1

; Results at 04/01/80 0.10.23 for strings:
; 'ibm00001'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Doc Find Spec MRU]
"h"="ibm00001.exe"

; End Of The Log...

Cmq le mie perplessità restano ancora queste:
- due file *.tmp non li elimina, mi dice 'accesso negato'
- in pannello di controllo penso che sia tutto ok, c'è solo una cosa che mi lascia perplessa, si chiama 'origini dati ODBC 32 bit'... ma credo me l'abbia installata il tecnico del pc tempo fa
- da quando ho iniziato ad avere problemi, quando avvio il pc devo sempre premere 'F1 to resume' oppure 'F2 to load values', altrimenti non si avvia.

[Luke57]

Ciao Porcelain, lo script che ti ha fatto eseguire Lucas è servito a verificare in quale parte del registro di sistema è rimasto ibm0001.exe, come residuo dell'infezione. Infatti, la sua intuizione è stata giusta ed esso si trova nel percorso indicato dallo script. Anche il messaggio iniziale del computer che ti avvisa di file introvabile dipende proprio da questo fatto. Al prossimo messaggio, Lucas ti dirà come rimettere a posto le cose.

[MaRpIOnE]

preparati ad una mega bolletta telefonica

[porcelain]

Ciao Porcelain, lo script che ti ha fatto eseguire Lucas è servito a verificare in quale parte del registro di sistema è rimasto ibm0001.exe, come residuo dell'infezione. Infatti, la sua intuizione è stata giusta ed esso si trova nel percorso indicato dallo script. Anche il messaggio iniziale del computer che ti avvisa di file introvabile dipende proprio da questo fatto. Al prossimo messaggio, Lucas ti dirà come rimettere a posto le cose.

Molto bene, grazie ai due Luca

Marpione, non avrò nessuna megabolletta perché ho sempre acceso il modem solo dopo aver eliminato la connessione intrusa che ricompariva ad ogni accensione del pc. Non gufare!

[lucas/s]

ricevi ancora il messaggio di errore all'avvio?mi sembra strano dato che nelle chiavi di avvio non c'è,non ho capito il fatto dei due tasti di avvio,comunque sinceramente non so bene come funziona il tuo sistema operativo dato che non l'ho mai avuto,comunque se è uguale agli altri prova a vedere il contenuto del file boot.ini e a postarlo qui nel forum senza modificarlo o cambiarli estensione,ciao

[lucas/s]

Mi correggo
per windows 98 fai così,apri una finestra dos e digita sysedit.exe e dai l'invio
adesso da li dovresti accedere ai vari file di configurazione tra cui il boot.ini il system.ini ecc ecc

[Luke57]

Ciao, comunque elimina lo stesso gli ibm00001 presenti nel registro di sistema. Prima fatti una copia dello stesso per evitare problemi
(start>esegui>regedit ( lo scrivi nello spazio bianco)>OK
dalla finestra che si apre clicchi file>esporta, selezioni la voce tutto o tutti i file nella sezione intervallo di esplorazione e indichi in quale punto del disco fisso vuoi salvare la copia. Dai un nome al file e clicchi su salva . Per ripristinare il registro in caso di problemi basterà cliccare due volte su questo file .reg appena creato.
Una volta fatto questo, sul menu contestuale del registro di configurazione premi modifica, trova, nel campo di testo scrivi ibm0001.exe, deselezioni la voce stringa intera e premi Invio Quando a destra della finestra appare una riga contenente ibm00001.exe ci clicchi sopra col tasto dx del mouse e sul menu che appare scegli elimina . Confermi e premi il tasto f3 sulla tastiera per controllare se ci sono altre voci che contengono ibm0001.exe Se ci sono, le elimini con la procedura suddetta, fino a che un messaggio ti avviserà che la ricerca è terminata.

[paoloc1978]

io ho avuto lo stesso problema e ho dovuto formattare tutto.
Tuttavia non appena ho creato una nuova connesione (alice 1cent) mi appare in continuazione una finestra di dialogo del tipo
"E' stata richiesta una connessione da f.nevull.biz (o qualcosa del genere). Connettersi?"
Inoltre poi tenta ripetutamente di conntersi.
Se cerco di chiudere la finestra mi si riapre subito.
Quando mi sono connesso il computer va lentissimo.
Aggiungo che nella mia formattazione sono passato da windows 98 a xp ma prima di creare la connessione sembrava andare tutto bene...
E' normale tuttto ciò ???

[porcelain]

ricevi ancora il messaggio di errore all'avvio?mi sembra strano dato che nelle chiavi di avvio non c'è,non ho capito il fatto dei due tasti di avvio,comunque sinceramente non so bene come funziona il tuo sistema operativo dato che non l'ho mai avuto,comunque se è uguale agli altri prova a vedere il contenuto del file boot.ini e a postarlo qui nel forum senza modificarlo o cambiarli estensione,ciao

Ho seguito le indicazioni, sono andata su regedit etc. e ho seguito il percorso indicatomi da bleeping... però il messaggio di errore compare ancora...