Moderatori: m.paolo, kadosh, Luke57
di polentaeoesei » 06/08/06 20:13
di polentaeoesei » 07/08/06 08:39
di andorra24 » 07/08/06 08:54
di polentaeoesei » 07/08/06 10:01
andorra24 ha scritto:Ciao, stai usando la penultima versione di hijackthis. La prossima volta scaricati l'ultima versione cioe' la 1.99.1. Veniamo al log, metti la spunta nella casellina accanto alle seguenti voci e dopo aver chiuso il browser e ogni altra finestra di applicazioni aperta premi ''fix checked'':
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.1987324.com?301
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\SERVICES.EXE
TUTTE LE VOCI 01
O2 - BHO: (no name) - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - (no file)
O2 - BHO: (no name) - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - (no file)
O2 - BHO: (no name) - {DA39029C-D291-A968-3FF4-D0990D5CB5FC} - (no file)
O4 - HKLM\..\Run: [winlog] winlog.exe
O4 - HKLM\..\Run: [Microsoft Windows Logon Process] C:\WINDOWS\winlogon.exe
O4 - HKLM\..\Run: [IE Redir] C:\WINDOWS\ieredir.exe
O4 - HKLM\..\Run: [VolControl] C:\WINDOWS\volumec.exe -i
O4 - HKLM\..\Run: [oyna4.exe] C:\WINDOWS\Temp\oyna4.exe
O4 - HKLM\..\Run: [aouei] C:\Documents and Settings\Daniele Amighetti\Dati applicazioni\ratorefaci\sysrtmvs.exe
O4 - HKLM\..\RunServices: [winlog] winlog.exe
O15 - Trusted Zone: http://www.1987324.com
O15 - Trusted Zone: http://www.adslconnection.name
O15 - Trusted Zone: http://www.softlab.name
O15 - Trusted Zone: http://www.xxx-content.name
O23 - Service: NetIcr - Unknown - \\?\C:\Programmi\File comuni\System\lpt9.exe (file missing)
Scarica ATF Cleaner da qui:
http://www.atribune.org/ccount/click.php?id=1
(per eliminare file temporanei di windows e IE)
Avvia ATF cleaner, clicca sul menu "main" e poi seleziona la casella "Select All". Adesso clicca sul pulsante "Empty selected" e aspetta il messaggio "Done Cleaning!"
Vai su start/risorse del computer/strumenti/opzioni cartella/visualizzazione e metti la spunta su visualizza cartelle file nascosti e togli la spunta da ''nascondi i file protetti di sistema''.
scarica killbox da qui:
http://www.bleepingcomputer.com/files/killbox.php
con killbox assicurati di eliminare i seguenti files:
C:\WINDOWS\SERVICES.EXE
C:\WINDOWS\winlogon.exe
C:\WINDOWS\ieredir.exe
C:\WINDOWS\volumec.exe
C:\WINDOWS\Temp\oyna4.exe
C:\Documents and Settings\Daniele Amighetti\Dati applicazioni\ratorefaci\sysrtmvs.exe (dopo aver eliminato il file exe elimina anche la cartella ratorefaci)
Fai una scansione con ewido: http://www.grisoft.cz/softw/70/filedir/ ... 0.172c.exe
di polentaeoesei » 07/08/06 10:09
andorra24 ha scritto:Hai gia' fatto il fix con hijackthis di tutte quelle voci che ti ho indicato? Fatto cio' devi controllare se trovi i files in rosso che ti ho indicato e li elimini aiutandoti con killbox.
di Heba » 07/08/06 10:15
di polentaeoesei » 07/08/06 10:26
Heba ha scritto:è normale, non hai eliminato il problema alla radice, hai inviato solo una parte di hijack, ma non quella completa con i file di sistema, se non elimini tutto ti si impalla tutto.
Vedi se riesci a mandare un log di hijack completo e poi vediamo se hai altro da eliminare
di polentaeoesei » 07/08/06 10:33
polentaeoesei ha scritto:Heba ha scritto:è normale, non hai eliminato il problema alla radice, hai inviato solo una parte di hijack, ma non quella completa con i file di sistema, se non elimini tutto ti si impalla tutto.
Vedi se riesci a mandare un log di hijack completo e poi vediamo se hai altro da eliminare
Ecco un altro log:
Logfile of HijackThis v1.99.0
Scan saved at 11.31.20, on 07/08/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
(Unable to list running processes)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tgsoft.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,,C:\WINDOWS\SERVICES.EXE
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O2 - BHO: (no name) - {DA39029C-D291-A968-3FF4-D0990D5CB5FC} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe
O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Windows\System32\Check.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [outlook] C:\Programmi\outlook\outlook.exe /auto
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programmi\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [VIRIT LITE MONITOR] C:\VEXPLITE\MONLITE.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Google Search - res://c:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Translate English Word - res://c:\programmi\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Backward Links - res://c:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\programmi\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Similar Pages - res://c:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate Page into English - res://c:\programmi\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O15 - Trusted Zone: http://www.1987324.com
O23 - Service: Notebook Manager Service - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
O23 - Service: InstallDriver Table Manager - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Virit eXplorer Lite - TG Soft Sas http://www.tgsoft.it - C:\VEXPLITE\viritsvc.exe
di Heba » 07/08/06 10:34
di polentaeoesei » 07/08/06 10:38
Heba ha scritto:manca ancora un pezzo
dove dice
(Unable to list running processes)
mancano un sacco di file di sistema...
ci deve essere scritto c:/xxxxxxxx/xxxxxx/xx.exe
se lo invii così non si eliminerà mai il file infetto...perchè manca sapere qual è il file di sistema infetto, solo la parte di o ed r non serve se non si sa a che file abbianarlo.
di Heba » 07/08/06 10:51
di Luke57 » 07/08/06 11:22
)di polentaeoesei » 07/08/06 14:37
Luke57 ha scritto:@ polentaeosei
Ciao, molto probabilmente hijackthis non mostra la lista dei processi attivi iniziale per la presenza del fine SERVICES.EXE.
Ignora il messaggio di protezione di windows per la visualizzazione dei file nascosti di sistema e digli di sì.
Hai scaricato killbox come ha detto Andorra24?
- estrailo sul desktop e apri la cartella che lo contiene e quindi avvialo
- Seleziona l'opzione Delete on Reboot . Nello spazio scrivi il percorso del file da eliminare
C:\WINDOWS\SERVICES.EXE
e clicchi sulla crocetta rossa . Se tic hiede di riavviare rispondi di No.
Fai così con gli altri file, sempre inserendo il percorso esatto uno per volta e premendo la crocetta rossa..
Al termine, riavvia il computer per rendere effettiva l'eliminazione dei file.
(A quel punto, posta un altro log di hiajckthis (scarica la versione 1.99.1, altrimenti non finiremo mai
di Luke57 » 07/08/06 15:50
Visitano il forum: Nessuno e 79 ospiti
