come eliminare Win 32:small-ckx(trj)

[fatma]

Salve ho purtroppo preso un cavallo di troia dal nome Win 32:small-ckx(trj) che Avast mi debella momentaneamente ma ogni volta che riavvio il pc mi ricompare;ho provato anche con ad-aware,sweeper,spybot e anche a togliere il file infetto in modalità provvisoria,ma niente lui c'è sempre.C'è qualcuno che può dirmi come fare per eliminarlo?Non vorrei formattare il pc visto che l'ho fatto appena un mese fà.Grazie aspetto una risposta.

[Luke57]

Ciao, Andorra24 ha appena risposto in merito

"apri hijackthis. premi su ''open the misc tools section'', poi premi ''open process manager'', individua la voce indicata sotto e premi ''kill process'':

C:\WINDOWS\service32.exe

Poi, da START\ESEGUI digita regedit

Portati alla voce:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\

e cancella la chiave: 1 = C:\WINDOWS\service32.exe

Portati alla voce:
HKEY_LOCAL_MACHINE\SOFTWARE\
e cancella la chiave: 9F65E3H10M
(questa chiave è variabile.... ad esempio: 9P78Q3B10L)

Riavvia il PC.

Assicurati che l'opzione "Visualizza cartelle e file nascosti" sia attivata e disattiva nascondi file protetti di sistema. (Pannello di controllo > Opzioni Cartella > Visualizzazione)

Scarica KillBox
http://www.killbox.net/downloads/KillBox.exe
estrai l'eseguibile sul desktop
Apri KillBox
inserisci all'interno della stringa bianca questo percorso
C:\WINDOWS\service32.exe
metti la spunta alla voce "Delete on Reboot", clicca sul bottone con una X bianca a sfondo rosso.

Dopo aver eliminato il file service32.exe potrai eliminare il file C\WINDOWS\iexplorre32.dll

Controlla per sicurezza se hai anche qualcuno dei seguenti files e se ne trovi qualcuno eliminalo:

C:\WINDOWS\svchost.exe
C:\WINDOWS\syst32.dll
C:\WINDOWS\syshost.dll
C:\WINDOWS\mdm32.dll
C:\WINDOWS\winsmgr32.dll
C:\WINDOWS\spoolvs32.dll
C:\WINDOWS\scrss32.dll
C:\WINDOWS\623958248.exe
C:\WINDOWS\winsyst32.exe
C:\WINDOWS\lsas32.dll
C:\WINDOWS\svchost32.dll

Elimina i files temp sia di windows che di IE. Puoi anche avvalerti dell'ausilio di un pulitore tipo ccleaner.

[fatma]

che cos'è hijackthis?

[Luke57]

Ciao, hai ragione.
HIJACKTHIS
http://www.majorgeeks.com/download3155.html

Per fare un log che permette di rilevare voci malevoli, seguire la procedura
Estrai il contenuto del file .zip n una cartella permanente appositamente creata, per esempio C:\HJT, non cartelle temporanee come Desktop oppure C:\Windows\temp. Nella cartella permanente il programma crea una cartella di backup delle voci eventualmente rimosse.
Chiudi tutte le applicazioni aperte
Avvia HiJackThis con doppio click sull'eseguibile (hijackthis.exe)
Clicca su DO A SYSTEM SCAN AND SAVE LOGFILE
Attendi che finisca la scansione e che si apra in automatico un foglio di blocco note scritto
Copia e incolla il contenuto del file di testo un post nel forum.

Nel tuo caso, lo utilizzi diversamente, vale a dire, apri il programma, premi "open the misc tools section", poi premi ''open process manager'', se fra i processi individui la voce indicata sotto
C:\WINDOWS\service32.exe
la evicenzi e premi ''kill process''.

[fatma]

che sfiga!!! non riesco ad aprire il sito che mi hai inviato per scaricarmi HIJACKTHIS..........

[Luke57]

Ciao, allora prima di aprire il registro di sistema, apri il taskmanager (Alt+Ctrl+Canc), premi il tab Processi e se trovi
service32.exe
lo evidenzi e premi termina processo.
Poi segui la procedura già indicata.

Inoltre, prova qui con questi due tools:
http://www.mytempdir.com/1035021
(i files sono già stati rinominati per bypassare il controllo che il gromozon ha sui Fix)

Lancia per primo quello contrassegnato dal numero "1" , che si riferisce al tool della prevx
(disattiva l'antivirus durante la scansione. Il programma fa riavviare il computer e al riavvio termina la scansione. Rilascia un report che trovi in C:\Gromzon_Removal.log.
e poi, esegui quello contrassegnato con il numero "2" (symantec)
lo scan di questo tool va eseguito dalla modalità provvisoria (riavvii il computer, premi il tasto F8 ripetutamente all'accensione del computer e prima che si carichi windows, nella schermata che appare scegli modalità provvisoria spostandoti con le freccette e confermi la scelta premendo invio. Segui poi le istruzioni a schermo).
Anch’esso rilascia un report nella stessa cartella dove hai sistemato il file (FixLinkopt.log).

Incolla in un post ambedue i report.

[fatma]

sono riuscita ad eliminarlo!! grazie tanto senza il tuo prezioso aiuto non ci sarei mai riuscita.Ancora grazie,ciao e buona serata, Fatma

[Spazio1974]

anche io ho beccato small_ckx (trj); ho eseguito alla lettera tutto quello che hai scritto nella risposta del 18.11.2006 ore 17.53 a Fatma fino a quando dici di cancellare il file C:\windows\iexplorre32.dll perchè non l'ho trovato. Ho controllato anche che non ci fossero i fiel elencati come svchost.exe - syst32.dll ed altri ma neanche questi ho trovato. adesso Avast non mi segnala più la presenza del file infetto però non so se è tutto regolare dato che appena provo a cercare un file con il "cerca" succede che si riavvia il pc (me ne sono accorto proprio cercando uno dei file che dovevo cancellare). secondo te è dovuto ai danni provocati da small_ckx oppure no?

[Andrea1975]

Salve,mi sono appena registrato perchè vorrei risolvere questo problema anche io,ma non ci riesco seguendo le vostre indicazioni. Non ci ho capito assolutamente nulla.
Voi dite "apri hijackthis. premi su ''open the misc tools section'', poi premi ''open process manager'', individua la voce indicata sotto e premi ''kill process''.-

Io ho aperto quel sito ma la scritta "open the misc..." non esiste in quel sito e nemmeno sul link che appare sotto. Come hanno fatto gli altri a risolverlo con questa indicazione?
Grazie..rispondete per favore,ve ne prego,sono disperato.

[Andrea1975]

anche io ho beccato small_ckx (trj); ho eseguito alla lettera tutto quello che hai scritto nella risposta del 18.11.2006 ore 17.53 a Fatma fino a quando dici di cancellare il file C:\windows\iexplorre32.dll perchè non l'ho trovato. Ho controllato anche che non ci fossero i fiel elencati come svchost.exe - syst32.dll ed altri ma neanche questi ho trovato. adesso Avast non mi segnala più la presenza del file infetto però non so se è tutto regolare dato che appena provo a cercare un file con il "cerca" succede che si riavvia il pc (me ne sono accorto proprio cercando uno dei file che dovevo cancellare). secondo te è dovuto ai danni provocati da small_ckx oppure no?

Continuo a non capire nulla..ma quale è la risposta del 18 11 2006...delle 17,53..ma non esiste..boh!!

[andorra24]

Continuo a non capire nulla..ma quale è la risposta del 18 11 2006...delle 17,53..ma non esiste..boh!!

Ciao, ma come fai a non vederlo? E' il secondo messaggio del topic, quello di Luke57, piu' chiaro di cosi....

Ciao, Andorra24 ha appena risposto in merito

"apri hijackthis. premi su ''open the misc tools section'', poi premi ''open process manager'', individua la voce indicata sotto e premi ''kill process'':

C:\WINDOWS\service32.exe

Poi, da START\ESEGUI digita regedit

Portati alla voce:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\

e cancella la chiave: 1 = C:\WINDOWS\service32.exe

Portati alla voce:
HKEY_LOCAL_MACHINE\SOFTWARE\
e cancella la chiave: 9F65E3H10M
(questa chiave è variabile.... ad esempio: 9P78Q3B10L)

Riavvia il PC.

Assicurati che l'opzione "Visualizza cartelle e file nascosti" sia attivata e disattiva nascondi file protetti di sistema. (Pannello di controllo > Opzioni Cartella > Visualizzazione)

Scarica KillBox
http://www.killbox.net/downloads/KillBox.exe
estrai l'eseguibile sul desktop
Apri KillBox
inserisci all'interno della stringa bianca questo percorso
C:\WINDOWS\service32.exe
metti la spunta alla voce "Delete on Reboot", clicca sul bottone con una X bianca a sfondo rosso.

Dopo aver eliminato il file service32.exe potrai eliminare il file C\WINDOWS\iexplorre32.dll

Controlla per sicurezza se hai anche qualcuno dei seguenti files e se ne trovi qualcuno eliminalo:

C:\WINDOWS\svchost.exe
C:\WINDOWS\syst32.dll
C:\WINDOWS\syshost.dll
C:\WINDOWS\mdm32.dll
C:\WINDOWS\winsmgr32.dll
C:\WINDOWS\spoolvs32.dll
C:\WINDOWS\scrss32.dll
C:\WINDOWS\623958248.exe
C:\WINDOWS\winsyst32.exe
C:\WINDOWS\lsas32.dll
C:\WINDOWS\svchost32.dll

Elimina i files temp sia di windows che di IE. Puoi anche avvalerti dell'ausilio di un pulitore tipo ccleaner.

E guarda che hijackthis e' un programma, tu invece continui a parlare di sito.

[Andrea1975]

ok,è un programma. Ma come faccio a scaricare questo programma? Dove lo trovo?Grazie

[andorra24]

ok,è un programma. Ma come faccio a scaricare questo programma? Dove lo trovo?Grazie

E' spiegato tutto dettagliatamente nel quarto post (quello di luke57), segui le sue indicazioni.

[Andrea1975]

MA SE HO CHIESTO:NON HO CAPITO NULLA,CHE SENSO HA DIRMI DI RILEGGEREIL POST?LO POSSO ANCHE RILEGGERE 7000 VOLTE,MA NON CI SI CAPISCE NULLA. IO NEL SITO SONO ENTRATO ,MA DOVE SCARICO IL "PROGRAMMA"HIJACKTHIS?
GRAZIE

[BilloKenobi]

però... quanta gentilezza nei confronti di una persona che ti ha offerto un aiuto in cambio di nulla... innanzitutto, il post di Luke57 è COMPLETO (magari se scritto in maiuscolo ti è più comprensibile)... inoltre dovresti dimostrare maggiore educazione se vuoi ricevere risposta in un forum come questo dove nulla ti è dovuto (pare proprio che forse tu non l'abbia recepito del tutto questo concetto).

poi lo scrivere in maiuscolo conferisce ancora maggior antipatia al tuo già di per sè odioso messaggio. moderati, o nessuno sarà disponibile a muovere un dito per te..

comunque il link esatto al programma che proprio non riesci a trovare è questo

http://download.hijackthis.eu/hijackthis_199.zip

tanti saluti

[Andrea1975]

quel post ha un grande difetto di comunicazione pèerchè non specifica,all'interno del sito indicato,il link da cliccare per scaricare il programma. Inoltre dà per scontate una serie di informazioni che solo chi è dentro il campo informatico conosce.
Farò un esempio,tanto per farvi capire visto che il concetto non è stato afferrato. Io parlo francese,se qualcuno in un post mi chiede la spiegazione di una regola grammaticale francese ...io gliela spiego in italiano,non certo in francese.
Per quando riguarda la mia educazione,credo di non aver offeso nessuno,ma trovo che chiunque sappia come debellare un virus abbia sicuramente il merito di aver studiato e apporondito delle conoscenze, ma potrebbe sforzaesi a "saperle comunicare".
Con questo chiudo per sempre sia questo intervento , che l'inserimento in questo inutile forum. Adios.
Per i moderatori:potete tranquillamente cancellare il mio account.
Per tutti gli altri:ho debellato il cavallo di Troia,o virus come sichiama,grazie ad un altro forum...mooolto più chiaro.Grz

[andorra24]

quel post ha un grande difetto di comunicazione

Quel post non ha nessun difetto di comunicazione, il difetto e' nella ricezione. Bye bye, non sentiremo la tua mancanza.

[Dante.92]

salve ho letto tutta la conversazione e volevo solo chiedere se questi virus o cavalli di troia si potevano eliminare anche dal taskmanager anche se sotto voci leggermente diverse...ad esempio a me escono cosi' "svchost.exe" cioe' senza la scritta "C:\WINDOWS" e accanto,sempre nel taskmanager, c'e' scritto NETWORK SERVICE , SISTEM oppure LOCAL SERVICE...aiutatemi vi prego

[valeriot90]

salve ho letto tutta la conversazione e volevo solo chiedere se questi virus o cavalli di troia si potevano eliminare anche dal taskmanager anche se sotto voci leggermente diverse...ad esempio a me escono cosi' "svchost.exe" cioe' senza la scritta "C:\WINDOWS" e accanto,sempre nel taskmanager, c'e' scritto NETWORK SERVICE , SISTEM oppure LOCAL SERVICE...aiutatemi vi prego

Il task manager visualizza i processi (programmi) in esecuzione in memoria, da lì non puoi cancellare file o programmi ma solo terminarne l'esecuzione.
Se ti serve aiuto ti consiglio di aprire un nuovo post specificando il problema che hai ed il sistema operativo in uso.
"svchost.exe" è un processo legittimo del sistema e non un virus (ammesso che non sia un clone virus).

Ogni tanto appare qualche elemento (Andrea1975) che è completamente fuori di testa. Mhà