virus ... tornato

di **edera** » 12/10/07 17:27

Ciao, circa un anno fa avevo scritto su qusto forum per un problema dovuto ad un virus ... ed ecco che si ripresenta puntuale e sempre più fastidioso.
Cercherò di essere più dettagliata possibile
http://www.pc-facile.com/forum/viewtopi ... highlight=

questo è il link del mio vecchio post .

quindi io ho window xp ...andando su C:\Programmi\File comuni\System trovo cartelle con nomi strani (ado,msdac,msmapi,oledp e un file di tipo applicazione "Rjb"),impossibili da cancellare.

Ho fatto da esegui "controllpassword2" e non ho trovato nulla di anomalo, ma su "services.msc" c'è sempre questo:
Nome : SrvLpE

Descrizione: abilita gli utenti remoti alla modifica delle impostazioni del registro di sistema del pc in uso, se il servizio è stato arrestato il registro di sistema potrà essere modificato soltanto dagli utenti del pc.......ecc ecc
Stato : non c'è niente
Tipo di avvio . manuale
Percorso c/programmi/file comuni/sy

il file si chiama RJB.exe e ha come data creazione 19/agosto 2004 ultima modifica 5/luglio 2006 e ultimo utilizzo oggi . E' un file di tipo applicazione

Se vado su proprietà nel nome SrvLpE mi dice
Connessione account .....ha pure una password
Profilo 1attivato ....

mi sapete aiutare ?? ....ho fatto la scansione con AVG ma non ha trovato nulla ....GRAZIE

di **edera** » 12/10/07 17:29

ai tempi avevate detto che si trattava di un virus chiamato "Linkoptimizer".

AIUTOOOOO!

di **hydra** » 12/10/07 19:17

FAi una ricerca sul forum su linkoptimizer, sicuramente trovi qualcosa perchè se n'è già parlato.

di **edera** » 22/10/07 19:26

si,grazie ma avevo gia cercato e ho letto di fare una scansione con HijackThis . Appena provo a scaricare questo programma mi si chiude la pagina di internet automaticamente.... sarà il virus che mi blocca ??

di **Luke57** » 23/10/07 18:15

Ciao, apri il registro di sistema (start>esegui>nello spazio scrivi regedit.exe>OK
Aperto il registro, cliccando sul segno + accanto alle singole voci, segui questo percorso:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
controlla se tre le varie sottovoci di Image file execution options è presente
explorer.exe (se c'è è aggiunta dal linkoptimizer b.)
se è presente click sulla voce medesima e controlli che cosa riporta al suo interno.
Te lo appunti, poi click tasto dx su explorer.exe, scegli Autorizzazioni>avanzate>proprietario, imposti la proprietà all'utente del computer>OK, torni alla pagina precedente, metti la spunta a controllo completo e in lettura >OK.
A quel punto clik tasto dx del mouse sulla voce e scegli Elimina.
Controlla cnhe che non vi sia, sempre tra le sottovoci di file image execution options la voce
iexplore.exe
se presente la elimini con la solita procedura.
Prova poi a utilizzare hijackthsi e posta il log + il nome del file trovato all'interno di explorer.exe.

di **edera** » 24/10/07 16:03

ciao ho fatto come hai detto ma su imagefileexecution options la cartella explorer.exe non c'è. Ma in quasi tutto se clicco su autorizzazioni mi appare : adimistrator,CREATOR OWNER,Power Users,SYSTEM,Users.

Ho fatto control userpasswords2 ma nessuno di questi è èresente .... potresti aiutarmi ???

Ma formattando il pc posso risolvere il problema??? Mi aiuti anche senza che lo formatto visto che mi serve il pc .??

Grazie

di **Luke57** » 24/10/07 17:44

edera ha scritto:ciao ho fatto come hai detto ma su imagefileexecution options la cartella explorer.exe non c'è. Ma in quasi tutto se clicco su autorizzazioni mi appare : adimistrator,CREATOR OWNER,Power Users,SYSTEM,Users.

Ho fatto control userpasswords2 ma nessuno di questi è èresente .... potresti aiutarmi ???

Ma formattando il pc posso risolvere il problema??? Mi aiuti anche senza che lo formatto visto che mi serve il pc .??

Grazie

Ciao, controlla questa voce di registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, click su quest'ultima voce, all'interno di essa vai su
userinit
riporta tutto quanto è scritto alla destra di essa.

di **edera** » 25/10/07 15:59

Ciao...
userinit l'ho trovato è c'è scritto questo :
tipo:REG_SZ
dati:c:\windows\system32\userinit.exe,"c:\windows\system32\nokia-network.exe","c:\windows\system32\siemens-service.exe",

ecco tutto quello che ho trovato...
aspetto risposta

grazie

di **edera** » 25/10/07 16:23

andando su C:\WINDOWS adesso mi sono accorta che ci sono delle applicazioni con questi nomi : xAMwYcAfFI, ugPCTbvibb, kSqkxKf,mlvRsfdP....mi sembrano nomi strani.
posso essere parte del virus o sono normali applicazioni??

Grazie ancora

di **Luke57** » 25/10/07 16:37

Ciao scarica Avgpfix da qui:
http://www.nod32.it/cgi-bin/mapdl.pl?tool=Agent.VP

Apri il registro di sistema:
start>esegui>regedit (lo digiti nello spazio)>OK
Aperto l’editor del registro, cliccando sul segno + accanto alle singole voci segui questo percorso:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon, click su quest’ultima cartella
Sulla parte destra troverai
userinit= c:\windows\system32\userinit.exe,c:\windows\system32\nokia-network.exe","c:\windows\system32\siemens-service.exe,

doppio click sulla voce, nella finestra Modifica stringa che ti appare
nello spazio bianco troverai:
c:\windows\system32\userinit.exe,c:\windows\system32\nokia-network.exe","c:\windows\system32\siemens-service.exe,
seleziona
c:\windows\system32\nokia-network.exe","c:\windows\system32\siemens-service.exe, (virgola compresa)
in modo da lasciare nello spazio solamente:
c:\windows\system32\userinit.exe, (virgola compresa)
premi canc>OK
(ATTENZIONE a nonn cancellare userinit.exe, il computer non si riavvierà).

Rendi visibili file e cartelle nascosti:
da gestione del computer>strumenti>Opzioni Cartella
Seleziona Visualizza
Spunta "mostra file e cartelle nascoste"
Togli la spunta da "nascondi file di sistema protetti"
Click OK

Con AVGpfix elimina i seguenti file, uno dop l'altro:
c:\windows\system32\nokia-network.exe
c:\windows\system32\siemens-service.exe
(lo avvii, ondividui il fle da eliminare premi OK)

Scarica questi 2 files sul desktop (removal tools per linkoptimizer)
http://info.prevx.com/gromozon.asp
(clicca sul pulsante verde "Download gromozon removal tool")
http://securityresponse.symantec.com/av ... inkopt.exe

Esegui il file scaricato dal primo link, ti chiederà di riavviare, al riavvio parte la scansione, attendi la fine della scansione e riavvia il pc in modalità provvisoria, adesso lancia il secondo tool, riavvia normalmente e incolla questi report in un post:
-FixLinkopt.log (lo trovi sul desktop)
-C:\gromozon_removal.txt
c:\windows\googledriver.exe

di **edera** » 26/10/07 14:13

scusa ancora per la scocciatura,ma in system32 non c'è nè nokianetwork nè siemens-service.

Dei passaggi spiegati da te nel topic sono arrivata a scaricare il programma da nod32 ...ma comunque gli altri due link se clicco mi dice "impossibile visualizzare la pagina"...ho provato anche senza cliccare sul link ma facendo la ricerca su google...mi dispiace per il disturbo, ma non riesco a fare nulla di tutto quello che tu mi hai spiegato ...(ho cancellato solo,da userinit quello che mi hai detto).

ma come mai non mi trova quei file in system32?
io ho fatto "visualizza file nasacosti" e "mostra file di sistema protetti"

grazie ancora

di **Luke57** » 26/10/07 14:29

Ciao, verifica la voce userinit, se i files sono sempre presenti si sarà sicuramente riformata come prima.
Apri poi il taskmanager e controlla la presenza dei processi:
nokia-network.exe
siemens-service.exe
se presenti terminali e prova a usare hijackthis, inviando il report.

di **edera** » 26/10/07 14:53

ciao con il task manager ho trovato siemens ma non nokia...nella voce userinit si era riformato tutto e ho cancellato nuovamente ...adesso è partito il hijackthis...ti posto il risultato :

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 7.09.21, on 27/10/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\DOCUME~1\user\IMPOST~1\Temp\977500.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\Programmi\HP\HP Software Update\HPWuSchd2.exe
C:\Programmi\QuickTime\QTTask.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\HP\Digital Imaging\bin\hpqgalry.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\WgaTray.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\user\Impostazioni locali\Temporary Internet Files\Content.IE5\QJST8B6Z\HiJackThis_v2[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.virgilio.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,"c:\windows\system32\siemens-service.exe",
O1 - Hosts: 160.128.161.153 bute2ieh.com
O1 - Hosts: 98.142.154.12 catolcwxcav.com
O1 - Hosts: 164.105.11.128 ukjp9mn2.com
O1 - Hosts: 26.61.135.9 vkipqugtsx.com
O1 - Hosts: 74.155.15.232 wvdimh98zhq.com
O1 - Hosts: 21.43.177.216 zobcslgff.com
O1 - Hosts: 217.65.130.117 fullows.com
O1 - Hosts: 7.19.148.180 thumbstring.net
O1 - Hosts: 46.227.219.28 wschooler.com
O1 - Hosts: 237.198.174.168 addwjf6zoy.com
O1 - Hosts: 42.9.237.234 itqoipyqsq.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [vupwx] "C:\DOCUME~1\user\IMPOST~1\Temp\977500.exe"
O4 - HKLM\..\Run: [HP Software Update] "C:\Programmi\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [vupwx] "C:\DOCUME~1\user\IMPOST~1\Temp\977500.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Avvio rapido di HP Image Zone.lnk = C:\Programmi\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/ms ... b31267.cab
O16 - DPF: {4CCA4E80-9259-11D9-AC6E-444553544200} (FixController Control) - http://h30155.www3.hp.com/ediags/dd/ins ... _v01_5.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 5843289406
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b31267.cab
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: Gestione estesa dischi fissi (dskex) - Unknown owner - C:\WINDOWS\Downlo~1\3ct7b\qpkn3ee.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SysEnforce - Unknown owner - C:\PROGRA~1\TRISNA~1\SSI\SYSENF~1.EXE (file missing)

--
End of file - 7011 bytes

cavolo...io non capisco nulla

di **edera** » 26/10/07 15:32

appena fatto e inviato a te il post con la scansione di hijackthis, sul task manager è ricomparso siemens... e inoltre (per curiosità) ho provato a inserire nel motore di ricerca "hijackthis" è mi si è richiusa la pagina web ...su c:file comuni/system ci sono ancora quelle cartelle (,ado,msdac,msmapi,oledp ) che non posso cancellare...ma andando su services.msc " SrvLpE " non c'è (per ora)...e l'applicazione RJB sono riuscita a cancellarla ...aspetto tua risposta

grazie

di **edera** » 26/10/07 15:46

di **Luke57** » 27/10/07 09:53

edera ha scritto:....

Ciao, interrompi il processo famoso + questo 977500.exe
, apri hijackthis, premi "do a system scan only", cerca e spunta le voci seguenti:
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,"c:\windows\system32\siemens-service.exe",
O1 - Hosts: 160.128.161.153 bute2ieh.com
O1 - Hosts: 98.142.154.12 catolcwxcav.com
O1 - Hosts: 164.105.11.128 ukjp9mn2.com
O1 - Hosts: 26.61.135.9 vkipqugtsx.com
O1 - Hosts: 74.155.15.232 wvdimh98zhq.com
O1 - Hosts: 21.43.177.216 zobcslgff.com
O1 - Hosts: 217.65.130.117 fullows.com
O1 - Hosts: 7.19.148.180 thumbstring.net
O1 - Hosts: 46.227.219.28 wschooler.com
O1 - Hosts: 237.198.174.168 addwjf6zoy.com
O1 - Hosts: 42.9.237.234 itqoipyqsq.com
O4 - HKLM\..\Run: [vupwx] "C:\DOCUME~1\user\IMPOST~1\Temp\977500.exe"
O4 - HKCU\..\Run: [vupwx] "C:\DOCUME~1\user\IMPOST~1\Temp\977500.exe"
O23 - Service: SysEnforce - Unknown owner - C:\PROGRA~1\TRISNA~1\SSI\SYSENF~1.EXE (file missing

premi fix checked

Lancia questi due comandi:
da start>esegui>sc stop SysEnforce (lo digiti nello spazio)>OK
da start>esegui>sc delete SysEnforce (lo digiti nello spazio)>OK

Cerchi ed elimini con avgpfix:
c:\windows\system32\siemens-service.exe
C:\PROGRA~1\TRISNA~1\SSI\SYSENF~1.EXE

Poi vai qui:
http://www.pc-facile.com/download/puliz ... er/255.htm
scarichi ccleaner ultima versione, lo installi (durante l'installazione non scegliere l'opzione relativa alla barra di yahoo). LO apri, vai in avanzate, togli la spunta a "cancella file temp di windows solo se più vecchi di 48 ore", premi avvia pulizia.
Al termine, provi a scaricare ed eseguire i due tools suggeriti precedentemente e a postare i relativi log.

di **edera** » 27/10/07 17:13

ciao ho fatto come hai detto, con hijackthis ho eliminato le voci che hai detto tu ..ho lanciato qui comandi da "esegui",ho fatto la pulizia con cccleaner ma con avgpfix non ho potuto cancellare
c:\windows\system32\siemens-service.exe
C:\PROGRA~1\TRISNA~1\SSI\SYSENF~1.EXE prchè non ci sono ...
i due link che mi hai dato tu nel'altro post continuano a non funizionare

che casino!!...sti virus li odio!!!

grazie ancora per l'aiuto

di **edera** » 27/10/07 17:17

.....

di **edera** » 27/10/07 17:22

.....

di **Luke57** » 27/10/07 18:18

edera ha scritto:.....

Ciao, vai qui:
http://w14.easy-share.com/8474001.html
scafica il file .zip.
Interrompi il solito processo, se presente, chiudi programmi e applicazioni, estrai sul desktop i due files, esegui sys.exe, spunti tutte le opzioni, premi scan now. (in caso di difficoltà nell'esecuzione, esegui il secondo fie e riavvia il computer. Dovresi così essere in grado di fare la scansione). Al termine di essa, in c:\suspectfile dovresti trovare un file .zip (data + ora) che devi inserire in easyshare ( è troppo lungo il report che contiene per incollarlo in un post).
Il link che ti sarà fornito lo copi e lo incolli in un post in modo che si possa vedere il report.

virus ... tornato

virus ... tornato

Topic correlati a "virus ... tornato":

Chi c’è in linea