log hijiackthis!

di **NikVance** » 13/03/08 17:05

ciao raga! ho un secondo pc il quale non riesco ad eliminare una cartella piena di virus, il fatto è che con avast mi rileva dei virus, io elimino la cartella e così mi ricompare...ho pensato di fare una scansione con hijickthis! vi posto il log!
Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 17.00.39, on 13/03/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Mixer.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\rundll32.exe
C:\Documents and Settings\NiKo\Dati applicazioni\m\flec006.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\TP-LINK\TL-WN321G Wireless Utility\Installer\WINXP\TWCU.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\NiKo\Desktop\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Programmi\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\MSN Apps\MSN Toolbar\01.02.5000.1021\it\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\MSN Apps\MSN Toolbar\01.02.5000.1021\it\msntb.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE ZSMC USB PC Camera
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\system32\qttask.exe" -atboottime
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [german.exe] C:\WINDOWS\system32\wintems.exe
O4 - HKCU\..\Run: [mule_st_key] C:\Documents and Settings\NiKo\Dati applicazioni\m\flec006.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [hldrrr] C:\WINDOWS\system32\hldrrr.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: TL-WN321G Wireless Utility.lnk = C:\Programmi\TP-LINK\TL-WN321G Wireless Utility\Installer\WINXP\TWCU.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O24 - Desktop Component 0: (no name) - http://images.habbohotel.it/habboweb/20 ... navibg.png

--
End of file - 4879 bytes

GraziE mll!

di **Luke57** » 13/03/08 17:27

Ciao, hai il bagle, strano che ti funzioni ancora l'antivirus, forse hai una versione vecchia del virus.

Ciao, scarica atfcleaner sul desktop
http://www.atribune.org/ccount/click.php?id=1

Poi scarica otmoveit2.exe sul desktop
http://download.bleepingcomputer.com/ol ... oveIt2.exe

se ti riesce ad andare in modalità provvisoria fallo (riavvii, premi ripetutamente il tasto f8 prima che si carichi windows, scegli mod.provvisoria spostandoti con le freccette e confermando con invio)

se non ti è possibile (il bagle può inibire questa opzione):

disconnettiti completamente da Internet (Tira il cavo o spegni il modem)
disattiva tutti i programmi di sicurezza che hai

Una volta entrato in mod.provvisoria o no a seconda che tu riesca di andarci:
1) Avvia ATFCleaner.exe con un doppio click
- clicca sul menu main
- seleziona la casella Select All
- clicca sul pulsante Empty selected
- aspetta l'avviso Done Cleaning.
(se non vuoi eliminare le password togli la spunta)
(se usi opera o firefox,spunta anche le loro sezioni)

2)Doppio click su OTMoveIT2.exe
Copia/incolla quanto segue nella finestra "Paste List of Files/Folders to be moved"

C:\WINDOWS\SYSTEM32\WINTEMS.EXE
C:\WINDOWS\SYSTEM32\DRIVERS\HIDR.EXE .
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE
C:\WINDOWS\system32\MDELK.EXE
C:\WINDOWS\system32\wintems.exe

clicca su MoveIT
Se ti viene proposto il riavvio clicca su YES e alla fine allega il log C:\_OTMoveIt\MovedFiles

Al riavvio scarica combofix sul desktop
ComboFix
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Disconettiti da internet
disattiva l'antivirus

Avvia il file ComboFix.exe
Digita 1 per avviare il tool (non fare altre manovre durante la scansione, se spariscono le icone dal desktop è normale, la scansione è piuttosto lenta)
Segui le istruzioni e alla fine verrà generato un log in C:\combofix.txt.

Riavvia il pc, collegati e inserisci in una tua risposta il report di combofix copiando e incollando il contenuto del suddetto file di testo.

di **NikVance** » 13/03/08 17:35

ok! mi metto all' opera! grz!

di **NikVance** » 13/03/08 18:35

ecco! solo che ho fatto il tutto in modalità provvisoria, perchè OTMoveIT2 non mi ha chiesto di riavviare! quindi ho eseguito la scansione con combofix nella stessa modalità!
Ecco il Log:
ComboFix 08-03-10.1 - NiKo 2008-03-13 18.21.38.1 - NTFSx86 MINIMAL
Eseguito da: C:\Documents and Settings\NiKo\Desktop\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\exefnd\329904.exe
C:\WINDOWS\exefnd\353558.exe

.
((((((((((((((((((((((((( Files Creati Da 2008-02-13 al 2008-03-13 )))))))))))))))))))))))))))))))))))
.

2008-03-13 18:19 . 2008-03-13 18:19 <DIR> d-------- C:\_OTMoveIt
2008-03-13 18:14 . 2007-04-10 10:14 211 --ah----- C:\boot.ini.SAB
2008-03-11 22:29 . 2008-03-11 22:29 244 --ah----- C:\sqmnoopt02.sqm
2008-03-11 22:29 . 2008-03-11 22:29 232 --ah----- C:\sqmdata03.sqm
2008-03-11 22:29 . 2008-03-11 22:29 172 --ah----- C:\sqmnoopt03.sqm
2008-03-11 22:29 . 2008-03-11 22:29 172 --ah----- C:\sqmdata04.sqm
2008-03-11 19:31 . 2008-03-11 19:31 244 --ah----- C:\sqmnoopt01.sqm
2008-03-11 19:31 . 2008-03-11 19:31 232 --ah----- C:\sqmdata01.sqm
2008-03-11 19:31 . 2008-03-11 19:31 136 --ah----- C:\sqmdata02.sqm
2008-03-06 16:24 . 2008-03-06 16:38 <DIR> d-------- C:\Programmi\Spybot - Search & Destroy
2008-03-06 16:24 . 2008-03-06 16:37 <DIR> d-------- C:\Documents and Settings\All Users\Dati applicazioni\Spybot - Search & Destroy
2008-02-29 20:29 . 2008-02-29 20:31 677 --a------ C:\WINDOWS\mozver.dat
2008-02-29 20:22 . 2008-02-29 20:22 0 --a------ C:\WINDOWS\nsreg.dat
2008-02-24 03:32 . 2008-02-24 03:32 250 --a------ C:\WINDOWS\gmer.ini
2008-02-23 23:09 . 2008-02-23 23:12 4,212 ---h----- C:\WINDOWS\system32\zllictbl.dat
2008-02-23 23:06 . 2008-02-23 23:34 <DIR> d-------- C:\WINDOWS\Internet Logs
2008-02-23 22:54 . 2008-02-23 22:54 <DIR> d-------- C:\Programmi\Your Company
2008-02-23 22:54 . 1998-04-24 19:40 1,045,776 --------- C:\WINDOWS\system32\Msjet35.dll
2008-02-23 22:54 . 1998-04-24 19:40 407,312 --------- C:\WINDOWS\system32\Msrepl35.dll
2008-02-23 22:54 . 1998-04-24 20:09 368,912 --------- C:\WINDOWS\system32\Vbar332.dll
2008-02-23 22:54 . 1998-04-24 19:40 252,176 --------- C:\WINDOWS\system32\Msrd2x35.dll
2008-02-23 22:54 . 1998-07-30 07:24 192,784 --a------ C:\WINDOWS\system32\Tabctl32.ocx
2008-02-23 22:54 . 1998-07-30 07:23 129,808 --a------ C:\WINDOWS\system32\Comdlg32.ocx
2008-02-23 22:54 . 1998-04-24 19:40 123,664 --------- C:\WINDOWS\system32\Msjint35.dll
2008-02-23 22:54 . 1998-06-18 11:33 89,360 --------- C:\WINDOWS\system32\Vb5db.dll
2008-02-23 22:54 . 1998-04-24 19:40 24,848 --------- C:\WINDOWS\system32\Msjter35.dll

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-13 15:48 --------- d--h--w C:\Documents and Settings\NiKo\Dati applicazioni\m
2008-03-06 21:44 --------- d-----w C:\Documents and Settings\NiKo\Dati applicazioni\ZipGenius
2008-03-06 21:40 --------- d-----w C:\Programmi\eMule
2008-03-06 01:16 --------- d-----w C:\Documents and Settings\NiKo\Dati applicazioni\U3
2008-02-24 08:04 --------- d-----w C:\Documents and Settings\NiKo\Dati applicazioni\Hamachi
2008-02-24 02:27 --------- d--h--w C:\Programmi\InstallShield Installation Information
2008-02-10 08:30 --------- d-----w C:\Programmi\DivX
2008-02-08 19:43 --------- d-----w C:\Programmi\CCleaner
2008-02-05 18:56 25,280 ----a-w C:\WINDOWS\system32\drivers\hamachi.sys
2008-02-05 15:13 --------- d-----w C:\Programmi\iDC++
2008-02-05 11:12 20,747 ----a-w C:\WINDOWS\system32\drivers\AegisP.sys
2008-02-05 11:11 --------- d-----w C:\Programmi\TP-LINK
2001-11-23 11:08 712,704 ----a-w C:\WINDOWS\inf\OTHER\audio3d.dll
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* i valori vuoti & legittimi/default non sono visualizzati.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MessengerPlus3"="C:\Programmi\MessengerPlus! 3\MsgPlus.exe" [2007-04-10 11:17 190024]
"mule_st_key"="C:\Documents and Settings\NiKo\Dati applicazioni\m\flec006.exe" [2008-02-05 16:38 97284]
"msnmsgr"="C:\Programmi\MSN Messenger\msnmsgr.exe" [2007-10-07 15:06 5674352]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"C-Media Mixer"="Mixer.exe" [2001-11-15 11:08 1216512 C:\WINDOWS\mixer.exe]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-12-04 14:00 79224]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-30 21:00 110592 C:\WINDOWS\system32\bthprops.cpl]
"BigDogPath"="C:\WINDOWS\VM_STI.exe" [ ]
"QuickTime Task"="C:\WINDOWS\system32\qttask.exe" [2007-10-13 21:18 77824]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-30 21:00 15360]

C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\
TL-WN321G Wireless Utility.lnk - C:\Programmi\TP-LINK\TL-WN321G Wireless Utility\Installer\WINXP\TWCU.exe [2008-02-05 12:11:56 622592]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programmi\\eMule\\emule.exe"=
"C:\\Programmi\\Internet Explorer\\IEXPLORE.EXE"=
"C:\\WINDOWS\\system32\\rtcshare.exe"=
"C:\\Programmi\\Messenger\\msmsgs.exe"=
"C:\\Documents and Settings\\NiKo\\Dati applicazioni\\m\\flec006.exe"=
"C:\\Programmi\\MSN Messenger\\msnmsgr.exe"=
"C:\\Programmi\\MSN Messenger\\livecall.exe"=
"C:\\WINDOWS\\system32\\dpvsetup.exe"=
"C:\\WINDOWS\\system32\\rundll32.exe"=

S3 3dfxvs;3dfxvs;C:\WINDOWS\system32\DRIVERS\3dfxvsm.sys [2001-08-17 21:48]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{688346d9-2503-11dc-a883-000272b00026}]
\Shell\AutoRun\command - H:\LaunchU3.exe -a

.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-13 18:24:43
Windows 5.1.2600 Service Pack 2 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
Ora fine scansione: 2008-03-13 18.26.25
ComboFix-quarantined-files.txt 2008-03-13 17:25:44

Thks!

di **Luke57** » 13/03/08 19:32

Ciao, adesso vai qui:
http://www.zonavirus.com/datos/descarga ... ibagla.asp
in fondo alla pagina scarica elibagla, spunta la casella "elimina ficheros automaticamente.." (mi sembra che sia così).
Copi a e incolla in un post il report C:\infosat.txt.

Inoltre da qui:
ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe
scarica cureit e, dalla mod.provvisoria, fai una scansione completa del computer.

di **NikVance** » 13/03/08 20:07

ecco fatto! il log :

Thu Mar 13 19:47:02 2008
EliBagle v11.15 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
Por favor, envienos una muestra del fichero
C:\Muestras\FLEC006.EXE.Muestra EliBagle v11.15
a "virus@satinfo.es". Gracias.
C:\DOCUMENTS AND SETTINGS\NIKO\DATI APPLICAZIONI\M\FLEC006.EXE --> Eliminado Bagle
C:\DOCUMENTS AND SETTINGS\NIKO\DATI APPLICAZIONI\M\LIST.OCT --> Eliminado Bagle

Thu Mar 13 19:47:36 2008
EliBagle v11.15 (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

E poi riguardo alla scansione in modalità provvisoria ho catturato l' immaggine della fine della scansione:
Immagine

Thnks!

di **Luke57** » 13/03/08 21:08

Ciao, OK.

di **NikVance** » 13/03/08 21:54

Luke57 ha scritto:Ciao, OK.

Grazie Mille Luke57!

log hijiackthis!

log hijiackthis!

Re: log hijiackthis!

Re: log hijiackthis!

Re: log hijiackthis!

Re: log hijiackthis!

Re: log hijiackthis!

Re: log hijiackthis!

Re: log hijiackthis!

Topic correlati a "log hijiackthis!":

Chi c’è in linea