Cancellare lo spyware SE.DLL e la sua Trusted Zone

[Bronzo]

Su internet non ho trovato nulla su questo file che si trova in System: mmtask.tsk ...cosa può essere?

Scusate... ho scritto una cavolata, il file è ok (Microsoft)

[Kenny]

Bronzo ma anche a te compare sempre la pagina Seach For...?



Per Resko83
Se anche tu hai nel registro quella stessa voce che non riuscivo a cancellare prova con quel metodo che ho usato io...ancora non so se ritona ma per il momento internet sembra pure più veloce, come prima!
Speriamo bene!

[Dylan666]

Kenny ma a te SE.DLL compare solo dopo aver avviato Word?

[razvan1983]

è normale che ti trovi quegli exploit sempre è un piccolo bug noto di spybot!!Puere a me li trovava sempre quindi uso ad-aware e via!!!

[Bronzo]

Bronzo ma anche a te compare sempre la pagina Seach For...?

Certo, siamo infetti e affetti dallo stesso problema (tu in più avevi un dialer, ma quello è un altro discorso).

Per verificare se anche a te se.dll si attiva quando avvii Word devi prima cancellare tutte le porcate, quindi una volta riavviato il pc, fare un pò di prove con explorer (se scarichi startup monitor ti avvisa se qualcosa di strano vuole avviarsi), quindi aprire word, e verificare che succede.

[Bronzo]

Utilizzo di Process Explorer: altra cosa da segnalare.

- se.dll lo trovo all'interno di rundll32.exe, come già avevo indicato ieri.

- Novità: l'altro .dll che ogni volta cambia nome, che si trova nella cartella system di windows, lo vedo in esecuzione all'interno di IExplorer.exe.

Io segnalo tutto ciò che scopro, così forse giungiamo ad una soluzione.

[Bronzo]

Segnalazione di Startup Monitor:

The program

sp

has registered the executable

rundll32 C:\WINDOWS\TEMP\SE.DLL,Dlllnstall

to run at system startup.

Do you wish to allow this change?



Purtroppo il programma "sp" io non lo trovo!

[Dylan666]

Bronzo non scivere posta raffica, non ripetere cose già dette e se di alcune cose non sei sicuro tieniti sul vago, altrimenti il topic diventa dispersivo. Di se.dll AVVIATO da rundll32.exe ce ne eravamo accorti.

Invece sarebbe utile sapere il nome di quella dll avviata con IExplorer.exe e il suo percorso.

[Bronzo]

Bronzo non scivere posta raffica, non ripetere cose già dette e se di alcune cose non sei sicuro tieniti sul vago, altrimenti il topic diventa dispersivo. Di se.dll AVVIATO da rundll32.exe ce ne eravamo accorti.

Invece sarebbe utile sapere il nome di quella dll avviata con IExplorer.exe e il suo percorso.

Scusa, ma inserirei tutto in un unico post se si potessero modificare!

bplogia.dll si chiama ciò che chiedevi, si trova nella cartella system di windows.

A:A:A. Stavo cercando qualcosa di strano con Process Explorer... e l'ho trovato! All'interno sempre di IExplorer.exe vedo in esecuzione questo programma: "AcrolEHelper.ocx", che apparentemente senbrerebbe essere di Acrobat. Il fatto (che mi ha insospettito) è che al posto della colonna company indica "(" non il nominato della Acrobat.
Ho fatto delle ricerche con google, è risultato essere un "malizioso programma"!

vedi tu stesso e poi fammi sapere (forse ci siamo): http://www.winguides.com/forums/showflat.php?Board=brdIE&Number=65284

la cosa strana però che questo post è del 2002!

[Kenny]

Kenny ma a te SE.DLL compare solo dopo aver avviato Word?

No...non mi sembra di aver aperto word..non ne sono sicuro..non l'ho aperto ieri.
Mi appare così all'improvviso mentre nevigo, senza cha faccia niente di particolare.
Per adeso ancora nulla...chi sa che non ritorni stasera alla stessa ora...

[Dylan666]

Apri Word e fai questa prova, no?

@Bronzo:
ACROIEHELPER.OCX è ok, e infatti il sito di HT non lo evidenzia. Io ce l'ho e se pure tu hai Acrobat è normale averlo.

Magari prima di instilare il dubbio in te e negli altri cerca meglio...

http://castlecops.com/clsid-82.html

Lì e in molti altri link indicano nome file e chiave (06849E9F-C8D7 ecc.) e ne confermano l'autenticità.

[Kenny]

Una domanda:
Questa voce che non riuscivo ad eliminare O15 - Trusted IP range: 67.19.185.246 (HKLM) può avere a che fare con se.dll?
Se si, ho trovato delle informazioni su un forum in lingua inglese e praticamente per eliminarla ci vuole DelDomains.inf che serve per eliminare i file di trusted zone...
Se ha ache fare con se.dll deve essere eliminata ed io ci sono riuscito solo con deldomains.inf.

[Dylan666]

Sì, le cose possono essere collegate.

[Bronzo]

Apri Word e fai questa prova, no?

@Bronzo:
ACROIEHELPER.OCX è ok, e infatti il sito di HT non lo evidenzia. Io ce l'ho e se pure tu hai Acrobat è normale averlo.

Magari prima di instilare il dubbio in te e negli altri cerca meglio...

http://castlecops.com/clsid-82.html

Lì e in molti altri link indicano nome file e chiave (06849E9F-C8D7 ecc.) e ne confermano l'autenticità.

Chiedo umilmente venia (noto che sei sempre pungente nelle risposte!)

[Kenny]

Sì, le cose possono essere collegate.

allora vediamo come vanno le cose...se mi va tutto bene almeno fino a domani credo che possiamo postare tutto quello che ho fatto e il link dove ho trovato le informazioni.


Adesso che ricordo bene una volta se.dll è riapparsa appena ho aperto un messaggio di email che mi è arrivato con il messegner.
Ricordo infatti che non ho potuto leggere l'email proprio perchè era ritornata quella pag Search for.

[Kenny]

Apri Word e fai questa prova, no?

Fatto. Ho aperto word, lo chiuso o riavviato il pc ma l'se.dll non c'è, nessuna traccia!

[Dylan666]

Chiedo umilmente venia (noto che sei sempre pungente nelle risposte!)

Non voglio essere pungente è che con topic a raffica e false segnalazioni si allunga un thread su una situazione già abbastanza delicata e contorta e che coinvolge le risposte di ben 3 persone

[^TaRa^]

Dunque, se può essere utile... ieri non mi sono potuta collegare a internet, ma ho lasciato il computer acceso tutta la sera e il trojan non si è ripresentato... Non so, magari è una cosa scontata...

[Kenny]

Ecco è ritornata prima del previsto...ho appena cesso il pc, ho controllato se c'èera la se.dll nei temporanei e non c'era traccia...mi connetto ad i9nternet, mi arriva un messaggio sul messenger di una email, clicco per apriela e appena appare la pag dell email se ne va e si intromette SEARCH FOR, guardo nei file temp e c'è la se.dll!

[Dylan666]

Pova a togliere la registazione alla DLL:
http://www.iamnotageek.com/a/111-p1.php