Cancellare lo spyware SE.DLL e la sua Trusted Zone

[Dylan666]

Lo riscrivo pure qui: è inutile che posti il LOG, devi leggerti quanto è già stato scritto, rassegnati a farlo.

[Gabibbo]

dove trovo il programma about:buster??

grazie mille

[SPLINGA]

CIAO!!

ANCHE NEL MIO COMPUTER, NON SO COME, E' PRESENTE IL FILE SE.DLL . I SINTOMI SONO CHE LA PAGINA INIZIALE E' ABOUT:BLANK E MI SI APRONO DELLE FINESTRE CHE MI VENDONO ANTIVIRUS....
HO PROVATO A LEGGERE MOLTI ARTICOLI DEL FORUM MA NON SONO RIUSCITO AD ELIMINARLO.
HO PROVATO MOLTI ANTIVIRUS MA NIENTE!! SE QUALCUNO PUO' DARMI UNA MANO NE SAREI MOLTO LIETO!!

CIAO NICOLO'

SE PUO' SERVIRE QUESTO E' IL LOG FILE:

Logfile of HijackThis v1.99.1
Scan saved at 15.40.39, on 03/03/2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\WINDOWS\SYSTEM\ATI2EVXX.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\IRMON.EXE
C:\WINDOWS\SYSTEM\ATI2CWXX.EXE
C:\PROGRAMMI\ACER\POWERKEY\POWERKEY.EXE
C:\WINDOWS\SYSTEM\PRPCUI.EXE
C:\PROGRAMMI\SYNAPTICS\SYNTP\SYNTPLPR.EXE
C:\PROGRAMMI\SYNAPTICS\SYNTP\SYNTPENH.EXE
C:\WINDOWS\SYSTEM\KEYMAP.EXE
C:\WINDOWS\SYSTEM\ATIPTAXX.EXE
C:\WINDOWS\LTSMMSG.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGCC.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGEMC.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGAMSVR.EXE
C:\PROGRAM FILES\INTERMUTE\SPYSUBTRACT\SPYSUB.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMMI\WINRAR\WINRAR.EXE
C:\WINDOWS\TEMP\RAR$EX00.668\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll (file missing)
O2 - BHO: (no name) - {87A87987-1428-40F2-9AEF-B0A4397F11C3} - C:\WINDOWS\SYSTEM\EBJF.DLL
O3 - Toolbar: @msdxmLC.dll,-1@1040,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll (file missing)
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [IrMon] irmon.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Ati2cwxx] Ati2cwxx.exe
O4 - HKLM\..\Run: [AcerPowerkey] "C:\Programmi\Acer\Powerkey\Powerkey.exe"
O4 - HKLM\..\Run: [PRPCMonitor] PRPCUI.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [KEYMAP] C:\WINDOWS\SYSTEM\Keymap.exe
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programmi\Scansoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [xBrotherMeCom] C:\BRME\BrMeCom.exe
O4 - HKLM\..\Run: [SetDefPrt] C:\Programmi\Brother\BRMFLPRO\BrDefPrt.exe
O4 - HKLM\..\Run: [Symantec Core LC] C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe start
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGCC.EXE /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGEMC.EXE
O4 - HKLM\..\Run: [AVG7_AMSVR] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGAMSVR.EXE
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe
O4 - HKLM\..\RunServices: [ccSetMgr] "C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe"
O4 - HKLM\..\RunServices: [ccEvtMgr] "C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe"
O4 - HKLM\..\RunServices: [NPFMonitor] C:\Programmi\Norton AntiVirus\IWP\NPFMntor.exe
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Programmi\File comuni\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Startup: PowerReg Scheduler.exe
O4 - Startup: SpySubtract.lnk = C:\Program Files\interMute\SpySubtract\SpySub.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.acer.com/
O15 - Trusted Zone: http://www.master69.biz
O15 - Trusted Zone: http://www.sgrunt.biz
O15 - Trusted Zone: http://www.yeak.net
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview Control) - file://C:\Programmi\Autodesk Architectural Desktop 3\AcPreview.ocx
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday Control) - file://C:\Programmi\Autodesk Architectural Desktop 3\AcDcToday.ocx
O16 - DPF: {C6637286-300D-11D4-AE0A-0010830243BD} (NOXLATE) - file://C:\Programmi\Autodesk Architectural Desktop 3\InstFred.ocx
O16 - DPF: {11311111-1111-1111-1111-111111111157} - file://C:\Recycled\Q330995.exe
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = tin.it
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 151.99.125.2,151.99.125.3
O18 - Filter: text/html - {F0DD1A3F-1631-48E7-98C1-1DB70183AA6C} - C:\WINDOWS\SYSTEM\EBJF.DLL
O18 - Filter: text/plain - {F0DD1A3F-1631-48E7-98C1-1DB70183AA6C} - C:\WINDOWS\SYSTEM\EBJF.DLL

[Dylan666]

Lo riscrivo pure qui: è inutile che posti il LOG, devi leggerti quanto è già stato scritto, rassegnati a farlo.

[aldofurlan]

Dopo aver provato spybot search&destroy, microsoft antispyware beta1, Spysubtract e infine CWShredder, con scarso successo (hanno pero' pulito "quasi" tutto);
ho risolto definitivamente il problema con il seguente link:

http://castlecops.com/postp472185.html

Aldo

P.s. - poichè internet explorer non funzionava ho installato firefox per fare i download.

[marcoitalia]

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page
E' questo? Come lo cancello? :S

da start vai in esegui scrivi regedit e poi scrivi start page
mouse tasto destro o sinistra a dipendenza di come hai il mouse e cliccca su elimina

tasto f3 per il successivo, in quanto ce ne saranno piu di 1

[CyBeRdAeMoN]

Salve ragazzi inutile dire che ho lo stesso problema ,ora sono infetto pieno pieno e vi posto il mio log cosi vedete se c'è qualcosa di diverso che vi fa venire in mente qualcosa !Io ho provato in tutti i modi e con tutti i prog !piano piano vi dico tutto quello che mi trovano i vari prog,intanto ditemi cosa devo lasciar stare vedendo il log e cosa invece è sospetto!
STO SU WIN98

Logfile of HijackThis v1.99.1
Scan saved at 15.30.34, on 04/03/05
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMMI\LOGITECH\MOUSEWARE\SYSTEM\EM_EXEC.EXE
C:\PROGRAMMI\LOGITECH\ITOUCH\ITOUCH.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\TEMP\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: (no name) - {4DF8806E-8C3F-11D9-BB98-44450943F25C} - C:\WINDOWS\SYSTEM\HOLKJAA.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\LOGITECH\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [zBrowser Launcher] C:\PROGRA~1\LOGITECH\ITOUCH\iTouch.exe
O4 - HKLM\..\Run: [sp] rundll32 C:\WINDOWS\TEMP\SE.DLL,DllInstall
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE10\EXCEL.EXE/3000
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O12 - Plugin for .pdf: C:\PROGRA~1\INTERN~1\PLUGINS\nppdf32.dll
O15 - Trusted Zone: http://www.master69.biz
O15 - Trusted Zone: http://www.sgrunt.biz
O15 - Trusted Zone: http://www.yeak.net
O16 - DPF: {15320607-1001-1831-1000-118599957123} - ms-its:mhtml:file://C:\PATH.MHT!http://195.225.176.5//d//btumxlh//pmrzwfa//bzbobhb//irkqpg//IT//arct.chm::/painter.exe
O16 - DPF: {FFFF0001-0001-101A-A3C9-08002B2F49FC} - http://www.desktoplife.net/generale.exe
O16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab
O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab
O16 - DPF: {00000000-0000-0000-0000-000020040000} - ms-its:mhtml:file://c:\foo.mht!http://67.15.130.39/x3x/itflat26.chm::/dialer.exe
O18 - Filter: text/html - {23322420-8CB8-11D9-BB98-BA55E77A4EF1} - C:\WINDOWS\SYSTEM\HOLKJAA.DLL
O18 - Filter: text/plain - {23322420-8CB8-11D9-BB98-BA55E77A4EF1} - C:\WINDOWS\SYSTEM\HOLKJAA.DLL

[Dylan666]

Lo riscrivo pure qui: è inutile che posti il LOG, devi leggerti quanto è già stato scritto, rassegnati a farlo.

[CyBeRdAeMoN]

Be almeno dammi un punto di partenza per capire se c'è una soluzione perche non c'è molto da capire!!

[Dylan666]

Il topic è ancora in fase di sviluppo anche perché (senza offesa ) gli ultimi arrivati accodano log chilometrici senza vedere cosa è già stato detto.

Alcuni file sono stati individuati e qualcuno pare abbia già risolto, riportando dettagliatamente i passaggi.
Ma ancora non abbiamo capito se è una soluzione universale, dato che i "nuovi infetti" non leggono i vecchi post e continuano a incollare log nuovi.

Perchè invece non ci iauti a capire se quanto scritto una o due pagine indietro in questo topic funziona?

Ne avrai giovamento sia tu sia tutti gli altri

[CyBeRdAeMoN]

Daccordo ci provo,ma non vedere come un offesa al vostro lavoro ogni volta che qualcuno posta un log, io cercavo solo aiuto,ora sto dando un occhiata ma dura ricavare cose diverse, io volevo farvi solo una domanda non ho notato nessuno che parla di una cartella che si riforma in c:programmi/search assistant e in installazione applicazioni mi ritrovo search assistant uninstall ! Voi lo avete mai trovato?

[^TaRa^]

Sì io avevo la voce in "installazione applicazioni" ma non la cartella

[Dylan666]

Daccordo ci provo,ma non vedere come un offesa al vostro lavoro ogni volta che qualcuno posta un log

Sia chiaro, io non la vedo come un'offesa, anche perché il PC ce l'ho pulito. Penso solo a quelli dopo che vengono e magari per inutili allungamenti non trovano post molto dettagliati e strategici come questi:

http://www.pc-facile.com/forum/_vp180486.html#180486

http://www.pc-facile.com/forum/_vp181404.html#181404

http://www.pc-facile.com/forum/_vp183390.html#183390

http://www.pc-facile.com/forum/_vp184025.html#184025

Mi chiedo se tu stesso prima di postare ci avessi fatto caso o meno.

[Gaplus]

Un saluto a tutto il forum!

Iniziamo subito con una rogna mica da ridere..

Lavoro come tecnico|consulente informatico e questo problema affligge un pc su due tra quelli che ho in gestione..

La soluzione che ho trovato mi ha dato su 30 casi un esito positivo e solo in 2 casi il problema si è ripresentato ma in forma nettamente ridotta.

Il programma utilizzato è hijackthis ed elimino sempre queste chiavi:

TUTTE quelle dove appare about blank
TUTTE quelle dove appare la libreria dinamica se.dll
Le ultime due, le 018 o 017..

Ora, questo non è sufficiente.
Prima svuotiamo la cartella temporanea di windows e assicuriamoci che il file se.dll venga cancellato.
Se non ci riusciamo avviamo il sistema con un floppy e in DOS eliminiamo suddetta libreria.
E' necessario creare un file fantasma da 16Kb e rinominarlo in se.dll.
Lo copiamo nella cartella c:\windows\temp e cambiamo gli attributi in sola lettura e nascosto.
Ora riavviamo il sistema e appena si sarà ricaricato il S.O. apriamo Internet explorer e andiamo a cambiare la pagina iniziale da about blank in quella che preferiamo.
Chiudiamo e riapriamo I.E. e il problema è risolto.
Se non funziona è perchè si possono verificare due casi particolari.

Il primo:
il sistema è infetto anche da altri Trojan che aiutano questo a ripristinarsi ma è un caso davvero raro.

Il secondo:
L'internet Explorer punta ad un'altra cartella temp.

Provate, dovrebbe essere una buona soluzione.
Mi sono fuso il cervello per sta cosa!

[matteoc1978]

usando il programma CWShredder nel log ho trovato che c'erano un paio di voci strane in Browser Helper Object, nel mio caso le voci strane erano:

BHO:[]
BHO: c:\windows\system32\eoamiv~1.dll

cercando con regedit la voce eoamiv~1.dll e l'ho eliminata, sono risalito alla chiave {01FB9C55-FC66-4476-A199-389241193188} e così ho cercato ed eliminato anche questa, inoltre quando ho trovato questa chiave in Browser Helper Object c'era anche la chiave vuota {011DA08-9D65-44AB-AEF5-3C82CEC378E9} che francamente penso non sia importante ma l'ho eliminata lo stesso.
Ovviamente ho fatto questo dopo aver eliminato sia nei Temp che nel registro tutte le voci che si riferivano al file se.dll.

Spero di essere stato di aiuto.

[SPLINGA]

CIAO GAPLUS!!

LA TUA SOLUZIONE MI SEMBRA BUONA E COMUNQUE VORREI PROVARLA!
POTRESTI PERO' SPIEGARMI COME FACCIO A CREARE "UN FILE FANTASMA DA 16 KB" ??? IL RESTO POI DOVREBBE ESSERMI CHIARO!!
GRAZIE DELL'AIUTO!!!

NICOLO'

[Dylan666]

La Netiquette chiede di non scrivere tutto in maiuscolo

[dado]

CIAO GAPLUS!!

LA TUA SOLUZIONE MI SEMBRA BUONA E COMUNQUE VORREI PROVARLA!
POTRESTI PERO' SPIEGARMI COME FACCIO A CREARE "UN FILE FANTASMA DA 16 KB" ??? IL RESTO POI DOVREBBE ESSERMI CHIARO!!
GRAZIE DELL'AIUTO!!!

NICOLO'

X favore, non scrivere tutt maiuscolo, x la netiquette è come urlassi.

X creare il file fantasma, apri il blocconote (notepad) e salva il file come se.dll.

[CyBeRdAeMoN]

Ragazzi io finalmente Ho risolto
ho fatto cosi
C: format invio.

[Dylan666]

Insomma hai lasciato "vincere" lo spyware senza trovare la soluzione se si riproponesse il problema.
De gustibus