Elitum.Elite mai sentito?

[MaxPower78]

Mi scuso in anticipo per la richiesta che sto per farvi ma ho il computer incasinato da 2 giorni.
Ieri connettendomi per la prima volta ad internet,con un modem adsl non Alice,ho beccato qualche cacchio di spyware o virus.
Mi segnalava dapprima W32.SPYBOT.WORM con i suoi file annessi:winmes.exe, winole.exe etc...
Con la dovuta cautela e con Ad-aware e Spybot sono riuscito a vedere in che chiave di registro risiedevano e li ho eliminati.
Dimenticavo di dire che sul mio pc è installato norton internet security e il fastidio + grande, oltre quello di continui pop-up(Viagra,Valium,Casino on line...) che si aprivano, c'erano continue segnalazioni del norton del virus W32...
Dopo aver creduto di aver fatto pulizia ho riavviato e mi sono riconnesso.
Il problema sembrava risolto ma dopo poco è comparso un nuovo avviso di norton che parlava di un certo DOWNLOAD.TROJAN con conseguenti pop-up(i soliti viagra,valium...).
I file winmes.exe, winole.exe... sembrano spariti ma il problema no.
Per giunta ora ogni volta che faccio una scansione con AdAware o spybot il risultato è sempre lo stesso mi trova questo cacchio di ELITUM.ELITE che nelle chiave di registro che mi segnala non sembra neanche esserci.
Allora approdato a questo forum ho letto del programma hijackthis l'ho immediatamente scaricato e questo è il risultato:

Logfile of HijackThis v1.99.1
Scan saved at 0.51.57, on 11/03/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton Internet Security\NISUM.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Norton Internet Security\NISSERV.EXE
C:\Programmi\Norton Internet Security\SymProxySvc.exe
C:\WINDOWS\System32\VTTimer.exe
C:\WINDOWS\System32\VTtrayp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\Lexmark 2200 Series\lxbvbmgr.exe
C:\WINDOWS\System32\task.exe
C:\WINDOWS\System32\scmss.exe
C:\WINDOWS\System32\MSDATLST.exe
C:\Programmi\Lexmark 2200 Series\lxbvbmon.exe
C:\PROGRA~1\NORTON~1\navapw32.exe
C:\Programmi\Norton Internet Security\IAMAPP.EXE
C:\Programmi\Trust\CnxDslTb.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\MSDATLST.exe
C:\Program Files\interMute\SpySubtract\SpySub.exe
C:\Programmi\VIA\RAID\raid_tool.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Programmi\Norton Internet Security\ATRACK.EXE
C:\Programmi\File comuni\Symantec Shared\NMain.exe
C:\PROGRA~1\NORTON~1\navw32.exe
C:\PROGRA~1\NORTON~1\QServer.exe
C:\Documents and Settings\User\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.virgilio.it/home/index.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName
=
Collegamenti
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Lexmark 2200 Series] "C:\Programmi\Lexmark 2200
Series\lxbvbmgr.exe"
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Programmi\Lexmark Fax
Solutions\fm3032.exe"
/s
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [EXPLORER MICROSOFT SYSTEM] task.exe
O4 - HKLM\..\Run: [Security Patch] scmss.exe
O4 - HKLM\..\Run: [MS windows Data list process] MSDATLST.exe
O4 - HKLM\..\Run: [antiware] C:\windows\system32\elitepyl32.exe
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [iamapp] C:\Programmi\Norton Internet
Security\IAMAPP.EXE
O4 - HKLM\..\Run: [trustras] trustras.exe
O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Programmi\Trust\CnxDslTb.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor]
C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programmi\File comuni\Symantec
Shared\Security
Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Programmi\Trojan
Remover\Trjscan.exe
O4 - HKLM\..\RunServices: [EXPLORER MICROSOFT SYSTEM] task.exe
O4 - HKLM\..\RunServices: [Security Patch] scmss.exe
O4 - HKLM\..\RunServices: [MS windows Data list process] MSDATLST.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [EXPLORER MICROSOFT SYSTEM] task.exe
O4 - HKCU\..\Run: [MS windows Data list process] MSDATLST.exe
O4 - Startup: Riprendi l'installazione di Windows Update.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File
comuni\Adobe\Calibration\Adobe
Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft
Office\Office10\OSA.EXE
O4 - Global Startup: SpySubtract.lnk = C:\Program
Files\interMute\SpySubtract\SpySub.exe
O4 - Global Startup: VIA RAID TOOL.lnk =
C:\Programmi\VIA\RAID\raid_tool.exe
O4 - Global Startup: WinZip Quick Pick.lnk =
C:\Programmi\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline
Control)
- http://www.bitdefender.com/scan/Msie/bitdefender.cab
O17 -
HKLM\System\CCS\Services\Tcpip\..\{8DE23428-4710-4C50-A0C3-176A266CB123}:
NameServer = 85.37.17.17 151.99.125.1
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. -
C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) -
Symantec
Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Internet Security Service (NISSERV) - Symantec
Corporation
- C:\Programmi\Norton Internet Security\NISSERV.EXE
O23 - Service: Norton Internet Security Accounts Manager (NISUM) -
Symantec
Corporation - C:\Programmi\Norton Internet Security\NISUM.EXE
O23 - Service: ScriptBlocking Service (SBService) - Symantec
Corporation
- C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec
Corporation
- C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: Norton Internet Security Proxy Service (SymProxySvc) -
Symantec
Corporation - C:\Programmi\Norton Internet Security\SymProxySvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation -
C:\Programmi\File
comuni\Symantec Shared\Security Center\SymWSC.exe

So che per voi il problema è di una banalità sconvolgente ma mi metto nelle vostre mani sicuramente più esperte delle mie!!
Se potete e volete aiutarmi ve ne sono grato e ancora di + se mi spiegate come faccio a capire quali sono i file che posso eliminare e come fate voi a capirlo, perchè il sito che legge il log file di hijack da delle diagnosi abbastanza vaghe.
Grazie ancora!

[Dylan666]

Incolla il log qui e documentati sulle voci segnate in giallo, per capire se sul tuo PC ci devono essere o no:

http://hijackthis.de/index.php?langselect=italian

[MaxPower78]

Scusa Dylan ma come faccio a capirlo?

[Dylan666]

Vedi le propretà dei file, li cerchi in Google ecc, in pratica segui quanto detto qui:
http://www.pc-facile.com/guida_hijackthis_t148946/

Per molte segnalazioni non è che sia una impresa:

O4 - HKLM\..\Run: [Lexmark 2200 Series] "C:\Programmi\Lexmark 2200
Series\lxbvbmgr.exe"
O4 - HKLM\..\Run: [FaxCenterServer] "C:\Programmi\Lexmark Fax
Solutions\fm3032.exe"

Quelle due voci sarranno pure ignote a quelli del sito di HijackThis ad esempio, ma tu dovresti ben sapere che sono programmi della tua stampante Lexmark. Quindi vanno eliminate della lista dei sospetti.

[MaxPower78]

Grazie Dylan ora cerco di risolvere!
Ma tu che mi sembri esperto lo conosci sto ELITUM.ELITE?

[Dylan666]

Altra cosa: hai intitolato il topic "Elitum.Elite mai sentito?".
Io no, non l'ho mai sentito, ma sai come rimedio in 3 clic?

1. Vado su Google e scrivo Elitum.Elite
   
2. Vado a vedere il primo risultato
   
3. In quel sito viene l'inkata la pagina del tool di rimozione gratuito

Con 3 semplici passaggi ho saputo cose è quel doftware e come toglierlo.
Alle volte basta veramente poco

[MaxPower78]

Dylan sei proprio un grosso!!
Vado subito a vedere!
Scusa la mia ignoranza!!
Se puoi!!
Grazie per la disponibilità!

[Dylan666]

Chiedo scusa per gli errori di battitura (l'inkata, cose è e doftware) ma l'ora tarda si fa sentire

[MaxPower78]

Se ragionassi a mente fresca come ragioni te alle 3:30 mi chiamerei Bill e la Microsoft sarebbe roba mia!

[Dylan666]

Oltre a chiederti di dare conferma che il tool ti abbia rimosso il malware ti invito a prendere in cosiderazione il mettere il SP2 OPPURE mettere un firewall "serio" OPPURE attivare almeno il firewall di XP.

Altrimenti i virus worm continuerai a prenderli ciclicamente all'infinito...

[MaxPower78]

Windows l'ho aggiornato!
Forse tardi!
Comunque domani provo e ti faccio sapere!
Grazie Dylan sei cmq un grande!!
Spero che un giorno tu abbia un problema al pc che io ti possa aiutare a risolvere!!

[Dylan666]

Windows l'ho aggiornato!
Forse tardi!

Meglio tardi che mai dice il proverbio
Ora dovresti essere protetto dai worm, ti resta solo di prestare attenzione agli allegati e exe che apri e lo sperare di non cadere vittima di un bug di Outlook o Explorer sfruttato a tuo danno

Mi raccomando continua coi Windows Update costanti.

PS: grazie dei complimenti

[MaxPower78]

Ieri ho scaricato il tool di rimozione dal forum da te indicato.
Ho riavviato il pc in modalità provvisoria e ho mandato il file in esecuzione.
Pare che il toolbar di Elitum sia stato rimosso infatti dopo aver dato un'ultima ripulita con ad-aware pare che il problema non si manifesti più.
Mi rimane ancora un piccolo dubbio che sinceramente non riesco a capire ma che tu Dylan sicuramente scioglierai brillantemente.
Quando mi connetto il numero di connessione, ad ogni avvio, pare modificato(scrive 000000), ma se provo a connettermi lo fa senza problemi.
Da cosa potrebbe dipendere se ora tutti i miei antivirus, spyware, etc... non rivelano più nulla?
E' un problema che posso e devo risolvere o me ne frego e vivo la mia vita senza cambiare ogni volta numero di connessione?
ILLUMINAMI O GRANDE DYLAN!!

[Dylan666]

se la connessione fosse stata cambiata non è che l'antivirus te lo segnalerebbe, intanto perché non tutti i dialer vengono riconosciuti, e poi perché il file di connessione in se è un file normale, che abbia un numero che non è il tuo solito non è che di per se possa far scattare l'antivirus (lui che ne sa che numero usi di solito e che non l'hai cambiato a mano?). Se vuoi esere sicuro rifai la connessione per bene con il numero che desideri.

[MaxPower78]

Già fatto ma ogni volta che riavvio appare 000000 come numero.
Ma se provo a connettermi senza cambiarlo funziona lo stesso!
Che devo fare?

[Dylan666]

il problema è: puoi essere sicuro al 200% che si connetta veramente al numero che vuoi tu e non a una connessione a tariffazione maggiorata? certo che le cifre non corrispondano è strano. Parliamo di una connessione 56k, vero? Non adsl insomma

[MaxPower78]

No no è un adsl!
E' quella la cosa strana.
Infatti non mi preoccupo ma non capisco perchè appare questo 000000 invece dell' 8,35 impostato per la linea Adsl di Alice.
Che sia una sorta di crittografia come per la password?
Ma perchè?

[Dylan666]

Anche io nella composizione ho un numero strano (p0,32) ma se hai l'ADSL non ti devi preoccupare che cambi, tanto il rischio dialer non c'è, assicurati solo che la connessione veda alla stessa velocità che come col numero che aveva prima.

[dado]

No no è un adsl!
E' quella la cosa strana.

Tranquillo, è tutto normale.
Anche io ho l'ADSL e come numero di composizione ho 0000000.
Prima, con la versione precedente del modem che ho ora, componeva invece 8,35. Da quando mi hanno cambiato modem che s'era incenerito causa fulmine (in garanzia, x fortuna), invece, compone lo 0000000.

[MaxPower78]

No il codice p0,32 è un altro codice di Alice non è strano.
Sul pc precedente avevo quello.
Il fatto è che ogni volta che riavvio appare questo 0000000.
Ma la connessione, che ho testato in questo sito: http://www.mclink.it/azienda/meter.htm
non sembra subire variazioni la velocità è quella media di un Adsl di alice.
Ora non capisco per quale motivo riappare ogni volta questo 000000 se poi si connette regolarmente.
Sarà una sorta di crittografia?
Ma perchè crittografare il num di connessione?
C'è un altro modo per veder con che codice mi connetto effettivamente?
Lo so che sto un po' rompendo le palle ma a questo punto voglio sapere se è davvero tutto ok!
Grazie!