trojan smitfraud

[Kitto]

Logfile of HijackThis v1.99.1
Scan saved at 16.56.14, on 30/06/2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\AVPersonal\AVGUARD.EXE
C:\Programmi\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\Mixer.exe
C:\Programmi\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\ADSL\StarModem ADSL USB MODEM\DSLMON.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Kitto\Impostazioni locali\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.kitto.altervista.org/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [9xadiras] 9xadiras.exe
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKLM\..\Run: [BearShare] "C:\Programmi\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [AVGCtrl] C:\Programmi\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [intel32.exe] C:\WINDOWS\System32\intel32.exe
O4 - HKLM\..\Run: [PSGuard] C:\Programmi\PSGuard\PSGuard.exe
O4 - HKLM\..\Run: [VIRIT LITE MONITOR] C:\VEXPLITE\MONLITE.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: DSLMON.lnk = C:\Programmi\ADSL\StarModem ADSL USB MODEM\DSLMON.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O15 - Trusted Zone: http://www.archiviosex.net
O15 - Trusted Zone: http://www.skymasters.biz
O17 - HKLM\System\CCS\Services\Tcpip\..\{11E4C0B9-684A-4C7F-8910-53C9FD2AA514}: NameServer = 193.70.152.15 193.70.152.25
O17 - HKLM\System\CS2\Services\Tcpip\..\{11E4C0B9-684A-4C7F-8910-53C9FD2AA514}: NameServer = 193.70.152.15 193.70.152.25
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programmi\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programmi\AVPersonal\AVWUPSRV.EXE

quando intendi il log di virit intendi questo qui ???

cmq GRAZIe per l'aiuto, adesso provo a fare come mi hai detto tu....ma sappi che io sono veramente IMBRANATO all'ENNESIMA POTENZA!!!
grazie e speriamo che ciò che ho postato vada bene

cri

[Tiseria]

quando intendi il log di virit intendi questo qui ???

No, quello è il log di Hijackthis.

Per vedere il log di Virit, dal menu Scan->Visualizza file Log

Hai aggiornato Virit all'ultima versione 5.2.25 ?

Dopo disinstalla il programma PSGuard, ci dovrebbe essere l'Uninstall.

Ciao

[Kitto]

SCANSIONE DELLA MEMORIA
OK
--------------------------------------------------------
30/06/2005 - 17:00:56

[SCANSIONE DEL REGISTRO]
OK

[A:]
BOOT SECTOR: OK


[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK

C:\Documents and Settings\Kitto\Impostazioni locali\Temporary Internet Files\Content.IE5\S9MF4XA3\A505_634_7_ax[1].exe Possibile variante da Trojan.Win32.Small.DK

[D:]


[E:]


Chiavi Registro infette: 0.
Files Infetti: 1.
Files Sospetti: 0.
Files Analizzati: 126625.
Files Totali: 126625.
Chiavi Registro rimosse: 0.
Virus Rimossi: 0.


questo dovrebbe essere il log giusto vero ?
non è riuscito a cancellare questo file.
mi sai dire qualcosa in più adesso.

cmq GRAZIE 1000 perchè seguendo le tue istruzioni, ho rimesso il desktop aposto......però il virus c'è ancora ??

grazie per la pazienza

cri

[toni84]

ciao il problema non esiste basta che svuota i file temporanei gia che ci sei dai anche una pulita hai cookie ed al cache,una passata con ccleaner e con regseeker,poi rifai la scansione e vedi se ricompare(penso di no)ciao ciao

[Tiseria]

C:\Documents and Settings\Kitto\Impostazioni locali\Temporary Internet Files\Content.IE5\S9MF4XA3\A505_634_7_ax[1].exe Possibile variante da Trojan.Win32.Small.DK

Si tratta di una possibile variante, cioè una cosa nuova per Virit.
Ma essendo nei file temporanei di internet, lo puoi cancellare tranquillamente.

Esegui Virit, ed imposta dalle OPZIONI l'azione in: Ricerca con CANCELLAZIONE file con richiesta.

Adesso ripeti la ricerca solamente della cartella C:\Documents and Settings
ed il gioco e' fatto.

Ciao

[Dylan666]

Comunque incollerei i log di hijackthis qui e lo farei analizzare perchè vedo pure altre schifezze.

http://hijackthis.de/index.php?langselect=italian

[toni84]

Si tratta di una possibile variante, cioè una cosa nuova per Virit.
Ma essendo nei file temporanei di internet, lo puoi cancellare tranquillamente.

ciao penso che abbiamo detto la stessa cosa,poi se volevi dare la conferma perchè ti reputi superiore è un altro conto facendo così screditi le persone che hanno detto la stessa cosa,solo che fai capire che la tua conferma e superiore a quello che dicono gli altri!!!è solo un appunto!!!ciao ciao

[Tiseria]

Scusami ma io non volevo screditare nessuno. I tuoi interventi sono sempre corretti, infatti il tuo consiglio di usare CCleaner è giusto.

Ho solo segnalato un altro modo per cancellare quel file utilizzando Virit.

Ciao

[toni84]

guarda che per me nessun problema ti volevo solo far capire quella cosa,tranquillo capirai per così poco anzi nulla ciao ciao

[ciaogianpy]

Ho windows 2000 e purtroppo mi son beccato il virus in oggetto.

In modalià provvisoria ho lanciato 2 anti virus AVg e sysclean.

Ho cancellato, se trovato alcuni files come ad es.
C:\WINNT\System32\wldr.dll
C:\WINNT\System32\helper.exe
C:\WINNT\System32\intmonp.exe
C:\WINNT\System32\msmsgs.exe
C:\WINNT\System32\ole32vbs.exe
C:\WINNT\system32\msole32.exe
C:\wp.exe
C:\wp.bmp
c:\bsw.exe
c:\bsw.bmp

ed effetivamente la famosa schermata blu non compare +.

Poi ho lanciato CCleaner + EasyCleaner.

Rilanciando sia in modalità provvisoria che non, i 2 antivirus non rilevano niente ma purtroppo, nella barra in basso a destra, mi compare sempre un'icona rossa che mi rimanda al sito http://www.psguard.com/?aff=1&sub=0 e mi dice your computer is infected.

Non trovo nel mio pc, il programma psguard nè ovviamente la possibilità di disinstallarlo.

Se non bastasse anche se ho disintallato msn messenger, mi compaiono continuamente finestre ( Servizio Messenger ) che mi avvisano che your privacy is in danger e mi rimandano a vari siti come ad es. http://swipespy.com.

Mi aiutate per piacere ? Attenzione sono inesperto.

Grazieeeeeeeeeee

[Dylan666]

L'iconcina in basso che porta al sito dell'antivirus secondo me è uno spyware. Posta un log di HijackThis:
http://www.pc-facile.com/guida_hijackthis_t148946/

Per il servizio del Messeneger vedi qui:
http://www.pc-facile.com/forum/viewtopi ... +messenger

[ciaogianpy]

Per il servizio del Messeneger vedi qui:
http://www.pc-facile.com/forum/viewtopi ... +messenger[/quote]

Come mi hai indicato ho scaricato il file ed effettivamente i messaggi non compaiono +. Poichè la pagina è tutta scritta in inglese che non conosco, vorrei capire :
1 - i messaggi li ho semplicemente disabilitati
2- erano messaggi di finto allarme

Se riabilito con lo stesso programmino mi ricompaiono e quindi disabilitandoli, eventuali messaggi futuri, non li leggerò ?

[Dylan666]

Sì, i messaggi erano di finto allarme e sfruttavano un servizio di Windows che ora hai disabilitato. Se riabiliti il servizio potresti ricevere altri falsi avvisi.

[Kitto]

Volevo ringraziare tutti coloro che mi hanno aiutato !!
grazie, il problema è stato risolto !!

un salutone

Cri