Errore explorer

[gughydea]

Sono in crisi... Appena avvio explorer (versione 6.0 sp1) si verifica un errore: appname iexplorer.exe AppVer: 6.0.2800.1106 ModName: msvcrt.dll .... Inoltre qualsiasi aggiornamento o programma tento di installare mi da errore.exe ho disabilitato il firewall ecc ma non cambia nulla (il mio sistema operativo è W 2k) grazie e ciao

[Dylan666]

Per sicurezza comincia a postare un log di HijackThis:
http://www.pc-facile.com/guida_hijackthis_t148946/

[gughydea]

Come volevasi dimostrare HijackThis non si installa perchè cerca di lanciare il .exe ...fa con tutti i programmi così .. inoltre permane l'errore di explorer ... se puoi aiutarmi grazie ciao

[Dylan666]

Ops, scusa, non avevo notato la cosa degli exe. Succede pure se lo fai da modalità provvisoria? Potrebb essere questo virus:
http://www.pc-facile.com/forum/viewtopi ... us+regedit

[gughydea]

grazie stasera ci provo e poi ti faccio sapere

[gughydea]

non va neanche se uso la mod. provvisoria ...l'unico antivirus che gira è bitdefender online ma non so ...trova 2 virus e non riesce a cancellarli..ho fatto un'immagine del risultato ma non so come mandartela ...grazie ciao[/img]

[gughydea]

ecco i Results

Identified Viruses
2

Infected Files
3

Suspect Files
0

Warnings
0

Disinfected
0

Deleted Files
2
Engines Info
Virus Definitions
254773
Engine build
AVCORE v1.0 (build 2292) (i386) (Mar 3 2005 11:57:29)
Scan plugins
13
Archive plugins
39
Unpack plugins
4
E-mail plugins
6
System plugins
1
Scan Settings
First Action
Disinfect
Second Action
Delete
Heuristics
Yes
Enable Warnings
Yes
Scanned Extensions
*;

Exclude Extensions


Scan Emails
Yes

Scan Archives
Yes

Scan Packed
Yes

Scan Files
Yes

Scan Boot
Yes

Scanned File
Status

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\C3VVEKLX\main[1].chm=>/main.htm=>(JAVASCRIPT 1)
Infected with: Exploit.ADODB.Stream.Gen

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\C3VVEKLX\main[1].chm=>/main.htm=>(JAVASCRIPT 1)
Disinfection failed

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\C3VVEKLX\main[1].chm=>/main.htm=>(JAVASCRIPT 1)
Deleted

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\C3VVEKLX\main[1].chm=>/main.htm
Updated

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\C3VVEKLX\main[1].chm
Update failed

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\ZGSU5W07\main[1].chm=>/main.htm=>(JAVASCRIPT 1)
Infected with: Exploit.ADODB.Stream.Gen

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\ZGSU5W07\main[1].chm=>/main.htm=>(JAVASCRIPT 1)
Disinfection failed

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\ZGSU5W07\main[1].chm=>/main.htm=>(JAVASCRIPT 1)
Deleted

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\ZGSU5W07\main[1].chm=>/main.htm
Updated

C:\Documents and Settings\Administrator\Impostazioni locali\Temporary Internet Files\Content.IE5\ZGSU5W07\main[1].chm
Update failed

C:\WINNT\system32\wininet.dll
Infected with: Trojan.WininetHook.A

C:\WINNT\system32\wininet.dll
Disinfection failed

C:\WINNT\system32\wininet.dll
Delete failed

grazie

[Dylan666]

Scusa, ma hai guardato il link che ti ho dato? Con quello puoi vedere se hai lo stesso virus descritto lì

[lucas/s]

Non è il sircam ma lo smitfraud,c'è un tool ma non so se posso linkare una guida esterna al forum,vabbe casomai faccio un copia e incolla potrebbe essere utile ad altri
Il tool può essere scaricato da uno di questi link
http://noahdfear.geekstogo.com/click%20cou.../click.php?id=1
http://www.downloads.subratam.org/smitRem.exe

Una volta scaricato il tool da uno dei link salvalo sul desktop ed esegui il file smitRem.exe
Il tool creerà una nuova cartella sul desktop Smitrem
Una volta estratto tutti i files

avvia il pc in modalità provvisoria
Recati sul desktop e apri la cartella Smitrem
Doppio click sul file RunThis.bat

e segui le istruzioni a schermo(inglese)

Quando il tool ha finito

ti avviserà che puoi eseguire la pulizia dei file temporanei tramite l'utility di Windows
Finito la pulizia, riavvia il pc in modalità normale
Il tool rilascia un rapporto dove è scritto ciò che ha trovato ed eliminato,il rapporto viene rilasciato nella partizione dove è installato il sistema operativo(di solito C:\)e si chiama C:\Smitfiles


Ciao

[Dylan666]

non so se posso linkare una guida esterna al forum

Tutto quello che è utile può essere postato, indipendentemente dal sito da cui proviene

[gughydea]

grazie ho fatto !!
grandi!
ora funziona explorer
..purtroppo i .exe però non vanno ad esempio non riesco ad aggiornare nulla
grazie

[gughydea]

mitRem © log file
version 2.8

by noahdfear


Microsoft Windows 2000 [Versione 5.00.2195]

Running from
C:\Documents and Settings\Administrator\Desktop\smitRem

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Pre-run SharedTask Export

(GetSTS.exe) SharedTaskScheduler exporter by Lawrence Abrams (Grinler)
Copyright(C) 2006 BleepingComputer.com

Registry Pseudo-Format Mode (Not a valid reg file):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Precaricatore Browseui"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Daemon di cache delle categorie di componenti"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

checking for ShudderLTD key

ShudderLTD key not present!

checking for PSGuard.com key


PSGuard.com key not present!


checking for WinHound.com key


WinHound.com key not present!

spyaxe uninstaller NOT present
Winhound uninstaller NOT present
SpywareStrike uninstaller NOT present

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Existing Pre-run Files


~~~ Program Files ~~~



~~~ Shortcuts ~~~



~~~ Favorites ~~~



~~~ system32 folder ~~~

oleext.dll


~~~ Icons in System32 ~~~



~~~ Windows directory ~~~



~~~ Drive root ~~~


~~~ Miscellaneous Files/folders ~~~




~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Command Line Process Viewer/Killer/Suspender for Windows NT/2000/XP V2.03
Copyright(C) 2002-2003 Craig.Peacock@beyondlogic.org
Killing PID 176 'explorer.exe'
Killing PID 176 'explorer.exe'
Error 0x5 : Accesso negato.


Starting registry repairs

Registry repairs complete

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

SharedTask Export after registry fix

(GetSTS.exe) SharedTaskScheduler exporter by Lawrence Abrams (Grinler)
Copyright(C) 2006 BleepingComputer.com

Registry Pseudo-Format Mode (Not a valid reg file):

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Precaricatore Browseui"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Daemon di cache delle categorie di componenti"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{438755C2-A8BA-11D1-B96B-00A0C90312E1}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8C7461EF-2B13-11d2-BE35-3078302C2030}\InProcServer32]
@="%SystemRoot%\System32\browseui.dll"


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Deleting files

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~


Remaining Post-run Files


~~~ Program Files ~~~



~~~ Shortcuts ~~~



~~~ Favorites ~~~



~~~ system32 folder ~~~



~~~ Icons in System32 ~~~



~~~ Windows directory ~~~



~~~ Drive root ~~~



~~~ Miscellaneous Files/folders ~~~


~~~ Wininet.dll ~~~

wininet.dll INFECTED!! Starting replacement procedure.


~~~~ Looking for C:\WINNT\system32\dllcache\wininet.dll ~~~~


~~~~ C:\WINNT\system32\dllcache\wininet.dll Present! ~~~~


~~~~ Checking dllcache\wininet.dll for infection ~~~~


~~~~ dllcache\wininet.dll Clean! ~~~~

~~~ Replaced wininet.dll from dllcache ~~~



~~~ Upon reboot ~~~

wininet.old present!
oleadm.dll not present!
oleext.dll not present!


~~~ Upon completion ~~~

wininet.old not present!
oleadm.dll not present!
oleext.dll not present!


~~~~ Rechecking C:\WINNT\system32\wininet.dll for infection ~~~~


~~~~ C:\WINNT\system32\wininet.dll Clean! ~~~~

[gughydea]

non riesco proprio a far girare nulla nessun aggiornamento o installazione programma .exe ; può essere un fattore di protezione o cos'altro?
grazie ancora

[gughydea]

mi potete aiutare?

[Luke57]

Ciao, prova a fare questo tentativo, dalla modalità provvisoria :
dopo aver reso visibili file e cartelle di sistema (esplora risorse>strumenti>opzioni cartella>visualizzazione>metti il segno di spunta a "visualizza file e cartelle nascoste" e tglilo a "nascondi file prottetti di sistema (consigliato). Da start>con la funzione cerca, scegli tutti i file e cartelle nel campo testo scrivi wp.exe , clicchi sul menu a tendina Cerca in e sull'icona del disco fisso C, clicchi poi su Cerca
Se trovi il file wp.exe lo elimini cliccando con il tasto destro e scegliendo elimina
Fai la stessa cosa , questa volta cercando il file wp.bmp
Se effettivamente hai trovato ed eliminato i suddetti file, bisogna ripulire il registro di sistema così:
Start>esegui>regedit ( lo scrivi nello spazio bianco)>OK Nella nuova finestra clicchi sulla voce Modifica del menu contestuale poi su Trova Nel campo di testo, scrivi wp.exe, deselezioni la voce stringa intera e premi Invio
Quando a destra della finestra compare una riga contenente wp.exe
cliccaci sopra con il tasto dx del mouse e nel menu che compare clicchi su Elimina Premi il tasto f3 della tastiera per controllare se vi sono altre voci che contengano wp.exe . Se ci sono, con il medesimo procedimento, le elimini. Quando un messaggio ti comunica che la ricerca è terminata, ripeti la medesima operazione per trovare ed eliminare wp.bmp

[gughydea]

purtroppo ho seguito la procedura ma non è cambiato nulla ... addirittura ieri sera ho montato un dvd ma non parte mi da errore.exe sono nei guai ma nn voglio arrivare al format .. non so che fare ...grazie

[Luke57]

Ciao di nuovo, hai un antivirus? Può darsi che error.exe sia dovuto a un virus. Aggiorna l'antivirus, fai una scansione dalla modalità provvisoria.

[Luke57]

Ciao, scarica hijackthis da qui:
http://downloads.subratam.org/Move_hijackthis.zip
il file all'interno dell'archivio ha un'estensione .vbs e ti pemetterà di postarlo.

[gughydea]

Grazie 1000.... ho fatto partire il hijackthis da modalità provvisoria e il risultato lo allego perchè come consigliatomi è meglio stare attenti a cosa si cancella vero?Eccolo....

Logfile of HijackThis v1.99.0
Scan saved at 20.03.24, on 19/02/2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOCUME~1\ADMINI~1\IMPOST~1\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer - TELE2Internet
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [Smapp] C:\Programmi\Analog Devices\SoundMAX\Smtray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NewsUpd] C:\Programmi\Creative\News\NewsUpd.EXE /q
O4 - HKLM\..\Run: [Disc Detector] C:\Programmi\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [REGSHAVE] C:\Progra~1\REGSHAVE\REGSHAVE.EXE /autorun
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Ulead Memory Card Detector] C:\Programmi\Ulead Systems\Ulead Photo Explorer 7.0\Monitor.exe
O4 - HKLM\..\Run: [RealTray] C:\Programmi\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [LVCOMS] C:\Programmi\File comuni\Logitech\CamDrvr\LVCOMS.EXE
O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Programmi\Logitech\ImageStudio\LogiTray.exe
O4 - HKLM\..\Run: [LogitechVideoRepair] D:\Programmi\logitec\alessia\ISStart.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [cleaner] lib.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [srvreg] C:\Programmi\KaraWin\KaraWin\srvreg.exe
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Startup: Collegamento a SmartClock.lnk = C:\Documents and Settings\Administrator\Documenti\SmartClock.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk = C:\WINNT\system32\spool\drivers\w32x86\3\E_SRCV03.EXE
O8 - Extra context menu item: Invia a &Bluetooth - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie_ctx.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINNT\System32\Shdocvw.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O16 - DPF: Yahoo! Literati - http://download.games.yahoo.com/games/c ... /tt3_x.cab
O16 - DPF: Yahoo! Pool 2 - http://download.games.yahoo.com/games/c ... pote_x.cab
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://us.dl1.yimg.com/download.yahoo.c ... urrent.cab
O16 - DPF: {7F8B2500-3B5D-474C-B828-C766ECE3AB3C} (ATLmosquito1 Class) - http://voceviva-vip.tiscali.it/netphone ... squito.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://scaricagratis.tiscali.it/online2 ... player.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylo ... loader.cab
O23 - Service: Bluetooth Service - Unknown - C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe (file missing)
O23 - Service: Creative Service for CDROM Access - Unknown - C:\WINNT\System32\CTSVCCDA.EXE (file missing)
O23 - Service: Servizio amministrativo di Gestione disco logico - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINNT\system32\HPZipm12.exe
O23 - Service: Sygate Personal Firewall - Sygate Technologies, Inc. - C:\Programmi\Sygate\SPF\smc.exe
O23 - Service: SoundMAX Agent Service - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe

COSA CANCELLO?
GRAZIE ANCORA

[Luke57]

Ciao, il log di hijackthis deve essere fatto dalla modalità normale. Quinidi, attendiamo....