connessioni adsl

[Luke57]

Ciao Spark, verifichiamo con Gmer se ci sono ancora. Nella guida c'è scritto come fare per scaricarlo e avere i log. Fai questo e allegali in un post.

[spark]

Appena ho letto... ho scaricato gmer... ma appena ho cliccato su scan mi è uscita la schermata blu... nn sono tanto sicuro di riprovare...

[Luke57]

Ciao, e allora segui gli altri passi che ti ho suggerito. Quando hai terminato fammi sapere.

[spark]

Ciao, allora:
1) rifai una scansione con rootkitrevelear per verificare se effettivamente il rootkit c'è ancora (informaci se c'è ancora);

2) start>esegui>control userpasswords2>OK
elimini l'utenza casuale cliccando e scegliendo elimina.

3)Vai in C:\documents and settings ed elimini, se c'è sempre, la cartella con lo stesso nome dell'utenza.

4) start>esegui>services.msc>OK
individui il servizio malefico con tasto dx del mouse>Proprietà, ti segni il percorso del file eseguibile che lo lancia. Se non l'hai ancora eliminato con The Avenger (è un file che windows segnala di colore verde cioè crittografato) lo elimini attuando prima questa procedura
CITAZIONE:
Selezionare il file con il tasto destro e clickare su PROPRIETA', qui' selezionare su PROTEZIONE.
Adesso clickare su AVANZATE e dopo su PROPRIETARIO, quì selezionare account di ADMINISTRATORS
e fare OK (o applica) e dopo ancora OK fino ad uscire dalle PROPRIETA'.
Adesso rientrare su PROPRIETA', PROTEZIONE e dopo su AVANZATE, clickare su AGGIUNGI da AUTORIZZAZIONI
e aggiungere l'account di ADMINISTRATOR, dopo selezionare da CONSENTI "CONTROLLO COMPLETO"
e fare OK per uscire.
Adesso clickare su PROPRIETA' del file e togliere i flags di "SOLO LETTURA" e NASCOSTO.
Ora potete cancellare il file.

5) Per eliminare il servizio esegui in successione questi due comandi:
start>esegui>sc stop nomedelservizio>OK
start>esegui>sc delete nomedelservizio>OK

6) Ultima procedura:
CITAZIONE:
in caso di NTFS: fate la scansione degli ADS con HijackThis. Aprite HijackThis, premete Open the misc tools section, poi si clicca su Open Ads Spy... e si toglie il segno di spunta dalla casella Quick Scan. Faite riferimento a questa parte della guida. Localizzate se presente il file con nome riservato (es com4.igp), selezionatelo mettendo un segno di spunta nella casella accanto alla voce e premete Remove selected
da HijackThis, cliccate Open the misc tools section >> open Uninstall Manager. Selezionate la voce linkoptimizer e premete Delete this entry.

Il problema nel punto 4... nn riesco a capire qual'è il servizio di link optimizer

[spark]

nn dovrebbe già nn esserci... il servizio... nn trovo nulla di strano
ho controllato quelli senza descrizione e non è tra quelli

[spark]

scusate il 3° post consecutivo...

Saltando il punto 4, che nn trovo il servizio...
Ho fatto la scansione degli scansione degli ADS con HijackThis, ecco il risultato:

C:\WINDOWS\system32 : noaa.dll (9728 bytes)
C:\WINDOWS\system32 : noaa.dll (9728 bytes)

Cosa faccio cancello???

[Luke57]

Ciao, se c'è (ma non è detto) nella colonna Connessione dovrebbe avere un nome casuale, non la scritta Sistema locale o Servizio di rete.

[spark]

Allora ho trovato, come servizio WinNhx
come descrizione c'è: Registra eventi di sistema come accessi a Windows, eventi di rete e alimentazione. Notifica questi eventi ai sottoscrittori COM+ Event System.
indirizzo: "C:\Programmi\File comuni\System\QZm.exe"
(questo indirizzo nn è mai stato tirato in ballo nella procedura di eliminazione)
e in connessione c'è scritto: .\tZBQvQgUz (come l'utente che mi aveva creato)
Tipo di avvio: automatico
è questo?

[Luke57]

Ciao, penso proprio di sì. e vai a vedere quel file, lo troverai di colore verde (non è arrabbiato ; ma solo crittografato).
esegui i punti 4 e 5 della miniguida. Avisa se trovi difficoltà.

[spark]

scusami se rompo... ma nei punti che mi hai passato c'è scritto di andare in proprietà e poi su protezione... ma se clicco su proprietà mi escono 4 schede:
generale, connessione, ripristino, relazione di dipendenza...
cmq sono andato a controllare, effettivamente è verde

[Luke57]

Ciao, quindi non ti appare la scheda Protezione?
Da risorse del computer>strumenti>opzione cartella>visualizzazione, togli la spunta a Utilizza condivisione file semplice (consigliata)>applica>OK. Poi rivai sul file e guarda se è apparsa la scheda protezione.

[spark]

mi disp, ma niente...

[spark]

ora esce protezione su proprietà del file...
ora provo a continuare...

[spark]

scusate il 3° post consecutivo...

Saltando il punto 4, che nn trovo il servizio...
Ho fatto la scansione degli scansione degli ADS con HijackThis, ecco il risultato:

C:\WINDOWS\system32 : noaa.dll (9728 bytes)
C:\WINDOWS\system32 : noaa.dll (9728 bytes)

Cosa faccio cancello???

nel punto 6... li cancello???

[Luke57]

Ciao, lasciali non penso che siano malevoli. Hai eliminato il file verde?

[spark]

si, fatto... ho anche cancellato il servizio... ora posso cancellare il programma link optimizer come mi dicevi???

"da HijackThis, cliccate Open the misc tools section >> open Uninstall Manager. Selezionate la voce linkoptimizer e premete Delete this entry."

[Luke57]

Ciao, yes.

[Luke57]

Ciao spark, adesso devo andarmene, posta anche un log di hiajckthis.

[spark]

per ora ti ringrazio...
dopo tutta questa procedura è sicuro di aver eliminato il problema?
grazie e ciao

[spark]

Logfile of HijackThis v1.99.1
Scan saved at 18.49.52, on 07/08/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
C:\Programmi\ewido anti-spyware 4.0\guard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SYSTEM32\Ati2evxx.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\File comuni\Real\Update_OB\evntsvc.exe
C:\Programmi\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Programmi\Ahead\InCD\InCD.exe
C:\Programmi\QuickTime\qttask.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\digicomt\Michelangelo USB ADSL\CnxDslTb.exe
C:\Programmi\Common Files\Motive\MotiveBrowser.exe
C:\Programmi\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programmi\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
C:\Programmi\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\nic\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tele2internet.it
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.libero.it
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da Kataweb
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AtiPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [TkBellExe] C:\Programmi\File comuni\Real\Update_OB\evntsvc.exe -osboot
O4 - HKLM\..\Run: [ShutDown Windows] C:\program files\Shutdown\ShutDown.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [MotiveReportAgent] "C:\Programmi\Common Files\Motive\McciBootStrapper.exe" /url="-url=file://C:\Programmi\Common Files\Motive\ReportAgent.html" /browsertype=CustomMSIE /browserpath="C:\Programmi\Common Files\Motive\MotiveBrowser.exe" /hidden
O4 - HKLM\..\Run: [bxje4.exe] C:\WINDOWS\Temp\bxje4.exe
O4 - HKLM\..\Run: [CnxDslTaskBar] "C:\Programmi\digicomt\Michelangelo USB ADSL\CnxDslTb.exe"
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programmi\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Controllo del Calendario di Ulead Photo Express.lnk = C:\Programmi\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programmi\InterVideo\Common\Bin\WinCinemaMgr.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O14 - IERESET.INF: START_PAGE_URL=http://www.libero.it
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com/PhotoUpload/MsnPU ... 10,0,911,0
O17 - HKLM\System\CCS\Services\Tcpip\..\{9FBB05B9-06C4-4124-A370-6FD55B96EF31}: NameServer = 193.12.150.2 212.247.152.2
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: BZDHLC - Sysinternals - http://www.sysinternals.com - C:\DOCUME~1\MARIOG~1\IMPOST~1\Temp\BZDHLC.exe
O23 - Service: C-DillaSrv - C-Dilla Ltd - C:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programmi\ewido anti-spyware 4.0\guard.exe
O23 - Service: FireDaemon Service: explorer (explorer) - Unknown owner - C:\winnt\system32\drivers\FireDaemon.EXE (file missing)
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programmi\Ahead\InCD\InCDsrv.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: Windows Media Player (wmplayer) - Unknown owner - C:\WINDOWS\System32\wmplayer.exe" -service (file missing)