AIUTATEMI ..VI PREGO..!!

[puccio75]

Posto il Log di Hijackthis:

Logfile of HijackThis v1.98.2
Scan saved at 10.55.35, on 22/10/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
D:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
D:\Programmi\Alwil Software\Avast4\ashServ.exe
D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Comodo\Firewall\CPF.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Comodo\Firewall\cmdagent.exe
C:\WINDOWS\System32\nvsvc32.exe
D:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
D:\Programmi\Alwil Software\Avast4\ashWebSv.exe
D:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
D:\Documenti\SOFTWARE.COMPATTI\Applicativi-XP\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Class - {14E04BC4-E4EE-06FC-B051-BD006EDAA809} - C:\WINDOWS\yamhc1.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Comodo Firewall] "C:\Programmi\Comodo\Firewall\CPF.exe" /background
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe


Quando faccio ricerche su google mi si apre anche un'altra finestra con scritto "CLICK HERE". E poi tenta di connettersi ad un sito con http:\64.10.35...etc etc che fortunatamente il firewall (Comodo) mi bloccca.ho provato a cancellaare con Hijackthis si R3 che BHO quello con yamhc1.dll ma appena mi ricollego ad internet ritornano.BHO daemon non riesce a toglierle e una scansione on line con Ewido non mi ha trovato niente.AIUTATEMI A TOGLIERE QUESTA IMMONDIZIA..VI PREGOOO!ciao e grazie...rispondetemi..non ignoratemi

[puccio75]

VEDO CHE NESSUNO RISPONDE AI MIEI TOPIC!E' GIà IL SECONDO CHE METTO IN UNA SETTIMANA E NEMMENO UNA RISPOSTA....GRAZIE PER L'AIUTO

[Luke57]

Ciao, probabilmente è sfuggito, non ti arabbiare
Il log di hiajckthis è incompleto, hai saltato l'ultima parte, comunque:
scarica gromozonfix da qui:
http://pcalsicuro.phpsoft.it/FixGrom.exe
disattiva l'antivirus durante il download e la scansione.Al riavvio del computer, il programma terminerà la scansione. Sarà rilasciato un report in C:\Gromozon_Removal.log.

Posta il report della scansione.

Inoltre, se il link non dovesse funzionare scarica virit da qui:
http://www.tgsoft.it/italy/index_ita.html
aggironalo alle ultimissine definizioni (versione di prova 30gg.)
fai una scansione dalla modalità provvisoria (Avviare il computer.Subito dopo il calcolo della RAM e prima che inizi a caricarsi Windows, iniziare a premere ripetutamente il tasto F8 sulla tastiera. Continuare a farlo fino a visualizzare il menu Opzioni avanzate di Windows. Usando i tasti freccia sulla tastiera, scorrere le opzioni e selezionare il menu Modalità Provvisoria, quindi premere Invio) e una dalla modalità normale

Posta il report della scansione.

Comunica se riscontri eventuali problemi nell'esecuzione delle procedure.

[puccio75]

[b]ho scaricato virit perchè grozom non si collega al sito..cmq se provo a lanciare il setup di virit mi chiede di disinstallare Comodo Firewall che ho nel pc!se gli dico di non farlo il setup non va avanti...bohh!cosa sbaglio?

PS: grazie per avermi risposto...ciao

[Luke57]

Ciao, ti ho messo gromozonfix in questa directory:
http://www.mytempdir.com/988986
prova a scaricarlo.

[puccio75]

ecco il log di gromozon:

Removal tool loaded into memory
------------------------------------
Executing rootkit removal engine....
------------------------------------
Disabling rootkit file: C:\WINDOWS\System32\msinun.oca
Resetting file permissions...
Clearing attributes...
Accesso negato - C:\_cleaned.tmp
Removing file...
Rootkit removed! Cleaning up...

Removing temp files...
Scanning: C:\WINDOWS
Scanning: C:\Programmi\File comuni
Removing protected file: C:\Programmi\File comuni\Services\atjgf.exe
Removing protected file: C:\Programmi\File comuni\Services\bxZ.exe
Removing protected file: C:\Programmi\File comuni\Services\CpXppy.exe
Removing protected file: C:\Programmi\File comuni\Services\eADT.exe
Removing protected file: C:\Programmi\File comuni\Services\eGrPnK.exe
Removing protected file: C:\Programmi\File comuni\Services\EHi.exe
Removing protected file: C:\Programmi\File comuni\Services\FNeOK.exe
Removing protected file: C:\Programmi\File comuni\Services\GJF.exe
Removing protected file: C:\Programmi\File comuni\Services\hfO.exe
Removing protected file: C:\Programmi\File comuni\Services\Hob.exe
Removing protected file: C:\Programmi\File comuni\Services\kcl.exe
Removing protected file: C:\Programmi\File comuni\Services\lsn.exe
Removing protected file: C:\Programmi\File comuni\Services\NkRwPc.exe
Removing protected file: C:\Programmi\File comuni\Services\nTOS.exe
Removing protected file: C:\Programmi\File comuni\Services\ofuh.exe
Removing protected file: C:\Programmi\File comuni\Services\olAMS.exe
Removing protected file: C:\Programmi\File comuni\Services\OPWIiP.exe
Removing protected file: C:\Programmi\File comuni\Services\Oxz.exe
Removing protected file: C:\Programmi\File comuni\Services\Pri.exe
Removing protected file: C:\Programmi\File comuni\Services\QAxLsw.exe
Removing protected file: C:\Programmi\File comuni\Services\rPY.exe
Removing protected file: C:\Programmi\File comuni\Services\rwCmTl.exe
Removing protected file: C:\Programmi\File comuni\Services\sHH.exe
Removing protected file: C:\Programmi\File comuni\Services\uKWtS.exe
Removing protected file: C:\Programmi\File comuni\Services\vPG.exe
Removing protected file: C:\Programmi\File comuni\Services\xkZJNq.exe
Removing protected file: C:\Programmi\File comuni\Services\XMe.exe
Removing protected file: C:\Programmi\File comuni\Services\yEW.exe
Removing protected file: C:\Programmi\File comuni\Services\YQF.exe
Removing protected file: C:\Programmi\File comuni\Services\zLW.exe
Gromozon-Related Malicious Code Detected!
FileName: C:\WINDOWS\yamhc1.dll
Removed!


Trojan.Gromozon Removed!

dopo aver fatto la scansione ho anche cancellato con hijackthis sia R3= URL DEFAULT SEARCHHOOK...etc etc che BHO............yamhc1.dll.

ditemi se devo fare altre cose..grazie..ciao.

[Luke57]

Ciao, le voci che hai fixato si sono riformate?
Fai girare anche questo tool della symantec:
http://smallbiz.symantec.com/security_r ... 16-4153-99

L´esito viene salvato nel file FixLinkopt.log

Apri hijackthis, premi "open the misc tools section", "open unistall manager", se tra le applicazioni trovi uo o più delle seguenti voci:
linkoptimizer
connection scervices
power verify
le selezioni e premi "delete this entry".

Rifai un log di hiajckthis e copialo in un post.

[puccio75]

allora...ho rifatto uno scan con Hijackthis e sembra che le due cose fixate prima non sono ricomparse.Ho fatto girare anche il software della symantec..ecco il log:

Symantec Trojan.Linkoptimizer Removal Tool 1.0.8
Restored SeDebugPrivilege to Administrators group
service: NetAzo (logon as: .\fFhczjdsrx, passed filters)
service: NetAzo (file path: C:\Programmi\File comuni\Services\axzu.exe - infected)
file: C:\Programmi\File comuni\Services\axzu.exe (deleted)
reg: ...\SYSTEM\CurrentControlSet\Services\NetAzo\Security (key deleted)
reg: ...\SYSTEM\CurrentControlSet\Services\NetAzo\Enum (key deleted)
reg: ...\SYSTEM\CurrentControlSet\Services\NetAzo (key deleted)
reg: ...\SpecialAccounts\UserList\fFhczjdsrx (value deleted)
folder: \\?\C:\Documents and Settings\fFhczjdsrx (deleted)
user: fFhczjdsrx (deleted)



Trojan.Linkoptimizer has been successfully removed from your computer!

Here is the report:

The total number of the scanned files: 76763
The number of deleted threat files: 1
The number of directories deleted: 1
The number of threat processes terminated: 0
The number of threat threads terminated: 0
The number of registry entries fixed: 4
The number of threat services removed: 1
The number of accounts disabled: 1

The tool initiated a system reboot.

registry: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (cleared)


Io ho hijackthis versione 1.98.2 e non so se sia vecchia perchè non riesco a vedere quei programmi exe che mi hai scritto prima...ciao grazie

[Smjert]

Tutt'ora è alla 1.99.1, scaricalo da qua.

[puccio75]

Ho scaricato la versione 1.99 di Hijackthis e questo è il log:

Logfile of HijackThis v1.99.1
Scan saved at 10.24.03, on 24/10/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
D:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\Comodo\Firewall\cmdagent.exe
D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Comodo\Firewall\CPF.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\nvsvc32.exe
D:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
D:\Programmi\Alwil Software\Avast4\ashWebSv.exe
D:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Internet Explorer\iexplore.exe
D:\Programmi\Hijackthis-1.99.1\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avast!] D:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Comodo Firewall] "C:\Programmi\Comodo\Firewall\CPF.exe" /background
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - D:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - D:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - D:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - D:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - D:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Programmi\Comodo\Firewall\cmdagent.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - D:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

Ho anche controllato su open unistall manager e quelle voci che mi avevi segnalato non ci sono.spero di essere pulito adesso.Ciao

[Luke57]

Ciao, pare proprio di sì.

[puccio75]

Grazie dell`aiuto..siete grandi..ciao