Residuo in e1xplorer?

[tahcniolos]

Qualche tempo fa sulla rete c'era e1xplore, l'ho eliminato con hijack, adesso ho problemi su un altro computer. Posto log :
Logfile of HijackThis v1.99.1
Scan saved at 16.42.06, on 02/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\antonella\Desktop\HijackThis.exe

R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O2 - BHO: Class - {EF480F92-6B87-CD76-05C2-8982E31767E3} - C:\WINDOWS\ynnjt1.dll (file missing)
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{217B69E7-EEB8-439B-BD99-EB6CCB8E3785}: NameServer = 151.99.125.2,151.99.125.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{217B69E7-EEB8-439B-BD99-EB6CCB8E3785}: NameServer = 151.99.125.2,151.99.125.3
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe

[tahcniolos]

Allego nuovo log di hijack, mi sembra più "ricco"...
Logfile of HijackThis v1.99.1
Scan saved at 18.17.04, on 02/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\antonella\Documenti\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O2 - BHO: Class - {EF480F92-6B87-CD76-05C2-8982E31767E3} - C:\WINDOWS\ynnjt1.dll (file missing)
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = studio.locale
O17 - HKLM\System\CCS\Services\Tcpip\..\{217B69E7-EEB8-439B-BD99-EB6CCB8E3785}: NameServer = 151.99.125.2,151.99.125.3
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = studio.locale
O17 - HKLM\System\CS1\Services\Tcpip\..\{217B69E7-EEB8-439B-BD99-EB6CCB8E3785}: NameServer = 151.99.125.2,151.99.125.3
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = studio.locale
O17 - HKLM\System\CS2\Services\Tcpip\..\{217B69E7-EEB8-439B-BD99-EB6CCB8E3785}: NameServer = 151.99.125.2,151.99.125.3
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)

[tahcniolos]

Ho scoperto che si trattava di Gromozon - Link optimizer e seguendo le "istruzioni" degli altri post l'ho eliminato (almeno credo, magari domani posto un log di hijackthis). Nel frattempo mi chiedo, e vi chiedo: il fatto che sia accaduto su un computer in rete può significare che proveniva da un altro computer della rete? O, viceversa, potrebbe essersi trasferito sugli altri computer della rete? E ancora: in un altro topic ho visto che qualcuno sottolineava come la diffusione di questi malware possa essere legata all'abitudine di navigare nel porno o scaricare da P2P il porno. Credete davvero che sia questo l'unico modo? La mia esperienza personale è che da un po' di tempo a questa parte anche con una ricerca in google di materiale da ufficio, computer, fax, fotocopiatrici, si presentano una serie di siti fantasma dai quali, se aperti, tentano di scaricarsi controlli active x o software in generale. Che ne pensate?

[tahcniolos]

Vi pare che posso stare tranquillo?
Logfile of HijackThis v1.99.1
Scan saved at 18.16.32, on 06/11/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Adobe\Acrobat 6.0\Reader\AcroRd32.exe
C:\WINDOWS\system32\WISPTIS.EXE
C:\Programmi\Prevx1\PXConsole.exe
C:\Programmi\Prevx1\PXAgent.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\antonella\Documenti\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [PrevxOne] "C:\Programmi\Prevx1\PXConsole.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = studio.locale
O17 - HKLM\System\CCS\Services\Tcpip\..\{217B69E7-EEB8-439B-BD99-EB6CCB8E3785}: NameServer = 151.99.125.2,151.99.125.3
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = studio.locale
O17 - HKLM\System\CS1\Services\Tcpip\..\{217B69E7-EEB8-439B-BD99-EB6CCB8E3785}: NameServer = 151.99.125.2,151.99.125.3
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = studio.locale
O17 - HKLM\System\CS2\Services\Tcpip\..\{217B69E7-EEB8-439B-BD99-EB6CCB8E3785}: NameServer = 151.99.125.2,151.99.125.3
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Prevx Agent (PREVXAgent) - Unknown owner - C:\Programmi\Prevx1\PXAgent.exe" -f (file missing)

Grazie.

[andorra24]

Ciao, il tuo ultimo log e' pulito.

[tahcniolos]

Grazie!
Cosa pensi di quello che esponevo nel precedente messaggio?

[andorra24]

Grazie!
Cosa pensi di quello che esponevo nel precedente messaggio?

Il linkoptimizer/gromozon in effetti e' una piaga che circola ormai da alcuni mesi e sta creando molti problemi ai malcapitati che lo prendono. La gente che si infetta aumenta ogni giorno che passa. E purtroppo non si prende solo da siti porno ma da tanti altri siti apparentemente innocui e bisogna stare molto attenti ed e' preferibile navigare con Firefox. Si spera che chi sta dietro al linkoptimizer finisca al piu' presto dietro le sbarre.