Problema trojan e sfondo desktop bloccato

[Devilman-87]

Ecco il log fatto con hjackthis:

Logfile of HijackThis v1.99.1
Scan saved at 23.53.05, on 25/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\Programmi\MessengerPlus! 3\MsgPlus.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\DOCUME~1\Massimo\IMPOST~1\Temp\Rar$EX00.375\HijackThis.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;127.0.0.;;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,,c:\windows\services.exe,"c:\windows\system32\macromediaword.exe","c:\windows\system32\maxtor-center.exe",
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\MSN Toolbar\01.01.2607.0\it\msntb.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [deafoncewarnsurf] C:\Documents and Settings\All Users\Dati applicazioni\Scr New Deaf Once\loud cast.exe
O4 - HKLM\..\Run: [lgxhm] "C:\DOCUME~1\Massimo\IMPOST~1\Temp\699812.exe"
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\D-Link\DSL-200\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\D-Link\DSL-200\dslagent.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [MonAppli] C:\Windows\system32\isys32.exe
O4 - HKLM\..\Run: [DownloadAccelerator] "C:\Programmi\DAP\DAP.EXE" /STARTUP
O4 - HKCU\..\Run: [List Gram] C:\DOCUME~1\Massimo\DATIAP~1\TICKSI~1\BIND TRANS BODY.exe
O4 - HKCU\..\Run: [lgxhm] "C:\DOCUME~1\Massimo\IMPOST~1\Temp\699812.exe"
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - Startup: Adobe Gamma.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programmi\InterVideo\Common\Bin\WinCinemaMgr.exe
O8 - Extra context menu item: &Clean Traces - C:\Programmi\DAP\Privacy Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - C:\Programmi\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\Programmi\DAP\dapextie2.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Transfer with Image Converter 2 - C:\Programmi\Sony\Image Converter 2\menu.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O15 - Trusted IP range: 213.159.117.202
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-611111193429} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
O17 - HKLM\System\CCS\Services\Tcpip\..\{4ACDD15D-83A7-4A9B-B029-93E1F9F155DE}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\..\{8B1C7DDE-1C84-45AD-A4E4-DFB72394622C}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\..\{A4BFB84B-E9C1-4B86-ABA0-99A06774E473}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\..\{AFE89BAF-85A0-41A7-9B0C-74DCB9CDAD75}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\..\{FC9804FC-7E86-4BEF-B6A6-6BED08E12764}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.39 85.255.112.105
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.39 85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.39 85.255.112.105
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: VideoAcceleratorEngine - Speedbit Ltd. - C:\PROGRA~1\SPEEDB~1\VideoAcceleratorEngine.exe
O23 - Service: Windows Management Service - Unknown owner - C:\WINDOWS\system32\dmsqw.exe (file missing)


cosa devo cancellare?
aiutatemi x favore....

[Luke57]

Ciao, sei molto infetto.
Scarica AVGPfix da qui (è un cleaner puro):
http://www.nod32.it/cgi-bin/mapdl.pl?tool=Agent.VP
(mettilo sul desktop)

Apri hijackthis, con le applicazioni chiuse, premi “ do a system scan only”, cerca e spunta le voci seguenti:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,,c:\windows\services.exe,"c:\windows\system32\macromediaword.exe","c:\windows\system32\maxtor-center.exe",
O4 - HKLM\..\Run: [deafoncewarnsurf] C:\Documents and Settings\All Users\Dati applicazioni\Scr New Deaf Once\loud cast.exe
O4 - HKLM\..\Run: [lgxhm] "C:\DOCUME~1\Massimo\IMPOST~1\Temp\699812.exe"
O4 - HKLM\..\Run: [MonAppli] C:\Windows\system32\isys32.exe
O4 - HKCU\..\Run: [List Gram] C:\DOCUME~1\Massimo\DATIAP~1\TICKSI~1\BIND TRANS BODY.exe
O4 - HKCU\..\Run: [lgxhm] "C:\DOCUME~1\Massimo\IMPOST~1\Temp\699812.exe"
O15 - Trusted IP range: 213.159.117.202
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-611111193429} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
O17 - HKLM\System\CCS\Services\Tcpip\..\{4ACDD15D-83A7-4A9B-B029-93E1F9F155DE}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\..\{8B1C7DDE-1C84-45AD-A4E4-DFB72394622C}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\..\{A4BFB84B-E9C1-4B86-ABA0-99A06774E473}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\..\{AFE89BAF-85A0-41A7-9B0C-74DCB9CDAD75}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\..\{FC9804FC-7E86-4BEF-B6A6-6BED08E12764}: NameServer = 85.255.116.39,85.255.112.105
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.39 85.255.112.105
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.39 85.255.112.105
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.39 85.255.112.105
023 - Service: Windows Management Service - Unknown owner - C:\WINDOWS\system32\dmsqw.exe (file missing)

Premi fix checked

Poi utilizzi AVgpfix precedentemente scaricato e vai a eliminare i seguenti file, uno alla volta (visualizza anche i file e cartelle nascosti, da risorse del computer>strumenti>opzioni cartella>visualizzazione> metti la spunta a "visualizza file e cartelle nascosti", la togli a "nascondi file protetti di sistema">OK):

avvii Avgpfix
(premi start, individui il file:
c:\windows\system32\macromediaword.exe
premi OK per eliminare il file).
Fai lo stesso anche per i seguenti file:
c:\windows\system32\maxtor-center.exe
C:\Windows\system32\isys32.exe
C:\Documents and Settings\All Users\Dati applicazioni\Scr New Deaf Once\loud cast.exe
C:\DOCUME~1\Massimo\IMPOST~1\Temp\699812.exe

Elimina poi tutti i file .temp e .tmp di windows, allo scopo installa CCleaner da qui:
http://www.filehippo.com/download/98383 ... /download/
lo installi, non scegliendo l'opzione "installa la barra di Yahoo". Lo avvii, lasci le impostazioni di default, solo che in opzioni>avanzate, togli la spunta a "cancella file temp solo se più vecchi di 48 ore". Clicchi su Pulizia ed elimini tutto quello proposto.

Inoltre, scarica questi due tools:

prevx
http://www.prevx.com/gromozon.asp

Tool di rimozione della Symantec:
http://securityresponse.symantec.com/av ... inkopt.exe

Eseguili uno alla volta; disattiva il tuo antivirus durante la scansione.

Quello della prevx fa riavviare il computer e al riavvio viene completata la scansione, al termine della quale viene rilasciato un report che trovi in C:\Gromozon_Removal.log.

Poi esegui il tool della symantec (dalla modalità provvisoria; se
non sai come andarci, premi ripetutamente il tasto F8 all'accensione del computer prima che inizi a caricarsi windows; sulla schermata grigia che appare scegli modalità provvisoria spostandoti con le freccette e premendo invio).

Anche questo tool rilascia un rapporto della scansione nella cartella dove
hai messo il file (Fixlinkopt.log)
Invia anche questo rapporto.

[Devilman-87]

I link degli ultimi 2 tools nn funzionano.
ho seguito tutte le altre procedure e ho rifatto il log cn hjackthis.
ecco cs è uscito:

Logfile of HijackThis v1.99.1
Scan saved at 11.09.25, on 26/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\MessengerPlus! 3\MsgPlus.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\DOCUME~1\Massimo\IMPOST~1\Temp\Rar$EX00.813\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = ;127.0.0.;;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\MSN Toolbar\01.01.2607.0\it\msntb.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [DSLSTATEXE] C:\Program Files\D-Link\DSL-200\dslstat.exe icon
O4 - HKLM\..\Run: [DSLAGENTEXE] C:\Program Files\D-Link\DSL-200\dslagent.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [DownloadAccelerator] "C:\Programmi\DAP\DAP.EXE" /STARTUP
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - Startup: Adobe Gamma.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programmi\InterVideo\Common\Bin\WinCinemaMgr.exe
O8 - Extra context menu item: &Clean Traces - C:\Programmi\DAP\Privacy Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - C:\Programmi\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\Programmi\DAP\dapextie2.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Transfer with Image Converter 2 - C:\Programmi\Sony\Image Converter 2\menu.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: UpdTsy - Unknown owner - C:\Programmi\File comuni\System\XoqUkn.exe
O23 - Service: VideoAcceleratorEngine - Speedbit Ltd. - C:\PROGRA~1\SPEEDB~1\VideoAcceleratorEngine.exe

[Luke57]

Ciao, è il malware che ti inibisce l'acceso ai link, vai qui:
http://www.sendmefile.com/00548618
scarica il file .zip e estrai i due file .exe sul desktop. Fiklinkop.exe è quello della symantec. Eseguili per come già spiegato e posta i report.

[Devilman-87]

ho un altro grande problema. appena accendo il pc mi visualizza solo lo sfondo del desktop e quindi nn posso fare niente.... cs faccio?

[Luke57]

Ciao, apri il taskmanager (ctrl+alt+canc), premi il tab.Processi, evidenzia explorer.exe, premi Termina processo. A questo punto il desktop scomparirà, sempre dal taskmanager vai su file>nuova operazione, scrivi regedt32>OK, si apre il registro di sistema, vai alla voce explorer.exe cliccando sul segno + accanto alle singole voci del seguente percorso:
HKEY_LOCAL_MACHINE
SOFTWARE
Microsoft
Windows NT
CurrentVersion
Image File Execution Options
srtra le varie sottovoci dell'ultima, trovi
explorer.exe
click tasto dx su explorer.exe>Autorizzazioni>Avanzate>premi il tab.Proprietario>autorizza l'Utente del computer>OK. Torni alla pagina principale, metti la spunta a Controllo completo e In lettura>OK. A questo punto, click tasto dx sulla voce e scegli Elimina.
Chiudi il registro e riavvia il computer.

[Devilman-87]

alla sottovoce nn c'è explorer.exe

[Luke57]

Ciao, verifica queste chiavi:
HKEY_LOCAL_MACHINE
SOFTWARE
Microsoft
Windows NT
CurrentVersion
Winlogon
click sull'ultima cartella cerca la voce sulla parte destra della finestra
Shell sulla sua parte destra dovrebbe esserci la scritta Explorer.exe
se non c'è, doppio click su Shell, nella finestra Modifica Stringa che si apre, nello spazio Dati valore scrivi explorer.exe>OK chiudi il registro e riavvii.
Controlla sempre nella cartella winlogon che cosa trovi sulla parte destra di Userinit

[Devilman-87]

vicino a shell c'è explorer.exe.
vicono ad usernit c'è: C:\WINDOWS\SYSTEM32\usernit.exe,

adesso cosa devo fare?

[Luke57]

ho un altro grande problema. appena accendo il pc mi visualizza solo lo sfondo del desktop e quindi nn posso fare niente.... cs faccio?

Ciao, sei riuscito a scaricare e fare le scansioni con i tools? Non mi hai risposto....
Vai qui, scarica systemscan (strumento di diagnosi):
http://www.suspectfile.com/forum/viewtopic.php?t=466
lo metti sul desktop, estrai il file .exe. Chiudi antivirus e programmi, lo avvii, spunti tutte le opzioni, premi scan now. Al termine della scansione, sarà generato un report in una cartella report.zip che troverai in C:\suspectfile.
Inserisci questa cartella in un sito di hosting, tipo
http://www.sendmefile.com/
premi sfoglia, individui la cartella,premi Upload. Dopo il caricamento del file, ti sarà dato il link per poterlo vedere che tu copierai in un successivo post.

[Devilman-87]

Questo è il log di gromozon:

Removal tool loaded into memory
------------------------------------
Executing rootkit removal engine....
------------------------------------
Disabling rootkit file: \\?\C:\WINDOWS\com4.kah
\\?\C:\WINDOWS\com4.kah
Resetting file permissions...
Clearing attributes...
Accesso negato - C:\_cleaned.tmp
Removing file...
Rootkit removed! Cleaning up...

Removing temp files...
Scanning: C:\WINDOWS
Scanning: C:\Programmi\File comuni
Removing protected file: C:\Programmi\File comuni\System\ACP.exe
Removing protected file: C:\Programmi\File comuni\System\ADN.exe
Removing protected file: C:\Programmi\File comuni\System\AHJQW.exe
Removing protected file: C:\Programmi\File comuni\System\AkwKFB.exe
Removing protected file: C:\Programmi\File comuni\System\apkHAS.exe
Removing protected file: C:\Programmi\File comuni\System\asfHkJ.exe
Removing protected file: C:\Programmi\File comuni\System\AVp.exe
Removing protected file: C:\Programmi\File comuni\System\bYN.exe
Removing protected file: C:\Programmi\File comuni\System\CQXl.exe
Removing protected file: C:\Programmi\File comuni\System\ctVNKD.exe
Removing protected file: C:\Programmi\File comuni\System\dJo.exe
Removing protected file: C:\Programmi\File comuni\System\DUNgY.exe
Removing protected file: C:\Programmi\File comuni\System\efTrBO.exe
Removing protected file: C:\Programmi\File comuni\System\ePW.exe
Removing protected file: C:\Programmi\File comuni\System\FCz.exe
Removing protected file: C:\Programmi\File comuni\System\fhB.exe
Removing protected file: C:\Programmi\File comuni\System\fme.exe
Removing protected file: C:\Programmi\File comuni\System\fZD.exe
Removing protected file: C:\Programmi\File comuni\System\GbT.exe
Removing protected file: C:\Programmi\File comuni\System\gMRn.exe
Removing protected file: C:\Programmi\File comuni\System\GnogOA.exe
Removing protected file: C:\Programmi\File comuni\System\Gvb.exe
Removing protected file: C:\Programmi\File comuni\System\hLpHXW.exe
Removing protected file: C:\Programmi\File comuni\System\hnlYc.exe
Removing protected file: C:\Programmi\File comuni\System\HsC.exe
Removing protected file: C:\Programmi\File comuni\System\IfijB.exe
Removing protected file: C:\Programmi\File comuni\System\ioWuh.exe
Removing protected file: C:\Programmi\File comuni\System\iTVs.exe
Removing protected file: C:\Programmi\File comuni\System\jfa.exe
Removing protected file: C:\Programmi\File comuni\System\jfd.exe
Removing protected file: C:\Programmi\File comuni\System\jtyoI.exe
Removing protected file: C:\Programmi\File comuni\System\JvBzAy.exe
Removing protected file: C:\Programmi\File comuni\System\KimmTE.exe
Removing protected file: C:\Programmi\File comuni\System\KLDVc.exe
Removing protected file: C:\Programmi\File comuni\System\KOi.exe
Removing protected file: C:\Programmi\File comuni\System\KOk.exe
Removing protected file: C:\Programmi\File comuni\System\KXY.exe
Removing protected file: C:\Programmi\File comuni\System\ldk.exe
Removing protected file: C:\Programmi\File comuni\System\LVRH.exe
Removing protected file: C:\Programmi\File comuni\System\McU.exe
Removing protected file: C:\Programmi\File comuni\System\mOEux.exe
Removing protected file: C:\Programmi\File comuni\System\MxV.exe
Removing protected file: C:\Programmi\File comuni\System\NcHL.exe
Removing protected file: C:\Programmi\File comuni\System\nKU.exe
Removing protected file: C:\Programmi\File comuni\System\nLt.exe
Removing protected file: C:\Programmi\File comuni\System\NPu.exe
Removing protected file: C:\Programmi\File comuni\System\nuAp.exe
Removing protected file: C:\Programmi\File comuni\System\ogYvz.exe
Removing protected file: C:\Programmi\File comuni\System\olV.exe
Removing protected file: C:\Programmi\File comuni\System\omH.exe
Removing protected file: C:\Programmi\File comuni\System\opv.exe
Removing protected file: C:\Programmi\File comuni\System\OrE.exe
Removing protected file: C:\Programmi\File comuni\System\oTi.exe
Removing protected file: C:\Programmi\File comuni\System\PZe.exe
Removing protected file: C:\Programmi\File comuni\System\QCYbLB.exe
Removing protected file: C:\Programmi\File comuni\System\Qdw.exe
Removing protected file: C:\Programmi\File comuni\System\QHp.exe
Removing protected file: C:\Programmi\File comuni\System\QIAVdq.exe
Removing protected file: C:\Programmi\File comuni\System\qNt.exe
Removing protected file: C:\Programmi\File comuni\System\QOwU.exe
Removing protected file: C:\Programmi\File comuni\System\qRt.exe
Removing protected file: C:\Programmi\File comuni\System\rAP.exe
Removing protected file: C:\Programmi\File comuni\System\reZ.exe
Removing protected file: C:\Programmi\File comuni\System\RGbM.exe
Removing protected file: C:\Programmi\File comuni\System\rJy.exe
Removing protected file: C:\Programmi\File comuni\System\RJz.exe
Removing protected file: C:\Programmi\File comuni\System\Rnt.exe
Removing protected file: C:\Programmi\File comuni\System\RyduzQ.exe
Removing protected file: C:\Programmi\File comuni\System\rYL.exe
Removing protected file: C:\Programmi\File comuni\System\SCM.exe
Removing protected file: C:\Programmi\File comuni\System\sWl.exe
Removing protected file: C:\Programmi\File comuni\System\tbyuS.exe
Removing protected file: C:\Programmi\File comuni\System\tLeoyO.exe
Removing protected file: C:\Programmi\File comuni\System\ttS.exe
Removing protected file: C:\Programmi\File comuni\System\TUkes.exe
Removing protected file: C:\Programmi\File comuni\System\UHJK.exe
Removing protected file: C:\Programmi\File comuni\System\umaQQ.exe
Removing protected file: C:\Programmi\File comuni\System\uXAhdh.exe
Removing protected file: C:\Programmi\File comuni\System\uxQ.exe
Removing protected file: C:\Programmi\File comuni\System\uZSnQ.exe
Removing protected file: C:\Programmi\File comuni\System\WVt.exe
Removing protected file: C:\Programmi\File comuni\System\xbJqvE.exe
Removing protected file: C:\Programmi\File comuni\System\XBouR.exe
Removing protected file: C:\Programmi\File comuni\System\Xoau.exe
Removing protected file: C:\Programmi\File comuni\System\XoqUkn.exe
Removing protected file: C:\Programmi\File comuni\System\xZf.exe
Removing protected file: C:\Programmi\File comuni\System\xzX.exe
Removing protected file: C:\Programmi\File comuni\System\YrS.exe
Removing protected file: C:\Programmi\File comuni\System\zcZ.exe
Removing protected file: C:\Programmi\File comuni\System\ZdE.exe
Removing protected file: C:\Programmi\File comuni\System\ZkBIsE.exe
Removing protected file: C:\Programmi\File comuni\System\Zlr.exe
Removing protected file: C:\Programmi\File comuni\System\ZQc.exe


Trojan.Gromozon Removed!


Questo è il log di FixLinkOpt:

Symantec Trojan.Linkoptimizer Removal Tool 1.0.8
Restored SeDebugPrivilege to Administrators group

Trojan.Linkoptimizer has not been found on your computer.

[Devilman-87]

ecco quà il link cn la cartella :

http://www.sendmefile.com/00548982

[Luke57]

Ciao, lascialo, te lo guardo domani, è un pò lunghino....

[Devilman-87]

ok, aspetterò...

[Luke57]

Ciao, il tuo computer è uno tra i più infetti dal dopoguerra ad oggi

scarica

The Avenger --- http://swandog46.geekstogo.com/avenger.zip

Ora estrai e avvia Avenger.exe

disattiva antivirus, firewall, eventuali moduli hips

Seleziona l'opzione "Input Script Manually"
Clicca sulla lente di ingrandimento

Si apre una finestra "View/edit script"
All'interno del box bianco,copia e incolla le scritte in neretto:

Folders to delete:
C:\documents and settings\mMbScXGnm

Files to delete:
C:\windows\system32\wvuvwwx.dll
C:\windows\system32\winexz32.dll
C:\windows\system32\mllmk.dll
C:\windows\system32\kmllm.bak1
C:\windows\system32kmllm.ini
C:\WINDOWS\TEMP\rtzhaa.exe
C:\WINDOWS\winsys.exe
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR10.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR11.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR12.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR13.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR14.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR15.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR16.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR17.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR18.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR19.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR1A.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR1B.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR1C.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR1D.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR1E.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR1F.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR2.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR20.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR21.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR22.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR23.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR24.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR25.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR26.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR27.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR28.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR29.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR2A.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR2B.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR2C.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR2D.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR2E.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR2F.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR3.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR30.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR31.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR32.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR33.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR34.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR35.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR36.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR37.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR38.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR39.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR3A.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR3B.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR3C.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR3D.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR3E.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR3F.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR4.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR40.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR41.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR42.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR43.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR44.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR45.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR46.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR47.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR48.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR49.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR4A.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR4B.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR4C.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR4D.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR4E.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR4F.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR5.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR50.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR51.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR52.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR53.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR54.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR55.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR56.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR57.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR58.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR59.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR5A.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR5B.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR5C.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR5D.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR5E.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR6.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR7.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR8.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXR9.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXRA.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXRB.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXRC.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXRD.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXRE.tmp
C:\Documents and Settings\Massimo\Impostazioni locali\Temp\PXRF.tmp
C:\Programmi\File comuni\System\afRBhi.exe
C:\Programmi\File comuni\System\LCU.exe

Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | rtzhaa.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run | 1
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon \SpecialAccounts\UserList | mMbScXGnm

Registry keys to delete:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\mllmk
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\winexz32
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wvuvwwx
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{A6807262-1D7A-44AB-947B-23B71E97915C}
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C966F3FD-D3BA-45AC-A714-0E671087D761}
HKLM\System\CurrentControlSet\Services\UpdTsy

Files to move:
C:\Program Files\D-Link\DSL-200\bak\dslstat.exe | C:\Program Files\D-Link\DSL-200\dslstat.exe
C:\Programmi\Grisoft\AVG7\bak\avgcc.exe | C:\Programmi\Grisoft\AVG7\avgcc.exe
C:\Programmi\MessengerPlus! 3\bak\MsgPlus.exe | C:\Programmi\MessengerPlus! 3\MsgPlus.exe
C:\Programmi\MSN Messenger\bak\msnmsgr.exe | C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Skype\Phone\bak\Skype.exe | C:\Programmi\Skype\Phone\Skype.exe


Dopo di che, clicca sul pulsante Done
Clicca sull'icona del semaforo verde
Rispondi due volte Yes
Il pc dovrebbe riavviarsi da solo,se così non fosse riavvialo manualmente

Il programma rilascia un log con le operazioni eseguite.

Allegami il log di Avenger (che si trova in C:\avenger.txt) con l´esito dello script.


Poi vai in C:\windows\tasks, vai in Avanzate>visualizza operazioni nascoste e cancelli tutti i file .job all’interno della cartella.


Poi apri il registro di sistema, cliccando sul segno + accanto alle singole voci segui questo percorso:
HKEY_CLASSES_Root
CLSID
{A6807262-1D7A-44AB-947B-23B71E97915C}
click tasto dx sull’ultima voce e scegli elimina

2)HKEY_LOCAL_MACHINE
Software
Microsoft
Windows NT
CurrentVersion
Winlogon
Click su winlogon, vai su
System, doppio click si di essa e nella finestra Modifica stringa che appare cancelli in Dati valore

csjob.exe , poi premi OK

Fai nuovo giro con systemscan, inserendo il report nel solito sito.

[Devilman-87]

questo è il log di avenger:

Could not delete registry value HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon \SpecialAccounts\UserList|mMbScXGnm
Deletion of registry value HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon \SpecialAccounts\UserList|mMbScXGnm failed!
Status: 0xc0000034

Registry key HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\mllmk deleted successfully.
Registry key HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\winexz32 deleted successfully.
Registry key HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wvuvwwx deleted successfully.
Registry key HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{A6807262-1D7A-44AB-947B-23B71E97915C} deleted successfully.


Registry key HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C966F3FD-D3BA-45AC-A714-0E671087D761} not found!
Deletion of registry key HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C966F3FD-D3BA-45AC-A714-0E671087D761} failed!
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

[Devilman-87]

ecco il link con la cartella

http://www.sendmefile.com/00549180

[Luke57]

Ciao, pfuiiii, sembra vada meglio. Riutilizza avenger e inserisci questo script:



registry keys to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D5C258F0-C844-4606-BBAF-5ABEAEC65D23}

folders to delete:
C:\windows\temp

Files to delete:
C:\WINDOWS\Tasks\mgmgdhos.job
C:\WINDOWS\Tasks\idx.job
C:\WINDOWS\Tasks\qkwvir.job
C:\WINDOWS\Tasks\jnem.job
C:\WINDOWS\Tasks\wuo.job

files to move:
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\bak\avgas.exe | C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe


POi dal registro di sistema, elimina la voce in neretto:

HKEY_CLASSES_ROOT
CLSID
{D5C258F0-C844-4606-BBAF-5ABEAEC65D23}

[Devilman-87]

Ok fatto.