Aiuto vista 64

[Max1599]

si seguo la procedura passo passo poi si riavvia ma poi non trovo il report

[Luke57]

Ciao, elimina la versione di combofix che hai sul computer, disattiva l'antivirus
scarica combofix sul desktop
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
devi rinominare il file prima di salvarlo sul desktop in abc.exe
(per rinominare il file, quando lo scarichi ti chiede dove salvarlo e ti compare la casella "nome file" ,basta che cambi il nome che ti appare in abc.exe)
Disconnettiti da internet
Fatto questo, clicca su start>esegui, nel box bianco copia e incolla questo comando, virgolette comprese:

"%userprofile%\desktop\abc.exe" /killall

Premi OK, se tutto va bene parte il programma che potrebbe impiegare molto (non fare altre manovre durante la scansione),una volta terminata, se tutto è andato bene, in C:\ dovresti trovare il file combofix.txt , posta il contenuto del file o allegalo.

[Max1599]

seguendo la procedura ecco cosa mi da combofix

Cattura.JPG

(52.27 KiB) Scaricato 29 volte

e ora ? cosa si fà?????
come al solito rimango in attesa d' istruzioni scusa luke del tempo che ti rubo.......

[Luke57]

Ciao, francamente non so che cosa dire, combofix funziona anche con vista, avenger non si riesce a usare, navilog1 idem, cureit idem, prova a eliminare manualmente tutti quei file che ti ho indicato nlla procedura con avenger e poi fammi sapere.

[Max1599]

ciao luke ho provato a seguire il tuo suggerimento di cancellare manualmente i files ma non riesco a trovarli forse sono in cartelle nascoste???

[Max1599]

francamente non so che cosa dire, combofix funziona anche con vista, avenger non si riesce a usare, navilog1 idem, cureit idem, prova a eliminare manualmente tutti quei file che ti ho indicato nlla procedura con avenger e poi fammi sapere.

ma forse non sarà che è vista 64 e non 32 ?????????????

[Luke57]

Ciao, fai una nuova scansione con systemscan e poi inserisci il link per poterlo vedere, come al solito.

[steve75]

combofix come malwarebyte's e molti altri tool, non funzionano su Vista 64Bit

[Max1599]

ok fatta scansione con systemscan ecco il report:
http://rapidshare.com/files/197368884/1 ... t.zip.html
resto sempre in attesa grazie

[Luke57]

Ciao quel file ha qualche problema non riesco ad aprirlo.

[Max1599]

l' ho scaricato da un altro pc di un mio amico e a me lo apre .........bohh.........riprova se puoi grazie.

[Max1599]

prova ora:

http://rapidshare.com/files/197729034/report.txt.html

[Luke57]

Boh, situazione sempre identica, prova questo:
SCARICA OTMOVEIT3 DA QUI:
http://oldtimer.geekstogo.com/OTMoveIt3.exe
DISCONNETTITI DA INTERNET, CHIUDI PROGRAMMI E APPLICAZIONI, avvia otmoveit 3 ed assicurati che la voce Unregister Dll's and Ocx's sia spuntata.
Nello spazio bianco sotto alla voce Paste Instructions for items to be Moved incolla il seguente script e clicca su MoveIt!:

Codice: Seleziona tutto

:Processes
explorer.exe

:services
aewqc
mtpjd
zebcqrml
teag
pldc
qbgn
ejizqnvc

:registry
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"kvyvilhk"=-

:files
C:\Windows\bxzjgsz.txt
C:\Windows\system32\CF12660.exe
C:\Windows\system32\cmd.execf
C:\Windows\system32\CF14643.exe
C:\Windows\system32\CF14447.exe
C:\Windows\system32\CF14333.exe
C:\Windows\system32\CF13908.exe
C:\Windows\system32\CF12831.exe
C:\Windows\system32\CF17136.exe
C:\Windows\system32\CF16813.exe
C:\Windows\system32\CF18457.exe
C:\Windows\system32\CF18365.exe
C:\Windows\system32\CF17865.exe
C:\Windows\system32\CF5177.exe
C:\Windows\system32\CF5060.exe
C:\Windows\system32\CF1895.exe
C:\Windows\system32\CF1412.exe
C:\Windows\system32\CF245.exe
C:\Windows\system32\CF31028.exe
C:\Windows\system32\CF29601.exe
C:\Windows\system32\CF25992.exe
C:\Windows\system32\CF25600.exe
C:\Windows\system32\CF24905.exe
C:\Windows\system32\CF16499.exe
C:\Windows\system32\CF15676.exe
C:\Windows\system32\CF15271.exe
C:\Windows\system32\CF13534.exe
C:\Windows\system32\CF13390.exe
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk.dat
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk.bat
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk_navps.dat
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk_nav.dat
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk.exe
C:\Windows\system32\drivers\nhqvf.sys
C:\Windows\system32\drivers\vwqvms.sys
C:\Windows\system32\drivers\pwsaf.sys
C:\Windows\system32\drivers\gapimnan.sys
C:\Windows\system32\drivers\bxvhv.sys
C:\Windows\system32\drivers\bgxrwl.sys
C:\Windows\system32\drivers\icta.sys

:commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

Il computer si dovrebbe riavviareà e Il log dell'operazione verrà salvato nella cartella C:\_OtMoveIt\MovedFiles sotto la forma del file [nome_e_data].LOG
Allegalo a un post

[Max1599]

ok fatto ti allego il report:
http://rapidshare.com/files/198099930/0 ... 7.log.html
ah il virus è ancora attivo proprio ora si è aperta una pagina

[Max1599]

potrebbe essere questo software ? la causa di tutto?? LIVE PLAYER
ho fatto caso che dopo la sua installazione ho iniziato ad avere problemi tant' è vero guarda qui cosa dice nod 32
http://www.nod32.it/threat-center/encyc ... hp?id=1914
è solo un ipotesi.........ma

[Luke57]

Ciao, hai un'infezione da navipromo, nessun tool funziona sul tuo computer, ho visto che hai hijackthis per cui:

disconnesso da internet e con le applicazioni chiuse, apri hiajckthis, premi "config", "misc tools", "open process manager", tra i processi se trovi:
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk.exe

lo evidenzi e premi kill process

Torni alla pagina principale con back, premi "scan", cerca e spunta le seguenti voci:
F2 - REG:system.ini: UserInit=userinit.exe
O4 - HKCU\..\Run: [kvyvilhk] "c:\users\mauro orsini motors\appdata\local\kvyvilhk.exe" kvyvilhk
O4 - Global Startup: SetPointII.lnk = ?

premi fix checked.
Chiudi il programma.

Visualizza file e cartelle nascosti:
se non sai come fare vedi qui:
http://www.faqwindows.com/public/post/c ... ta-119.asp

Riavvia il sistema in modalità provvisoria, vedi qui come fare:
http://windowshelp.microsoft.com/Window ... 11040.mspx
(comunquer, premi più volte il tasto funzione F8 subito dopo le prime schermate del BIOS, nella schermata grigia che appare scegli modalità provvisoria con le freccette e confermando con invio)

Una volta entrato nel sistema, cerca ed elimina manualmente i seguenti files:
C:\Windows\bxzjgsz.txt
C:\Windows\system32\CF12660.exe
C:\Windows\system32\cmd.execf
C:\Windows\system32\CF14643.exe
C:\Windows\system32\CF14447.exe
C:\Windows\system32\CF14333.exe
C:\Windows\system32\CF13908.exe
C:\Windows\system32\CF12831.exe
C:\Windows\system32\CF17136.exe
C:\Windows\system32\CF16813.exe
C:\Windows\system32\CF18457.exe
C:\Windows\system32\CF18365.exe
C:\Windows\system32\CF17865.exe
C:\Windows\system32\CF5177.exe
C:\Windows\system32\CF5060.exe
C:\Windows\system32\CF1895.exe
C:\Windows\system32\CF1412.exe
C:\Windows\system32\CF245.exe
C:\Windows\system32\CF31028.exe
C:\Windows\system32\CF29601.exe
C:\Windows\system32\CF25992.exe
C:\Windows\system32\CF25600.exe
C:\Windows\system32\CF24905.exe
C:\Windows\system32\CF16499.exe
C:\Windows\system32\CF15676.exe
C:\Windows\system32\CF15271.exe
C:\Windows\system32\CF13534.exe
C:\Windows\system32\CF13390.exe
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk.dat
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk.bat
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk_navps.dat
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk_nav.dat
C:\Users\mauro orsini motors\AppData\Local\kvyvilhk.exe
C:\Windows\system32\drivers\nhqvf.sys
C:\Windows\system32\drivers\vwqvms.sys
C:\Windows\system32\drivers\pwsaf.sys
C:\Windows\system32\drivers\gapimnan.sys
C:\Windows\system32\drivers\bxvhv.sys
C:\Windows\system32\drivers\bgxrwl.sys
C:\Windows\system32\drivers\icta.sys

Svuota il cestino

da start>esegui>%temp% (lo digiti nello spazio)>OK
elimini tutti i file trovati dal comando (Se uno o più file non vengono eliminati è segno che il sistema li sta utilizzando, procedi con l’eliminazione degli altri).

Vai in Pannello di controllo -> Opzioni Internet -> premi il pulsante “Impostazioni” -> quindi il pulsante “Visualizza oggetti”(In IE7: Cronologia esplorazioni -> Impostazioni -> Visualizza oggetti): rimuovi tutti gli oggetti (applet, controlli ActiveX, ecc.) che riconosci di non avere volontariamente installato, verificandone le “Proprietà” (clic destro -> Proprietà)

Riavvia in modalità normale

Informaci sull'esito delle operazioni

[Max1599]

ciao luke sto seguendo la procedura che mi hai descritto ma i file che mi dici di eliminare manualmente non sono in c\windows\system32\* ma bensì in c\windows\sysWOW64\* li posso eliminare ugualmente????????

[Luke57]

Ciao, guarda anche qui:
http://support.microsoft.com/kb/282945/it

elimiali ugualmente

[Max1599]

ciao luke sembra che abbiamo risolto il prob almeno sembra ora faccio qualche test e ti faccio sapere
per ora grazie

[Max1599]

luke scusa ma ho un altro prob con un altro pc mi dice che l'applicazione (NMindexstoresvr.exe)verrà chiusa, a me sembra un virus come SO ho win xp cosa ne pensi ????????