Errore Rundll windows XP

[Sgambo]

ciao,
eccomi qui a chiedere un consiglio per un problema che ho da pochi giorni

ho un portatile con su XP, da pochi giorni all'avvio mi esce una schermata di errore Rundll che dice:

Errore durante il caricamento di C:\windows\system32\cpefbyye.dll
impossibile trovare il modulo specificato

che vuol dire?
avete qualche consiglio per risolvere il problema?

grazie mille

[MIKI68]

Che forse sei infetto vediamo posta il log di hijackthis!!

[Frate Aurelio]

@Sgambo
Ciao.
Esegui:
Hijackthis

Esegui il download da:
http://www.trendsecure.com/portal/en-US ... s/download
Scaricare cliccando su:
● Download Hijackthis Installer (consigliato)
Il file scaricato è: Hjtinstall.exe
L’installazione non installa nulla se non il solo file eseguibile.
Caricare, cliccando, il file exe scaricato che proporrà un percorso di installazione:
- C:\Programmi\Trend Micro\HijackThis (lo puoi anche cambiare a piacimento)
- Confermare premendo il pulsante Install
- Verrà creata, sul desktop, l’icona di collegamento a Hijackthis.

● Consiglio Generale
Tutte le operazioni devono essere eseguite:
- Avvio PC in modalità normale
- Con il minor numero possibile di programmi in attività

● Creazione file Hijackthis.log:
- Cliccare sulla icona Hijackthis sul Desktop
- Premere il pulsante:
- Do System scan and save a logfile
Si aprirà il file Hijackthis.log con Blocco Note e nel contempo lo salverà in C:\Programmi\Trend Micro\HijackThis dove lo si potrà sempre rintracciare.
Con Notepad eseguire:
- Modifica►Seleziona tutto►Tasto Destro del mouse►copia
Postarlo nel Topic seguendo la seguente istruzione:
- Copiare, nella risposta al topic, i seguenti tag:
[code][/code]
- Incollare il file Hijackthis.log, in mezzo alle due parentesi quadre centrali.

Frate Aurelio

[Frate Aurelio]

@Miki68
Ciao e scusami !

Frate Aurelio

[Sgambo]

grazie mille
ecco cosa dice il file di testo

Codice: Seleziona tutto

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 15.36.19, on 24/02/2009

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

C:\WINDOWS\system32\SupportAppXL\onda_mon.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\AGRSMMSG.exe

C:\Programmi\ltmoh\Ltmoh.exe

C:\PROGRA~1\AVG\AVG8\avgtray.exe

C:\PROGRA~1\AVG\AVG8\avgemc.exe

C:\PROGRA~1\AVG\AVG8\avgrsx.exe

C:\Programmi\ASUS\WLAN Card Utilities\Center.exe

C:\PROGRA~1\AVG\AVG8\avgnsx.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programmi\AVG\AVG8\avgcsrvx.exe

C:\Documents and Settings\utente\Desktop\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://runonce.msn.com/?v=msgrv75

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti

O2 - BHO: (no name) - {24FE267F-9EC9-408A-A1DA-A8EA7E4F537D} - C:\WINDOWS\system32\qoMEVmjk.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programmi\AVG\AVG8\avgssie.dll

O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\WINDOWS\system32\urqRHaBU.dll

O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll

O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [LtMoh] C:\Programmi\ltmoh\Ltmoh.exe

O4 - HKLM\..\Run: [IMJPMIG8.2] msime82.exe

O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe

O4 - HKLM\..\Run: [Control Center] C:\Programmi\ASUS\WLAN Card Utilities\Center.exe

O4 - HKLM\..\Run: [Windows UDP Control Center] fxstaller.exe

O4 - HKLM\..\Run: [040f7246] rundll32.exe "C:\WINDOWS\system32\cpefbyye.dll",b

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsServer] msfun80.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1232643189811

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programmi\AVG\AVG8\avgpp.dll

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O20 - Winlogon Notify: urqRHaBU - C:\WINDOWS\SYSTEM32\urqRHaBU.dll

O23 - Service: ASWLSVC - Unknown owner - C:\WINDOWS\system32\ASWLSVC.exe

O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe

O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: ONDA Autorun CDROM Monitor - Unknown owner - C:\WINDOWS\system32\SupportAppXL\onda_mon.exe



--

End of file - 4141 bytes



[MIKI68]

@Miki68
Ciao e scusami !

Frate Aurelio

Di niente Frate Aurelio.... ma ora ti do la precedenza nella risoluzione

[Frate Aurelio]

@Mike68
Ciao e grazie della precedenza…

@Sgambo
Ciao e stai tranquillo.
Qualche infezione c'è.
tra me e il bravo Miki68 ne verremo a capo...

Esegui:
■ Pulizia Malaware
● Scarica MalwareBytes
http://www.malwarebytes.org/mbam.php
in alternativa da:
http://www.download.com/Malwarebytes-An ... d=10997763
● aggiornalo
● Importante:
se non si riesce ad aggiornarlo:
● Scaricare l’Aggiornamento DataBase (mbanìm-rules.exe:) da:
http://www.gt500.org/malwarebytes/database.jsp
- cliccare sul programma scaricato
- eseguire una scansione completa .
● Importante::
Al termine della scansione cliccare sul pulsante:
- Mostra Risultati:
- Selezionare tutti i file infetti eventualmente trovati ed eliminali.
- Postare nel topic, il log di fine scansione che crea, eseguendo la seguente procedura:
- Copiare nella risposta al topic i seguenti tag:
[code][/code]
- Incollare il file rapporto di MalwareBytes: , in mezzo alle due parentesi quadre centrali.

Frate Aurelio

[Sgambo]

era carico di trojan

Codice: Seleziona tutto

Malwarebytes' Anti-Malware 1.34

Versione del database: 1793

Windows 5.1.2600 Service Pack 2



24/02/2009 20.40.46

mbam-log-2009-02-24 (20-40-45).txt



Tipo di scansione: Scansione rapida

Elementi scansionati: 55789

Tempo trascorso: 16 minute(s), 14 second(s)



Processi delle memoria infetti: 0

Moduli della memoria infetti: 2

Chiavi di registro infette: 12

Valori di registro infetti: 4

Elementi dato del registro infetti: 3

Cartelle infette: 0

File infetti: 6



Processi delle memoria infetti:

(Nessun elemento malevolo rilevato)



Moduli della memoria infetti:

C:\WINDOWS\system32\qoMEVmjk.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\urqRHaBU.dll (Trojan.Vundo) -> Delete on reboot.



Chiavi di registro infette:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{24fe267f-9ec9-408a-a1da-a8ea7e4f537d} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CLASSES_ROOT\CLSID\{24fe267f-9ec9-408a-a1da-a8ea7e4f537d} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\urqrhabu (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CLASSES_ROOT\CLSID\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{24fe267f-9ec9-408a-a1da-a8ea7e4f537d} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\instkey (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.



Valori di registro infetti:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\040f7246 (Trojan.Vundo.H) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows UDP Control Center (Backdoor.Bot) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\IMJPMIG8.2 (Trojan.Agent) -> Quarantined and deleted successfully.



Elementi dato del registro infetti:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\qomevmjk -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo) -> Data: c:\windows\system32\qomevmjk  -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.



Cartelle infette:

(Nessun elemento malevolo rilevato)



File infetti:

C:\WINDOWS\system32\qoMEVmjk.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\kjmVEMoq.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\kjmVEMoq.ini2 (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\urqRHaBU.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\fxstaller.exe (Backdoor.Bot) -> Quarantined and deleted successfully.

C:\Documents and Settings\utente\Impostazioni locali\Temp\IXP000.TMP\burnew.exe (Backdoor.Bot) -> Quarantined and deleted successfully.



[Frate Aurelio]

@Sgambo
Ciao

Sì effettivamente qualcosa c'era...
Compare ancora l'errore che lamentavi ?
"..Errore durante il caricamento di C:\windows\system32\cpefbyye.dll
impossibile trovare il modulo specificato....."

Esegui:
■ Pulizia file internet, temporanei etc. del PC
Effettua il download, l’ installazione e l’esecuzione di:
● CCleaner
http://www.ccleaner.com
Importante:
In fase d’installazione levare la spunta altrimenti viene installata Yahoo Tollbar.
Avvialo e clicca su:
- Opzioni►Avanzate
Togli la spunta da:
- Elimina file solo se più vecchi di 48 ore
Clicca i tasti:
- Pulizia (il primo in alto a Sinistra)
- Analizza ( Pulsante in basso Centrale)
- Avvia Pulizia (Pulsante in basso a Destra)

● ATF-Cleaner
- Scarica ATF-Cleaner (Non richiede installazione):
http://www.atribune.org/ccount/click.php?id=1
Spunta la voce:
- Select all
Premi il tasto:
- Empty Select

■ Il tuo computer è a rischio!
Non hai installato il Service Pack 3 (SP3)
Probabilmente non effettui gli aggiornamenti di Windows con Windows Update.
Un sistema operativo, non aggiornato, è senza dubbio potenzialmente pericoloso per se stesso e per gli altri PC con i quali va in contatto. Le molteplici infezioni virali sfruttano la vulnerabilità del SO che viene eliminata dagli aggiornamenti di sicurezza Microsoft

■ Installa Internet Explorer 7

■ Esegui ancora Hijackthis e postaci il file log

Frate Aurelio

[Sgambo]

intanto ti ringrazio per il prezioso aiuto,

ancora non ho fatto quello che dici nell'ultimo passaggio, il problema del Rundll all'avvio non esiste più, ora sto facendo tutti gli aggiornamenti da windows update, poi installerò i programmi che consigli seguendo passo passo quello che consigli.

[Frate Aurelio]

@Sgambo
Ciao
Grazie a te.

Ti prego comunque di postare un nuovo file log di Hijackthis.

Frate Aurelio

[Sgambo]

allora, notte lunga oggi comunque grazie al tuo prezioso aiuto ora il pc è molto più veloce e da meno problemi.

dopo il primo fil log che ho postato, ho:
aggiornato con windows update tutto, compreso service pack3
utilizzato CCCleaner e ATF cleaner.
fatto una scansione completa con antivirus AVG ha rilevato altri due virus
poi altra scansione (questa volta non rapida ma completa) con Malware ed ancora mi ha trovato un trojan

ora spero di essere apposto,
ecco l'ultimo risultato

Codice: Seleziona tutto

Malwarebytes' Anti-Malware 1.34

Versione del database: 1799

Windows 5.1.2600 Service Pack 3



25/02/2009 9.51.23

mbam-log-2009-02-25 (09-51-23).txt



Tipo di scansione: Scansione completa (C:\|D:\|)

Elementi scansionati: 88627

Tempo trascorso: 37 minute(s), 24 second(s)



Processi delle memoria infetti: 0

Moduli della memoria infetti: 0

Chiavi di registro infette: 0

Valori di registro infetti: 0

Elementi dato del registro infetti: 0

Cartelle infette: 0

File infetti: 1



Processi delle memoria infetti:

(Nessun elemento malevolo rilevato)



Moduli della memoria infetti:

(Nessun elemento malevolo rilevato)



Chiavi di registro infette:

(Nessun elemento malevolo rilevato)



Valori di registro infetti:

(Nessun elemento malevolo rilevato)



Elementi dato del registro infetti:

(Nessun elemento malevolo rilevato)



Cartelle infette:

(Nessun elemento malevolo rilevato)



File infetti:

C:\System Volume Information\_restore{7CBFE346-9D90-49ED-B21E-1D08D3E58D2A}\RP29\A0008763.dll (Trojan.Vundo) -> Quarantined and deleted successfully.



[Frate Aurelio]

@Sgambo
Ciao

● Importante:
Posta un nuovo file log di Hijackthis perchè è necessario esaminarlo.

Nel frattempo considera la seguente procedura:

■ Suggerimeni finali
● Importante:
Non effettuare assolutamente il Ripristino di Sistema prima delle seguenti procedure.
perché verrebbero altrimenti reinstallati i virus eliminati.
Tuttavia, quando si è certi che il PC funziona in maniera corretta è necessario eseguire:

■ Procedura Disattivazione e Attivaziore ripristino di sistema
● Disattivare il Ripristino di sistema
eseguendo:
- Start►Risorse del computer
- Tasto Destro del mouse
- Proprietà►Ripristino configurazione di sistema
- Spuntare la voce:
- Disattiva ripristino configurazione di sistema su tutte le unità
- Cliccare sul pulsante:
- Applica
- Alla domanda di disattivare il Ripristino di configurazione di sistema rispondere:
- SI

● Riavviare il PC

● Attivare il Ripristino di sistema
eseguendo:
- Start>Risorse del computer
- Tasto Destro del mouse
- Proprietà►Ripristino configurazione di sistema
- Levare la spunta della voce:
- Disattiva ripristino configurazione di sistema su tutte le unità
- Attendere che nello stato sia scritto Monitoraggio
- Cliccare sul pulsante:
- Applica


Frate Aurelio

[Sgambo]

eccomi, ho seguito anche tutta la procedura di disattivazione e riattivazione rispristino.

ecco il nuovo file log.

Codice: Seleziona tutto

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16.07.24, on 25/02/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16791)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

C:\WINDOWS\system32\SupportAppXL\onda_mon.exe

C:\PROGRA~1\AVG\AVG8\avgemc.exe

C:\PROGRA~1\AVG\AVG8\avgrsx.exe

C:\PROGRA~1\AVG\AVG8\avgnsx.exe

C:\Programmi\AVG\AVG8\avgcsrvx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\AGRSMMSG.exe

C:\Programmi\ltmoh\Ltmoh.exe

C:\PROGRA~1\AVG\AVG8\avgtray.exe

C:\Programmi\ASUS\WLAN Card Utilities\Center.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Documents and Settings\utente\Desktop\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programmi\AVG\AVG8\avgssie.dll

O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll

O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [LtMoh] C:\Programmi\ltmoh\Ltmoh.exe

O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe

O4 - HKLM\..\Run: [Control Center] C:\Programmi\ASUS\WLAN Card Utilities\Center.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsServer] msfun80.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1232643189811

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programmi\AVG\AVG8\avgpp.dll

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O23 - Service: ASWLSVC - Unknown owner - C:\WINDOWS\system32\ASWLSVC.exe

O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe

O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: ONDA Autorun CDROM Monitor - Unknown owner - C:\WINDOWS\system32\SupportAppXL\onda_mon.exe



--

End of file - 4392 bytes



[Frate Aurelio]

@Sgambo
Ciao
Levami una curiosità, se puoi, che programma è onda_mon.exe ?

Per quanto riguarda le infezioni c'è ancora qualcosina.
Esegui:
● Riavviare il PC in modalità provvisoria
- Aprire l’editor del Registro:
Start►esegui
- Scrivere:
regedit
- Confermare con:
OK
● Salvataggio del file del Registro:
file►esporta
- dare un nome lasciando l’estensione .reg
- confermare con:
Salva.

● Eliminazione chiave infetta
Cercare la chiave:
HKEY_CURRENT_USER>Software>Microsoft>Windows>
CurrentVersion>Run
- fare doppio clic sulla chiave nel pannello di sinistra
- nel panello di destra localizzare ed eliminare la seguente voce:
MsServer = "msfun80.exe"

Al termine riavvia il PC ed esegui:
● Postare un nuovo file di Hijackthis

Frate Aurelio

[Frate Aurelio]

@Sgambo
Scusa dimenticavo:
Non collegare al PC nessun disco o chiavetta rimovibili.
L'infezione parte da lì

Frate Faurelio

[Sgambo]

io ho passatodiversi dati con la chiavetta dal mio pc con linux ubuntu 8.10 a questo portatile, perché non riuscivo a connetterlo su internet.

devo preoccuparmi?

[Frate Aurelio]

@Sgambo
Ciao
Assolutamente non ti devi preoccupare.
Devi stare tranquillo e seguire le istruzioni.
In rete il file msfun80.exe che è rimasto ancora nel PC e lo puoi vedere nell'ultimo file Hijackthis postato, è definito come infezione tipica delle unità rimovibli.
Nel penultimo log di Hijackthis era presente anche il filem sime82.exe , fratello del sopracitato, che è stato evidentemente cancellato da Malwarebytes' Anti-Malware. Hai forse usato un disco rimovibile dopo la scansione con Malwarebytes ?
a) Se si ripeti la scansione e posta il suo log.
b) Hai fatto l'eliminazione della chiave infetta con Regedit ?
In entrambi i casi posta un log di Hijackthis.

Frate Aurelio

[Sgambo]

ciao,
ecco il risultato

Codice: Seleziona tutto

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 23.21.39, on 25/02/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16791)

Boot mode: Normal



Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

C:\WINDOWS\system32\SupportAppXL\onda_mon.exe

C:\PROGRA~1\AVG\AVG8\avgemc.exe

C:\PROGRA~1\AVG\AVG8\avgrsx.exe

C:\WINDOWS\Explorer.EXE

C:\PROGRA~1\AVG\AVG8\avgnsx.exe

C:\Programmi\AVG\AVG8\avgcsrvx.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\AGRSMMSG.exe

C:\Programmi\ltmoh\Ltmoh.exe

C:\PROGRA~1\AVG\AVG8\avgtray.exe

C:\Programmi\ASUS\WLAN Card Utilities\Center.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programmi\Alice MOBILE\Alice MOBILE.exe

C:\Documents and Settings\utente\Desktop\HijackThis.exe



R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programmi\AVG\AVG8\avgssie.dll

O2 - BHO: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll

O3 - Toolbar: AVG Security Toolbar - {A057A204-BACC-4D26-9990-79A187E2698E} - C:\Programmi\AVG\AVG8\avgtoolbar.dll

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe

O4 - HKLM\..\Run: [LtMoh] C:\Programmi\ltmoh\Ltmoh.exe

O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe

O4 - HKLM\..\Run: [Control Center] C:\Programmi\ASUS\WLAN Card Utilities\Center.exe

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MsServer] msfun80.exe

O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1232643189811

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programmi\AVG\AVG8\avgpp.dll

O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

O23 - Service: ASWLSVC - Unknown owner - C:\WINDOWS\system32\ASWLSVC.exe

O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe

O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: ONDA Autorun CDROM Monitor - Unknown owner - C:\WINDOWS\system32\SupportAppXL\onda_mon.exe



--

End of file - 4436 bytes



[Frate Aurelio]

@Sgambo
Ciao

Esegui:
● Scarica Combofix (puoi salvarlo sul desktop) da:
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
● Importante:
- Non funziona in modalità provvisoria.
- Chiudere la connessione a Internet (meglio se spegni il modem).
- Disabilitare temporaneamente l’antivirus, antispyware e firewall.
- Chiudere tutti i programmi aperti.
- Non usare nessun programma sino al termine.
- Durante la scansione non usare il PC. Lasciare inattiva la tastiera e attendere il termine di tutte le operazione.
- Combofix puo riavviare il PC, non fate assolutamente nulla.

● Caricamento ComboFix
Cliccare su:
- combofix.exe
- Premere Invio.
- Alla richiesta di creare una console di ripristino rispondere:
NO
● Importante:
Non usare nessun programma sino a che Combofix non abbia terminato.
- Al termine, verrà creato un file log in C:\ComboFix.txt
Viene aperto da Combofix con il Blocco Note o potrebbe,inoltre, essere riaperto dal citato percorso.
Eseguire:
- Modifica►Seleziona tutto►Tasto Destro del mouse►copia
Postarlo nel Topic seguendo la seguente istruzione:
- Copiare nella risposta al topic i seguenti tag:
[code][/code]
- Incollare, il log di Combofix, in mezzo alle due parentesi quadre centrali.

Frate Aurelio