[problema iexplore.exe]

[gahan]

per quanto riguarda Avenger ho dimenticato di dirti:

Nella finestra "Input script here" copia e incolla le seguenti righe in grassetto:

files to delete:
C:\WINDOWS\system32\wowfx.dll
C:\WINDOWS\system32\nnnlkhee.dll


Spunta "Automatically disable any rootkits found"

clicca sul pulsante "Execute"
Il pc dovrebbe riavviarsi da solo,se così non fosse riavvialo manualmente

posta il log di avenger che trovi in c:\

[Allspark]

Mi sorge un dubbio. Hai estratto l'archivio zip "avenger" una volta scaricato oppure hai aperto il programma direttamente da dentro l'archivio?

Il programma deve essere estratto sul desktop ed essere eseguito. Per quanto riguarda i comandi questi dovrebbero essere giusti:

files to delete:
C:\WINDOWS\system32\wowfx.dll
C:\WINDOWS\system32\nnnlkhee.dll

Inoltre fixiamo con hijackthis alcune voci prima lasciate in sospeso:

apri hijackthis --> do a system scan only

O4 - HKLM\..\Run: [winlogon] C:\Documents and Settings\Proprietario\svchost.exe
O4 - HKCU\..\Run: [winlogon] C:\Documents and Settings\Proprietario\svchost.exe
O23 - Service: Utilità di pianificazione (Schedule) - Unknown owner - C:\WINDOWS\system32\drivers\services.exe

Per quanto riguarda ComboFix il log si trova in C:\ComboFix.txt

1) si... avenger lo ho estratto fin da subito sul desktop... ma non credo abbia trovato i file.dlll


Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: file "C:\WINDOWS\system32\wowfx.dll" not found!
Deletion of file "C:\WINDOWS\system32\wowfx.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\WINDOWS\system32\nnnlkhee.dll" not found!
Deletion of file "C:\WINDOWS\system32\nnnlkhee.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.

*******************

Finished! Terminate.


2)con hijackthis non ho trovato gli elementi che mi hai detto di eliminare:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 1.01.51, on 17/11/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\Google\Update\GoogleUpdate.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Proprietario\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Proprietario\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Proprietario\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Proprietario\Desktop\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-qit10.hpwis.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://srch-qit10.hpwis.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programmi\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Programmi\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [EA Core] "C:\Programmi\Electronic Arts\EADM\Core.exe" -silent
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programmi\SUPERAntiSpyware\SUPERAntiSpyware.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Update Service (gupdate1ca54cc7468ba44) (gupdate1ca54cc7468ba44) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe

--
End of file - 4485 bytes

[gahan]

Se avenger non ha trovato le dll risultanti dallo scriptciò vuol dire che non dovresti avere piu infezioni...inoltre dal log di hijackthis non risultano altra infezioni.

Rifai una scansione con ComboFix e riposta il log:

dal desktop esegui ComboFix.
disattiva l'antivirus
Doppio click su combofix.exe (comparirà una videata.)
premi Invio e segui le indicazioni (rispondi no alla proposta di installare la recovery console, non fare nulla durante la scansione, non toccare nè mouse nè tastiera, se sparisccono le icone dal desktop è normale)
Al termine, verrà creato un file log chiamato C:\ComboFix.txt. Postalo qui.

[Allspark]

Se avenger non ha trovato le dll risultanti dallo scriptciò vuol dire che non dovresti avere piu infezioni...inoltre dal log di hijackthis non risultano altra infezioni.

Rifai una scansione con ComboFix e riposta il log:

dal desktop esegui ComboFix.
disattiva l'antivirus
Doppio click su combofix.exe (comparirà una videata.)
premi Invio e segui le indicazioni (rispondi no alla proposta di installare la recovery console, non fare nulla durante la scansione, non toccare nè mouse nè tastiera, se sparisccono le icone dal desktop è normale)
Al termine, verrà creato un file log chiamato C:\ComboFix.txt. Postalo qui.

non riesco a postare il file log... non lo crea (o non lo trovo)...
1)faccio partire il programma... dopo l'ok che clicco mi riavvia il pc
2)al riavvio scompaiono le icone sul desktop e c'è la schermata con scritto che sta elaborando le varie fasi (stage 1 completed- stage 2 completed ecc...)
3) si riavvia ancora il pc
4)la schermata che mi compare dice che sta creando il file .txt e di non avviare nessuna applicazione e/o programma
5) non faccio niente e dopo pochi secondi mi si riavvia il pc (prima di avviare windows viene la schermata che non è stato chiuso correttamente e che è necessario esaminare il disco E:
6) terminato il controllo si avvia automaticamente ma non apre il file.txt (se lo cerco su C:\Combofix\conbofix.txt esso risulta vuoto)

[Luke57]

Ciao, scarica SystemScan, disconnetti il pc da internet => disattiva l'antivirus => esegui systemscan => clicca su "Scan Now".
http://www.suspectfile.com/systemscan
Finita la scansione, riattiva l'antivirus, carica il rapporto (file .zip) che trovi sul desktop su wikifortio e posta il link ottenuto per vedere il file.
http://www.wikifortio.com/
Nota: systemscan viene riconosciuto come infetto per il tipo di scansione effettuata, ovviamente non lo è.

[Allspark]

Ciao, scarica SystemScan, disconnetti il pc da internet => disattiva l'antivirus => esegui systemscan => clicca su "Scan Now".
http://www.suspectfile.com/systemscan
Finita la scansione, riattiva l'antivirus, carica il rapporto (file .zip) che trovi sul desktop su wikifortio e posta il link ottenuto per vedere il file.
http://www.wikifortio.com/
Nota: systemscan viene riconosciuto come infetto per il tipo di scansione effettuata, ovviamente non lo è.

il file sul desktop era .txt non .zip... comunque il link che ne e stato ricavato è http://www.wikifortio.com/716832/report.txt (lo ho aperto e visto... risulta uguale a quello sul desktop)

[Luke57]

Ciao, pare a posto , per controllo aggiorna malwarebytes e fai una scansione completa del computer.

[Allspark]

Ciao, pare a posto , per controllo aggiorna malwarebytes e fai una scansione completa del computer.

Ciao... ecco qua il rapporto...

Malwarebytes' Anti-Malware 1.41
Versione del database: 3208
Windows 5.1.2600 Service Pack 3

23/11/2009 18.10.40
mbam-log-2009-11-23 (18-10-40).txt

Tipo di scansione: Scansione completa (C:\|E:\|)
Elementi scansionati: 219052
Tempo trascorso: 1 hour(s), 44 minute(s), 35 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Elementi dato del registro infetti: 0
Cartelle infette: 2
File infetti: 0

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
C:\WINDOWS\system32\append.dll (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\xlib254.dll (Trojan.Agent) -> Quarantined and deleted successfully.

File infetti:
(Nessun elemento malevolo rilevato)

[gahan]

Ok, tutto a posto

[Luke57]

Ciao, ok, i file eliminati da malwarebytes risultavano anche nel report di systemscan

[Allspark]

Grazie a tutti e due... mi avete salvato dall'ennesima formattazzione...