2 files infetti mi date un'occhiata ?

[eleivga]

Ho bisogno di voi! malwarebytes ha rilevato 2 file infetti e Superantispyware 1. Come da Vs. usuali indicazioni ho effettuato Hijackthis e di seguito vi allego il Log:
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 20.25.53, on 12/12/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\File comuni\Logishrd\LVMVFM\LVPrcSrv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\CDBurnerXP\NMSAccessU.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Avira\AntiVir Desktop\avshadow.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\ALICET~1\SMARTB~1\MotiveSB.exe
C:\Programmi\D-Link\AirPlus XtremeG DWL-G122\AirGCFG.exe
C:\Programmi\Logitech\LWS\Webcam Software\LWS.exe
C:\Programmi\File comuni\Java\Java Update\jusched.exe
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Trend Micro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Motive SmartBridge] C:\PROGRA~1\ALICET~1\SMARTB~1\MotiveSB.exe
O4 - HKLM\..\Run: [D-Link AirPlus XtremeG DWL-G122] C:\Programmi\D-Link\AirPlus XtremeG DWL-G122\AirGCFG.exe
O4 - HKLM\..\Run: [LWS] C:\Programmi\Logitech\LWS\Webcam Software\LWS.exe -hide
O4 - HKLM\..\Run: [HitmanPro35] "C:\Programmi\Hitman Pro 3.5\HitmanPro35.exe" /scan:boot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\File comuni\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ccleaner] "C:\Programmi\CCleaner\CCleaner.exe" /AUTO
O4 - HKCU\..\Run: [{C96A181B-DF9A-4EAB-8337-7FD0A79C0A40}] "C:\Documents and Settings\Elena\Dati applicazioni\Iwlacy\tuub.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Aggiungi all'elenco di stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O8 - Extra context menu item: Anteprima Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Free YouTube to Mp3 Converter - C:\Documents and Settings\Elena\Dati applicazioni\DVDVideoSoftIEHelpers\youtubetomp3.htm
O8 - Extra context menu item: Invia a periferica &Bluetooth... - C:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Stampa ad alta velocità Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Stampa Easy-WebPrint - res://C:\Programmi\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/ms ... b56986.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 2438679203
O16 - DPF: {9122D757-5A4F-4768-82C5-B4171D8556A7} (PhotoPickConvert Class) - http://appdirectory.messenger.msn.com/A ... tPkMSN.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O20 - AppInit_DLLs:
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.DLL
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Wireless Service - C:\Programmi\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programmi\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Programmi\File comuni\Logishrd\LVMVFM\LVPrcSrv.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Programmi\CDBurnerXP\NMSAccessU.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 7403 bytes

Attendo i Vostri preziosi consigli, grazie

[Riverside]

Più del log di Hijackthis sarebbe utile vedere i log di Malwarebytes e di Superantisypware.

[eleivga]

Ciao Riverside!! intanto puoi dare un'occhiata a Malwarebytes ? (:oops: ho invertito e Spy che ne ha rilevati 2)

Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Versione database: 5298

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

12/12/2010 20.25.21
mbam-log-2010-12-12 (20-25-15).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi esaminati: 181853
Tempo trascorso: 1 ore, 11 minuti, 44 secondi

Processi infetti in memoria: 0
Moduli di memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 1
Voci infette nei dati di registro: 0
Cartelle infette: 0
File infetti: 1

Processi infetti in memoria:
(Non sono stati rilevati elementi nocivi)

Moduli di memoria infetti:
(Non sono stati rilevati elementi nocivi)

Chiavi di registro infette:
(Non sono stati rilevati elementi nocivi)

Valori di registro infetti:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\{C96A181B-DF9A-4EAB-8337-7FD0A79C0A40} (Spyware.Passwords.XGen) -> Value: {C96A181B-DF9A-4EAB-8337-7FD0A79C0A40} -> No action taken.

Voci infette nei dati di registro:
(Non sono stati rilevati elementi nocivi)

Cartelle infette:
(Non sono stati rilevati elementi nocivi)

File infetti:
c:\documents and settings\Elena\dati applicazioni\Iwlacy\tuub.exe (Spyware.Passwords.XGen) -> No action taken.

Non trovo l'altro Log....Forse sarà il caso di rilanciarlo subito ?!?

[Riverside]

Ciao Riverside!! intanto puoi dare un'occhiata a Malwarebytes ? File infetti:
c:\documents and settings\Elena\dati applicazioni\Iwlacy\tuub.exe (Spyware.Passwords.XGen) -> No action taken.
Non trovo l'altro Log....Forse sarà il caso di rilanciarlo subito ?!?

Ciao Ele, intanto dopo la scansione con Malwarebytes non hai eliminato il file infetto (No action taken).
Procedi in questo modo:
aggiorna sia Malwarebyes che Superantispyware, esegui con entrambi le scansioni complete (al termine rimuovi i file infetti) e riallega i due log.
Per allegare i log, utilizza questo servizio di upload: clicca qui per wikisend
e, pubblica il Forumlink che verrà rilasciato dopo il caricamento di ogni singolo file.

[eleivga]

Ecco Riverside: (anche Avira mi ha segnalato il virus)
mbam-log-2010-12-13 (22-19-34).txt
SUPERAntiSpyware Scan Log - 12-13-2010 - 22-55-36.log

Attendo le tue "dritte", grazie.

[Riverside]

Ele, c'è qualcosa che non mi convince.

Disattiva il Ripristino configurazione di sistema:
● Start
● tasto destro del mouse sull'icona Risorse del Computer
● seleziona la voce Proprietà
● apri la scheda Ripristino configurazione di sistema
● spunta la voce Disattiva Ripristino configurazione di sistema
● conferma, la modifica, con Applica e, poi OK
● riavvia il sistema, ripeti lo stesso passaggio riattiva il Ripristino configurazione di sistema

poi allega un nuovo log di Hijackthis, per favore.

[eleivga]

Ho fatto quello che hai detto, ecco:
hijackthis.log

[eleivga]

Stamani ho riacceso il Pc per vedere se c'era una risposta per me e come sempre all'avvio parte la scansione di Hitman che rileva malware in c:\documents and setting.....dati applicazioni\Opmot - però non riesco a cancellarlo perchè non ho la chiave di registro...

[Riverside]

Elena, hai installato Free YouTube to Mp3 Converter ? se si disinstallalo.

Poi, scarica Combofix: clicca qui per il download
Nota: prima di eseguire il download, rinomina il file in pippo.exe

crea una cartella apposita sul Desktop e, al suo interno, posiziona il tool che hai scaricato ed esegui queste operazioni preliminari:
● disconnettiti da Internet
● sconnetti, fisicamente, il modem dal computer

èassolutamente necessario, se attivo:
● disattivare l'Antivirus in uso, dall'icona presente sulla traybar (accanto all'orologio di Windows)
● disattivare il Firewall eventualmente installato, dall'icona presente sulla traybar (accanto all'orologio di Windows)

Eseguiti i passaggi indicati sopra:

● lancia ComboFix con un account con privilegi di Amministratore e segui le istruzioni che verranno rilasciate per eseguire la scansione
● verrà richiesta la installazione della Console di ripristino di emergenza: non la installare
● senza eseguire nessuna altra operazione, lascia che il tool completi la scansione e la fase di creazione del log

Note - durante la scansione:
● verranno creati alcuni file sul desktop e poi eliminati
● spariranno, per un attimo, tutte le icone presenti sul Desktop
● protrebbe venire rilasciato un messaggio in relazione all'antivirus in uso: prosegui ingnorando il messaggio
● il firewall, se attivo, potrebbe rilasciare un avviso che verranno rimossi alcuni driver: consenti

Quando Combofix avrà concluso l'operazione di scansione:

● il sistema verrà riavviato automaticamente (in caso contraio, riavvialo tu)
● ricollega, fisicamente, il modem al computer
● connettiti a Internet
● vai in Disco Locale C: cerca il log dal nome combofix.txt ed allegalo

Per allegare il log utilizza questo servizio di upload: clicca qui per wikisend
e, pubblica il Forumlink che verrà rilasciato dopo il caricamento del file.

[eleivga]

Riverside, se per caso fossi connesso, sì ho Freeyou tube ma non riesco in nessuna maniera a disinstallarlo, sono in Pannello di Controllo, Installazione applicazioni e clicco su Rimuovi ma non si elimina!!! che faccio procedo al resto ???

[eleivga]

Allora dopo vari tentativi ho installato Revouninstaller e solo con questo per ben 2 volte eseguito sono riuscita ad eliminarlo. Poi ho fatto tutto il resto l'unica cosa è che non sono riuscita a disinstallare il firewall spero comunque di essere riuscita nell'obbiettivo finale. Qui il log di Combofix:
log.txt
Attendo le tue "dritte", grazie ancora.

[Riverside]

Ok direi che ora le cose vanno meglio.
Disinstalla Combofix: scarica, sul desktop, OTC by OldTimer: clicca qui per il download
● doppio clic sulla icona per eseguirlo
● clicca su CleanUP
● clicca su Yes e nuovamente su Yes
● riavvia il sistema, cestina OTC by OldTimer e tutti gli eventuali log salvati sul desktop

Poi esegui una scansione completa del sistema con Avira ed allega il report che verrà rilasciato al termine della scansione.

Scusa se rispondo con un pò di ritardo ma in questi gorni sono piuttosto preso.

[eleivga]

ok fatto mi sa che non è ancora finita...AVSCAN-20101216-212727-609BF2D5.LOG
Come si disinstalla Combo? non lo trovo con Revo.
Curiosità, un colpevole può essere stato Freeyoutube ?
Ti aspetto fiduciosa.....

[Riverside]

Come si disinstalla Combo? non lo trovo con Revo.

Ele, te lo ho spiegato nel post precedente. con OTC by OldTimer

Curiosità, un colpevole può essere stato Freeyoutube?

A spanne, direi decisamente di si.
Prosegui in questa maniera:
Disattiva il Ripristino configurazione di sistema:
● Start
● tasto destro del mouse sull'icona Risorse del Computer
● seleziona la voce Proprietà
● apri la scheda Ripristino configurazione di sistema
● spunta la voce Disattiva Ripristino configurazione di sistema
● conferma, la modifica, con Applica e, poi OK
● riavvia il sistema, ripeti lo stesso passaggio e riabilita il Ripristino configurazione di sistema

Ripeti la scansione completa con Avira ed allega il relativo report.
Allega, anche, un nuovo log di Hijackthis eseguito dopo la scansione.

[eleivga]

Riverside, ho riscaricato il programma che hai indicato, 2 volte clean up e si riavvia da solo il pc. Ma pippo.exe è sempre presente sul desktop.(cioè COmbo) L'ho ripetuto 2 volte ma non riesco ad eliminarlo; dove sbaglio ?
E comunque ecco i log che hai richiesto :
AVSCAN-20101217-181603-025C4850.LOG
hijackthis.log
A "rileggerti" presto

[Riverside]

Riverside, ho riscaricato il programma che hai indicato, 2 volte clean up e si riavvia da solo il pc. Ma pippo.exe è sempre presente sul desktop.(cioè COmbo) L'ho ripetuto 2 volte ma non riesco ad eliminarlo

Rimuovilo manualmente e svuota il cestino.
Prima di continuare (non abbiamo ancora finito), il computer ti da ancora problemi?.

[eleivga]

direi di no; ieri sera ho fatto fatica ad aprire la pagina del Vs. website mentre altre le apriva subito, ma probabilmente non c'entra nulla....

[Riverside]

Allega un nuovo log di Hijackthis, Ele.

[eleivga]

hijackthis.log

[Riverside]

Va bene, da Installazione Applicazioni, disinstalla:
● Adobe Flash Player;
● Adobe Reader;
● JavaSun (tutte le versioni installate);
● tutte le eventuali Toolbar che trovi installate;

poi, scarica ed installa le versioni aggiornate:

● Adobe Flash Player: clicca qui per il download
● Adobe Reader: clicca qui per il download
● JavaSun: clicca qui per il download

NOTA: in tutti e tre i casi potrebbe venire proposta la installazione di componenti aggiuntivi (es.: Google toolbar, Mcafee security scan plus): non installare, quindi togli la spunta alla relativa voce;