wilogon.exe......impossibileindividuare un componente

[Danivan]

ho fatto tutto ma compaiono le solite scritte
in alto application error
sotto the procedure * colud not be located in the DLL sfc.dll
premendo su ok compare un ulteriore riiqaudro con scritto sopra Warning
sotto warning
sotto ancora do not run combofix in compatibility mode doing so may damage the machine
il pc sembra un poco piu veloce

[FrancescoFDAC]

Scarica Kaspersky TDSS Killer: http://support.kaspersky.com/downloads/ ... killer.exe
● posiziona il file scaricato sul Desktop
● clicca due volte sul file TDSSKiller.exe per avviare l'applicazione
● successivamente premi il pulsante Start scan

Nota - riguardo al programma:
● non cliccare sul pulsante Stop scan per nessun motivo, la scansione si interromperebbe

Giunti a questo punto, inizia la scansione del sistema alla ricerca di software malevolo:
● se viene trovato un file infetto, l'azione di default sarà Cure: clicca quindi su Continua
● se viene trovato un file sospetto, l'azione di default sarà Skip: clicca quindi su Continua
● se non viene rilevato nulla, chiudi semplicemente il programma al termine della scansione

Una volta terminata la scansione, si presenterà una di queste due opzioni:
● non è necessario il riavvio del sistema: allega il Report situato nel Disco Locale C:\, di nome TDSSKiller.[Version]_[Date]_[Time]_log.txt
● è necessario riavviare il sistema: clicca su Riavvia ora, infine allega il risultato della scansione (si trova nello stesso percorso menzionato poco fa')


Prova poi ad eseguire nuovamente lo script con ComboFix.

[Danivan]

Fatto ma niente file sopetti/infetti ,stessi problemi .Dopo una breve verifica ho notato che il pc non è tornato veloce, non riesco piu a stampare e non mi lascia reinstallare la stampante...

[FrancescoFDAC]

Allega il log di ComboFix e quello di Hijackthis.

[nikita75]

@Francesco

sembra un rootkit , puo aver attaccato i driver di periferica o i moduli del kernel ---ha intaccato sfc.dll e aggredisce combofix - troppi privilegi

sotto ancora do not run combofix in compatibility mode doing so may damage the machine

the procedure * colud not be located in the DLL sfc.dll

cosa ne pensi ? sarebbe bene fare una scansione con GMER

[Danivan]

Combofix non rilascia nessun log
hijackthis eccolo qua

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 19.59.41, on 17/05/2012
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast5\avastUI.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\IoctlSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\SearchProtocolHost.exe
C:\Programmi\Trend Micro\HiJackThis\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local;*.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: IncrediMail MediaBar Italiano 2 Toolbar - {c91fec63-9f25-400d-95e5-6cd334dd3cc1} - C:\Programmi\IncrediMail_MediaBar_Italiano_2\prxtbInc2.dll
O2 - BHO: SuggestMeYesBHO - {0FB6A909-6086-458F-BD92-1F8EE10042A0} - C:\Programmi\AutocompletePro\AutocompletePro.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Documents and Settings\All Users\Dati applicazioni\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office14\GROOVEEX.DLL
O2 - BHO: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Programmi\Alwil Software\Avast5\aswWebRepIE.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: SkypeIEPluginBHO - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~1\MICROS~2\Office14\URLREDIR.DLL
O2 - BHO: IncrediMail MediaBar Italiano 2 - {c91fec63-9f25-400d-95e5-6cd334dd3cc1} - C:\Programmi\IncrediMail_MediaBar_Italiano_2\prxtbInc2.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: IncrediMail MediaBar Italiano 2 Toolbar - {c91fec63-9f25-400d-95e5-6cd334dd3cc1} - C:\Programmi\IncrediMail_MediaBar_Italiano_2\prxtbInc2.dll
O3 - Toolbar: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Programmi\Alwil Software\Avast5\aswWebRepIE.dll
O4 - HKLM\..\Run: [avast] "C:\Programmi\Alwil Software\Avast5\avastUI.exe" /nogui
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Cerca nel web - C:\Programmi\SweetIM\Toolbars\Internet Explorer\resources\menuext.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office14\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Programmi\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_950DF09FAB501E03.dll/cmsidewiki.html
O8 - Extra context menu item: I&nvia a OneNote - res://C:\PROGRA~1\MICROS~2\Office14\ONBttnIE.dll/105
O8 - Extra context menu item: Invia a periferica &Bluetooth... - C:\Programmi\D-Link\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Programmi\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Programmi\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: &Note collegate di OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Programmi\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: &Note collegate di OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Programmi\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra button: Skype Plug-In - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra 'Tools' menuitem: Skype Plug-In - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {0D41B8C5-2599-4893-8183-00195EC8D5F9} (asusTek_sysctrl Class) - http://support.asus.com/select/asusTek_sys_ctrl3.cab
O16 - DPF: {6F15128C-E66A-490C-B848-5000B5ABEEAC} (HP Download Manager) - https://h20436.www2.hp.com/ediags/dex/s ... DEXAXO.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2C5CE2E1-40D6-4E6F-AAAE-FB84F38DAF17}: NameServer = 80.79.48.66,79.137.95.200
O18 - Protocol: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Programmi\File comuni\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: avast! Antivirus - AVAST Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Servizio Bonjour (Bonjour Service) - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: Servizio di Google Update (gupdate) (gupdate) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: Servizio Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Unknown owner - C:\Programmi\Lavasoft\Ad-Aware\AAWService.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe
O23 - Service: ServiceLayer - Nokia - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 8611 bytes





Puo essere che il programma ccleaner abbia cancellato qualcosa......

[nikita75]

C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE

http://www.giorgiotave.it/forum/sicurez ... aiuto.html

scusate ma questo processo non e' un virus ? è in avvio al pc

ne parlano su questo forum

[FrancescoFDAC]

Il log si trova nel Disco C ed ha nome ComboFix.txt

[Danivan]

Midispiace ma nel disco c non trovo nessun ComboFix.txt, ho fatto anche la ricerca sul disco stesso...
ciao

[Danivan]

Come devo comportarmi,cosa devo fare .....aiuuuutoo

[FrancescoFDAC]

Scarica TFC by OldTimer: http://oldtimer.geekstogo.com/TFC.exe
● posiziona il tool sul Desktop
● termina tutti i programmi attivi, comprese le pagine Internet
● avvia il tool con un doppio click
● clicca, in basso a sinistra, sul pulsante Start
● scomparirà, per qualche istante, il Desktop: nulla di cui preoccuparsi
● attendi pazientemente il termine delle operazioni
● clicca, in basso a destra, sul pulsante Exit
● una volta terminate le operazioni, chiudi il programma

Nota - riguardo al programma:
TFC by OldTimer serve ad eliminare i file temporeanei di tutti gli utenti, con facilità e velocemente

Scarica OTC by OldTimer: http://oldtimer.geekstogo.com/OTC.exe
● posiziona il tool sul Desktop
● chiudi tutti i programmi attivi
● avvia il tool con un doppio click
● clicca sul pulsante CleanUp!
● il programma chiede di riavviare il sistema: consenti, cliccando su Yes per due volte

Nota - riguardo al programma:
OTC by OldTimer serve ad eliminare i programmi che abbiamo utilizzato per la pulizia (ComboFix in particolare) in modo automatico e preciso: al riavvio non noterai più l'icona di ComboFix, è del tutto normale


Scarica Panda Yorkyt.exe disinfection tool: http://www.pandasecurity.com/resources/tools/yorkyt.exe
● salva il programma scaricato sul Desktop
● esegui il programma Panda Yorkyt.exe disinfection tool: partirà immediatamente la scansione
● avvia Yorkyt.exe
● il software provvede ad installare un Driver, e a riavviare il sistema
● al termine della scansione, allega il Report dal nome yorkyt.exe.log, presente sul Desktop

[nikita75]

@Francesco

sembra un rootkit , puo aver attaccato i driver di periferica o i moduli del kernel ---ha intaccato sfc.dll e aggredisce combofix - troppi privilegi

sotto ancora do not run combofix in compatibility mode doing so may damage the machine

the procedure * colud not be located in the DLL sfc.dll

cosa ne pensi ? sarebbe bene fare una scansione con GMER

rootkit invisibile

---òò@@@Danivan che firewall usi ??

Panda ha creato il suo antirootkit - valutazione gratuita

http://www.pandasecurity.com/enterprise ... rack=36355

[Danivan]

Super problema...... Avviando il pc compare un videata con scritto:
Si è verificato un problema e windows è stato arrestato per impedire danni al computer.
Se è la prima volta che appare la schermata di errore relativa all'arresto, riavviare il computer. se la schermata riappare procedere come segue:
verificare che sia disponibile sufficiente spazio sul disco. Se il messaggio di arresto specifica un driver disattivare il driver o richiedere al produttore aggiornamenti del driver. Prova a cambiare la scheda video.
Contattare il fornitore del hardware per richiedere eventuali aggiornamenti del bios.
Disattivare il bios le opzioni relative alla memoria quali cache o shadowing. per utilizzare la modalità provvisoria all scopo di rimuovere o disattivare componenti. Riavviare il computer, premere f8 per selezionare le opzioni di avvio avanzate, quindi selezionare la modalità provvisoria.
Informazioni tecniche: ***stop:0x0000007e (0xc0000005, 0x00000000, 0xb850bbc0, 0xb850b8bc).

Ho provato due tre volte a riavviare il pc ma non parte, va solo in modalità provisoria... cosa devo fare??
Grazie Ivan

[nikita75]

@Francesco

sembra un rootkit , puo aver attaccato i driver di periferica o i moduli del kernel ---ha intaccato sfc.dll e aggredisce combofix - troppi privilegi

Avevo un presentimento , il rootkit puo' essersi insidiato nei driver di periferica ..i driver hanno firma digitale e sono settori che neanche gli antivirus scansionano ..se ha corrotto i moduli del kernel ...amen ..

attendi risposte dal forum

[nikita75]

non credo che la scheda video sia danneggiata ma è possibile che i suoi driver sono corrotti

- bisognerebbe disinstallarli da pannello di controllo ... scaricarli dal sito del produttore e reinstallarli ex novo

il numero di 'errore eè citato su questo link , ma non conosco questa procedura ma si parla di driver della scheda video e schermata blu ..

http://answers.microsoft.com/en-us/wind ... a74064c607

@Francesco / IVAN ---Panda yorkit installa un driver , il problema si è creato al riavvio del pc ???:?: che tipo di driver installa ??

carica il yorkyt.exe strumento di disinfezione (1,31 MB).


Salvare il file sul disco rigido, sul desktop di Windows, per esempio.
Fare doppio clic sul file yorkyt.exe.
Un riavvio verrà richiesto di installare un driver.
Un altro riavvio verrà richiesto di completare la disinfezione.
Quando la disinfezione è stata completata, accogliere il messaggio che verrà visualizzato.
Al fine di garantire una pulizia completa, eseguire una scansione del vostro PC con l'antivirus installato.

[Danivan]

AIUTOOOOOOOOOOO

[FrancescoFDAC]

Nikita, ancora una volta, evita di intervenire in discussioni molto delicate, come questa.

Danivan, hai fatto questo?

Scarica TFC by OldTimer: http://oldtimer.geekstogo.com/TFC.exe
● posiziona il tool sul Desktop
● termina tutti i programmi attivi, comprese le pagine Internet
● avvia il tool con un doppio click
● clicca, in basso a sinistra, sul pulsante Start
● scomparirà, per qualche istante, il Desktop: nulla di cui preoccuparsi
● attendi pazientemente il termine delle operazioni
● clicca, in basso a destra, sul pulsante Exit
● una volta terminate le operazioni, chiudi il programma

Nota - riguardo al programma:
TFC by OldTimer serve ad eliminare i file temporeanei di tutti gli utenti, con facilità e velocemente

Scarica OTC by OldTimer: http://oldtimer.geekstogo.com/OTC.exe
● posiziona il tool sul Desktop
● chiudi tutti i programmi attivi
● avvia il tool con un doppio click
● clicca sul pulsante CleanUp!
● il programma chiede di riavviare il sistema: consenti, cliccando su Yes per due volte

Nota - riguardo al programma:
OTC by OldTimer serve ad eliminare i programmi che abbiamo utilizzato per la pulizia (ComboFix in particolare) in modo automatico e preciso: al riavvio non noterai più l'icona di ComboFix, è del tutto normale

Infine, aggiorna malwarebytes, ed esegui una scansione completa, allega il report.

Il PC quali problemi esattamente ha?

[Danivan]

IL pc con un avvio normale mi si presenta una scermata senza nessuna icona o barra....
Per poter scaricare programmi e metterli sul desktop penso che posso farlo solo in modalita provvisoria ,il tutto e successo dopo aver avviato il programma Panda Yorkyt.exe disinfection tool,pero sul desktop trovo un log del programma stesso....

[FrancescoFDAC]

Prova a ripristinare il PC ad una data antecedente al problema che riscontri:
http://windows.microsoft.com/it-it/wind ... -questions

[Danivan]

Intanto vorrei ringraziarti per il tempo che dedichi al mio problema, speriamo di riuscire nell intento . Ho eseguito; con un fallimento perche mi dice: impossibile riprestinare il computer allo stato in cui si trova