Olimpo Informatico

[jazig]

salve ragazzi..stamattina con gaudio et tripudio amon di nod mi ha trovato questo troyan..essendo inesperta x levarlo chiedo lumi pleaZe..ho il removal hijackthis e unlocker ..ditemi che d evo fare..il file infetto(stardo inside) si trova in C/System Volume Information..(x me arabo).. e ditemi anche dove picchio lo posso aver preso.. vi prego aiuto help

[jazig]

miscuso sonoi oltre modo sbadata è win32/Troyan Clicker.Small.KJ(nn k5)Trpjan.. provato anche in modalità provvisoria ma nn mi apre il centro controllo di nod x cui in amon nn riesco a entrare..(lo vede solo amon..nod no)...aiut..sono 6 ore..sono completamente fusa aiut..

[holifay]

Ciao e benvenuta

Scarica HijackThis ed estrai il file hijackthis.exe in una nuova cartella. Poi avvialo, premi do a system scan and save a log file

Copia ed incolla qui il risultato della finestra che si apre

[jazig]

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
D:\Programmi\Sygate\SPF\Smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\Programmi\Analog Devices\SoundMAX\SMTray.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Raxco\PerfectDisk\PDSched.exe
D:\S2kCtl.exe
C:\Programmi\Unlocker\UnlockerAssistant.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\rundll32.exe
C:\Programmi\C6 Messenger\c6Messenger.exe
C:\Programmi\GeCAD\RAV4ICQ\RAV4ICQ.exe
C:\Programmi\SpeedFan\speedfan.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\svchost.exe
D:\Firefox-1.5\firefox.exe
D:\WinRAR\WinRAR.exe
C:\DOCUME~1\Athlon\IMPOST~1\Temp\Rar$EX00.797\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Smapp] C:\Programmi\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [S2kCtl] D:\S2kCtl.exe
O4 - HKLM\..\Run: [SmcService] D:\PROGRA~1\Sygate\SPF\Smc.exe -startgui
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programmi\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Startup: C6 Messenger.lnk = C:\Programmi\C6 Messenger\c6Messenger.exe
O4 - Startup: RAV4ICQ StartUp.lnk = C:\Programmi\GeCAD\RAV4ICQ\RAV4ICQ.exe
O4 - Startup: SpeedFan.lnk = C:\Programmi\SpeedFan\speedfan.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE (file missing)
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE (file missing)
O16 - DPF: Yahoo! Dominoes - http://download2.games.yahoo.com/games/clients/y/dot9_x.cab
O16 - DPF: Yahoo! Literati -
http://download.games.yahoo.com/games/clients/y/tt4_x.cab
O16 - DPF: Yahoo! MahJong Solitaire - http://download.games.yahoo.com/games/clients/y/mjst4_x.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/su/ocx/15026/CTSUEng.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1120692710125
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1158624437984
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {C1B7E532-3ECB-4E9E-BB3A-2951FFE67C61} (DownloaderActiveX Control) - http://c6.community.alice.it/download/DownloaderActiveX.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/controls/msnchat45.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su/ocx/15026/CTPID.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7F31F35D-5A46-40C9-AFD6-24AEEEC57128}: NameServer = 212.216.112.222 212.216.172.162
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Programmi\Eset\nod32krn.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: PDEngine - Raxco Software, Inc. - C:\Programmi\Raxco\PerfectDisk\PDEngine.exe
O23 - Service: PDScheduler (PDSched) - Raxco Software, Inc. - C:\Programmi\Raxco\PerfectDisk\PDSched.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - D:\Programmi\Sygate\SPF\Smc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - D:\Programmi\TuneUp Utilities 2004\WinStylerThemeSvc.exe



ci siamo aiut aiut aiut

[chemicalbit]

[jazig]

ho xp pro..
dimmi metto ripristino sistema a quanti giorni fa...( max 3 ).. giusto.. considerando che l'altro ieri ho beccato syst32dll ma levato.. immesso hijackthis and unlocker.. ripeto quanti giorni fa devo mettere il ripristino ...in caso devo metterlo...

[chemicalbit]

Ma il tuo antivirus riesce a rimuoverlo o no?
Il problema è che si riforma?

comunque quel file C/System Volume Information.. è una zona speciale del disco, dove vengono conservate le vecchie informazioni (punti di ripristino) per fare il ripristino di configurazioen di sistema.

Mi chiedi

[jazig]

cioè io intendevo a 5 giorni fa considerando che l'ultimo system32 dlll lo cancellai giovedi sera..
ora,facendo un ripristino di sistema io devo riinstallare sia hijackthis che unlocker.. dammi i link pleaZe che sto flippando.. altra cosa devo disinstallare i due vecchi(hyjackthis and unlocker) x installare i due nuovi o il ripristino fa da se... poi..aiuto ok sto fusa è da stamane alle 10 di mattina che combatto ,alt.. poco fa andò amon lo trovò e sdgt quarentine e rename.. a sto punto sto rimandando x vedere che succede.. arf arf bau bau.. stpo seduta nn je la faccio +...

[jazig]

holy fatto come hai detto tu o voi(mi scuso) eheh .. allora ho disativato rispirstino di sistema e dopo (zsenza riavvio del pc) riattivato con spunta .. scan di amon sta andando vediamo state quiiiiiiiii(lo vede solo amon .. nod no)e amon nn riesce a a cancellarlo.. sobbissimo :°

[chemicalbit]

Inanzitutto ho editato il mio messaggio precedente, ma tu avevi già postato, quindi non penso tu l'abbia visto.
ti ho scritto

[jazig]

ora riavvierò pe r ora ti do nome del file..
win32/Trojan Clicker.Small.KJ.Trojan
cartella (assurda: feci regedsit e msnconfig nada de nada ) C:/System Volume Information/_restore{2B752613-1476-42EO(-?)9445-34D7.../AO219426.dll.

aiuto riavvio e vediamo ok.. state quiiiiii

[jazig]

riavviato nn è spuntato ripristino di sistema(spunto o no...) ...hijackthis and unlocker sono tutt'ora in vigore.. rifaccio scan di amon.. se qualcuno(una buon'anima mi dicesse qualcosa...)

[holifay]

Se disattivi il ripristino di sistema la cartella System Volume Information viene cancellata in automatico. Poi però, dopo il riavvio, ti conviene riattivarlo. Per vedere come fare, leggi qui: http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/idocid/20020823151930924

[chemicalbit]

[jazig]

fatto . spunto o no...dal 21 passata al 23 ...posso annullare cmq...hijackthis e unlocked sempr e con me.. faccio altra scansione a amon.. poi devo sapere che fare con sto ripristino spuntare da pannello o no e lasciare al 23 invece che al 21 .. ho da scegliere yuhu.. :°°°

[jazig]

alrt lo ha ripristinato al 22 cioè ieri..resta il problema di spuntatura da pannello a sistema etc spunto o no.. e lascio al 22 mi sembra ok amon sta andando dopo riavvio.. devo dsapere della spuntatura merci ragazzi siete + pazienti di me:)

[chemicalbit]

Ma quando eri passata al 21?
E perché ora sei andata al 23 e poi al 22?

Avevo consigliato di non ripristinare.

1)Vai sull'ultimo punto di ripristino (se possibile uno attuale, se non ce l'hai prendi comunque il più recente che hai),
2)disattiva il ripristino di config. di sist. (mettendoil segno di spunta a fianco di disasttiva (in pannello di controllo -> sistema -> ripristino) )
3)riavvia
4)fai il vari antivirus
5)fai un nuovo controllo con HijackThis (ma non dovresti avere nulla, vero holifay?)
6)riattiva il ripristino di configurazione di sistema (togli il segno di spunta a fianco di disattiva)
7) posta i log così ricontrolliamo

[jazig]

pk procedo...

[holifay]

sì, secondo me non ha nulla

[jazig]

scansiono amon di nod.. poi faccio hijackthis e poi posto il log qui.. sperem... sperem...ah è spuntato da pannello.. in accessori mi chiede se attivarlo sì o no...ditemi voi...tanto scansione prosegue di amon...coraggio jazzigyna e coraggio a voi di sopportarmi..