Olimpo Informatico

[trifoglio]

Scansione con kaspersky:

Total number of scanned objects 72417
Number of viruses found 6
Number of infected objects 19 / 0
Number of suspicious objects 0
Duration of the scan process 00:27:25

Infected Object Name Virus Name Last Action
C:\c.vbs Object is locked skipped

C:\Documents and Settings\All Users\Dati applicazioni\Microsoft\Dr Watson\user.dmp Object is locked skipped

C:\Documents and Settings\Massimiliano\Documenti\vari\applicazioni\Girls.exe Infected: not-virus:BadJoke.Win32.Zappa skipped

C:\Documents and Settings\Massimiliano\Documenti\vari\applicazioni\merda.zip/unko.exe Infected: not-virus:BadJoke.Win32.Unko.a skipped

C:\Documents and Settings\Massimiliano\Documenti\vari\applicazioni\merda.zip ZIP: infected - 1 skipped

C:\Documents and Settings\Massimiliano\Documenti\Video\Video303.zip/video.mpeg.exe Infected: Trojan.Win32.Dialer.hh skipped

C:\Documents and Settings\Massimiliano\Documenti\Video\Video303.zip ZIP: infected - 1 skipped

C:\Documents and Settings\Massimiliano\Documenti\Video\Video394.zip/video.mpeg.exe Infected: Trojan.Win32.Dialer.hh skipped

C:\Documents and Settings\Massimiliano\Documenti\Video\Video394.zip ZIP: infected - 1 skipped

C:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped

D:\programmi vari\webscene.exe/WISE0029.BIN Infected: not-a-virus:AdWare.Win32.Gator.1012 skipped

D:\programmi vari\webscene.exe WiseSFX: infected - 1 skipped

D:\vari\applicazioni\Girls.exe Infected: not-virus:BadJoke.Win32.Zappa skipped

D:\vari\applicazioni\merda.zip/unko.exe Infected: not-virus:BadJoke.Win32.Unko.a skipped

D:\vari\applicazioni\merda.zip ZIP: infected - 1 skipped

E:\avenger\backup.zip/avenger/103251116180.exe Infected: Packed.Win32.PolyCrypt.a skipped

E:\avenger\backup.zip ZIP: infected - 1 skipped

E:\Documents and Settings\All Users\Dati applicazioni\avg7\Log\emc.log Object is locked skipped

E:\Documents and Settings\All Users\Dati applicazioni\Grisoft\Avg7Data\avg7log.log Object is locked skipped

E:\Documents and Settings\All Users\Dati applicazioni\Grisoft\Avg7Data\avg7log.log.lck Object is locked skipped

E:\Documents and Settings\Internet\Cookies\index.dat Object is locked skipped

E:\Documents and Settings\Internet\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped

E:\Documents and Settings\Internet\Impostazioni locali\Cronologia\History.IE5\MSHist012006102720061028\index.dat Object is locked skipped

E:\Documents and Settings\Internet\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped

E:\Documents and Settings\Internet\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped

E:\Documents and Settings\Internet\Impostazioni locali\Temp\PXR2.tmp Object is locked skipped

E:\Documents and Settings\Internet\Impostazioni locali\Temp\winsyst32.exe Infected: Packed.Win32.PolyCrypt.a skipped

E:\Documents and Settings\Internet\Impostazioni locali\Temporary Internet Files\Content.IE5\2H4FOLED\Video417[1].zip/video.mpeg.exe Infected: Trojan.Win32.Dialer.on skipped

E:\Documents and Settings\Internet\Impostazioni locali\Temporary Internet Files\Content.IE5\2H4FOLED\Video417[1].zip ZIP: infected - 1 skipped

E:\Documents and Settings\Internet\Impostazioni locali\Temporary Internet Files\Content.IE5\4PMRS9QZ\Video478[1].zip/video.mpeg.exe Infected: Trojan.Win32.Dialer.on skipped

E:\Documents and Settings\Internet\Impostazioni locali\Temporary Internet Files\Content.IE5\4PMRS9QZ\Video478[1].zip ZIP: infected - 1 skipped

E:\Documents and Settings\Internet\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped

E:\Documents and Settings\Internet\NTUSER.DAT Object is locked skipped

E:\Documents and Settings\Internet\ntuser.dat.LOG Object is locked skipped

E:\Documents and Settings\LocalService\Cookies\index.dat Object is locked skipped

E:\Documents and Settings\LocalService\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped

E:\Documents and Settings\LocalService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped

E:\Documents and Settings\LocalService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped

E:\Documents and Settings\LocalService\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped

E:\Documents and Settings\LocalService\NTUSER.DAT Object is locked skipped

E:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked skipped

E:\Documents and Settings\NetworkService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat Object is locked skipped

E:\Documents and Settings\NetworkService\Impostazioni locali\Dati applicazioni\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped

E:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked skipped

E:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked skipped

E:\Programmi\Windows NT\GMl.exe Object is locked skipped

E:\Programmi\Windows NT\HFNpgO.exe Object is locked skipped

E:\Programmi\Windows NT\hlbCpu.exe Object is locked skipped

E:\Programmi\Windows NT\hQh.exe Object is locked skipped

E:\Programmi\Windows NT\jsYNsa.exe Object is locked skipped

E:\Programmi\Windows NT\KhS.exe Object is locked skipped

E:\Programmi\Windows NT\PWh.exe Object is locked skipped

E:\Programmi\Windows NT\uuU.exe Object is locked skipped

E:\Programmi\Windows NT\wGgaO.exe Object is locked skipped

E:\System Volume Information\MountPointManagerRemoteDatabase Object is locked skipped

E:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped

E:\WINDOWS\SchedLgU.Txt Object is locked skipped

E:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked skipped

E:\WINDOWS\system32\CatRoot2\edb.log Object is locked skipped

E:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked skipped

E:\WINDOWS\system32\CnxDslWz.log Object is locked skipped

E:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped

E:\WINDOWS\system32\config\default Object is locked skipped

E:\WINDOWS\system32\config\default.LOG Object is locked skipped

E:\WINDOWS\system32\config\SAM Object is locked skipped

E:\WINDOWS\system32\config\SAM.LOG Object is locked skipped

E:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped

E:\WINDOWS\system32\config\SECURITY Object is locked skipped

E:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped

E:\WINDOWS\system32\config\software Object is locked skipped

E:\WINDOWS\system32\config\software.LOG Object is locked skipped

E:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped

E:\WINDOWS\system32\config\system Object is locked skipped

E:\WINDOWS\system32\config\system.LOG Object is locked skipped

E:\WINDOWS\system32\config\systemprofile\Cookies\index.dat Object is locked skipped

E:\WINDOWS\system32\config\systemprofile\Impostazioni locali\Cronologia\History.IE5\index.dat Object is locked skipped

E:\WINDOWS\system32\config\systemprofile\Impostazioni locali\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped

E:\WINDOWS\system32\h323log.txt Object is locked skipped

E:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped

E:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked skipped

E:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked skipped

E:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked skipped

E:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked skipped

E:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked skipped

E:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked skipped

E:\WINDOWS\Temp\ASHeuristic\video.mpeg.exe Object is locked skipped

E:\WINDOWS\WindowsUpdate.log Object is locked skipped

E:\_cleaned.tmp Object is locked skipped

Scan process completed.

[trifoglio]

Logfile of HijackThis v1.99.1
Scan saved at 0.06.03, on 28/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
E:\WINDOWS\System32\smss.exe
E:\WINDOWS\system32\winlogon.exe
E:\WINDOWS\system32\services.exe
E:\WINDOWS\system32\lsass.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\System32\svchost.exe
E:\WINDOWS\system32\spoolsv.exe
E:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
E:\WINDOWS\Explorer.EXE
E:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
E:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
E:\WINDOWS\service32.exe
E:\WINDOWS\RTHDCPL.EXE
E:\WINDOWS\ALCMTR.EXE
E:\WINDOWS\system32\RunDLL32.exe
E:\WINDOWS\system32\nvsvc32.exe
E:\Programmi\Trust\Ami Mouse 300 Optical Dual Scroll\Amoumain.exe
E:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
E:\Programmi\digicomt\Michelangelo USB ADSL\CnxDslTb.exe
E:\WINDOWS\system32\ctfmon.exe
E:\Programmi\Messenger\msmsgs.exe
E:\Programmi\Internet Explorer\iexplore.exe
E:\DOCUME~1\Internet\IMPOST~1\Temp\Directory temporanea 1 per hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE E:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WheelMouse] Amoumain.exe
O4 - HKLM\..\Run: [AVG7_CC] E:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [CnxDslTaskBar] "E:\Programmi\digicomt\Michelangelo USB ADSL\CnxDslTb.exe"
O4 - HKLM\..\Run: [haxr1.exe] E:\WINDOWS\Temp\haxr1.exe
O4 - HKCU\..\Run: [CTFMON.EXE] E:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "E:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = E:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = E:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://E:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{ADE5EAA0-A4AC-42CE-B705-8F80F0330099}: NameServer = 195.110.128.1 212.48.4.11
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - E:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - E:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - E:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - E:\WINDOWS\system32\nvsvc32.exe

[trifoglio]

Fatto tutto quello che mi hai detto (cccleaner, modalità provv., ecc...)

[Smjert]

Uhm dalla scansione di Kaspesky sembra che tu abbia ancora il LinkOptimizer.

Esegui in ordine queste operazioni:

Fai girare questi due tool (il Prevx dovresti averlo di già) http://forum.zeusnews.com/viewtopic.php?t=18285

Prima fai girare il Prevx in Modalità Normale

Poi il Symantec in Modalità Provvisoria

Sempre in Modalità Provvisoria (se ci sono ancora) cancella questi file (ma quelle cartelle, vari\applicazioni, le hai create tu?):

[trifoglio]

Fatto tutto con qualche intoppo:
- Il Prevx non sono riuscito a farlo girare, mi da sempre errore
- E:\Documents and Settings\Internet\Impostazioni locali\Temp\PXR2.tmp non si cancella: mi da impossibile da cancellare, controllare che il disco sia pieno ecc ecc
- E:\Windows\service32.exe non c'è e non c'era neanche le altre volte
- vari/applicazioni sono cartelle create da me

Ho cancellato il log dato che hai postato il file - edited by Smjert

[Smjert]

Ehm ti avevo chiesto di salvarlo su un file il log.. e poi metterlo sul quel sito.. perchè come vedi è lunghissimo..
Cosa vuol dire che Prevx ti da errore? che errore ti dà?

[trifoglio]

L'ho rifatto ed è andata bene...anche l'altra volta dopo vari tentativi era andato...penso che siccome al riavvio parte il modem, l'antivirus e probabilmente la scansione fallisce. Cmq questa volta è andata a buon fine.

[Smjert]

Fai girare anche il tool Symantec... e se posti quel file attraverso il sito che ti ho detto mi fai un favore!

Ah se posti il link al file cancello il log dal tuo post è inutile e occupa solo spazio XD

[trifoglio]

http://www.mytempdir.com/1023110

[Smjert]

Scarica questo file .reg, una volta scaricato doppiocliccalo e rispondi di sì.

Ricordati di fare la scansione con l'altro tool (Symantec).

Carica su questo sito http://www.virustotal.com questo file E:\WINDOWS\system32\hvaa.dll (clicchi in alto Sfoglia, selezioni il file e poi premi Send e aspetti che i vari motori anti-virus lo scansionino).
Postami il risultato.

Ah quel .tmp che non riesci a cancellare fallo da Modalità Provvisoria.

[trifoglio]

Il Symantec l'ho fatto girare. Quel file .tmp neanche con modalità provvisoria si cancella. Mi dice "impossibile cancellare il file, controllare che il disco non sia pieno o protetto o che il file sia in uso".

STATUS: FINISHEDComplete scanning result of "hvaa.dll", received in VirusTotal at 10.29.2006, 22:32:17 (CET).

Antivirus Version Update Result
AntiVir 7.2.0.34 10.29.2006 TR/Drop.Agent.NL.7
Authentium 4.93.8 10.28.2006 no virus found
Avast 4.7.892.0 10.27.2006 Win32:Gromoz
AVG 386 10.27.2006 no virus found
BitDefender 7.2 10.29.2006 no virus found
CAT-QuickHeal 8.00 10.28.2006 no virus found
ClamAV devel-20060426 10.29.2006 no virus found
DrWeb 4.33 10.29.2006 no virus found
eTrust-InoculateIT 23.73.40 10.28.2006 no virus found
eTrust-Vet 30.3.3164 10.28.2006 no virus found
Ewido 4.0 10.29.2006 no virus found
Fortinet 2.82.0.0 10.29.2006 no virus found
F-Prot 3.16f 10.28.2006 no virus found
F-Prot4 4.2.1.29 10.29.2006 no virus found
Ikarus 0.2.65.0 10.29.2006 no virus found
Kaspersky 4.0.2.24 10.29.2006 no virus found
McAfee 4883 10.27.2006 no virus found
Microsoft 1.1609 10.26.2006 no virus found
NOD32v2 1.1842 10.27.2006 Win32/Gromoz.L
Norman 5.80.02 10.27.2006 no virus found
Panda 9.0.0.4 10.29.2006 Dialer.IGW
Sophos 4.10.0 10.26.2006 no virus found
TheHacker 6.0.1.107 10.27.2006 no virus found
UNA 1.83 10.27.2006 no virus found
VBA32 3.11.1 10.29.2006 Trojan.Win32.Gromoz.L
VirusBuster 4.3.15:9 10.29.2006 no virus found


Aditional Information
File size: 12288 bytes
MD5: cef2ee31d1f335246ab2005f72dd2d09
SHA1: 79a0aa77c91c7486f73bf117e9536e8e08bc7e6e

[Smjert]

Ah ma scommetto tra l'altro che il nome del file è in verde (segno che è del LinkOptimizer).
Per cancellarlo:

Scarica Avenger, decomprimilo sul desktop.

Adesso avvia il file avenger.exe
Seleziona l'opzione "Input Script Manually"
Clicca sulla lente di ingrandimento

Ti si apre una finestra "View/edit script"
All'interno del box bianco,copia e incolla le scritte qui sotto:

[trifoglio]

Ok fatto, il file non c'è più

[Smjert]

Bene! ora applica queste patch per evitare di riprendere di nuovo il LinkOptimizer (almeno con quel bug di Windows).

[trifoglio]

Ma le devo applicare tutte? Perchè ho visto che alcune riguardano XP con service pack 1 mentre io ho il service pack 2.Un'altra cosa: io ho istallato solo AVG antivirus: x una navigazione + tranquilla e protetta mi consiglieresti qualcosa?

[Smjert]

Hai ragione pure tu.. mi sono confuso! avevo visto SP1.. allora dovresti essere già a posto riguardo a quei bug (purtroppo però il L.O. lo puoi prendere anche in altri modi).

Per una navigazione più sicura dovresti installarti un firewall, guarda qua.

Oltre ad un antivirus ti servirebbe un antispyware ad esempio:

Spybot Search and Destroy
Lavasoft AdAware
AVG AntiSpyware (ex Ewido)

[FreeSpirit]

[Smjert]

Tutto proveniente da qua eh:
Il meglio del forum Sicurezza&Privacy
Dacci un'occhiata!

[trifoglio]

Grazie Smjert...ringrazio soprattutto te e un ringraziamento anche a tutti coloro che mi hanno aiutato. Il vantaggio di essere stato infettato è quello di aver conosciuto questo sito.
Grazie ancora