Olimpo Informatico

[Adamus]

AVENGER:
Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\spgnjjbg

*******************

Script file located at: \??\C:\Program Files\huvknqxv.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe deleted successfully.
File C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe deleted successfully.
File C:\Programmi\iTunes\iTunesHelper.exe deleted successfully.
File C:\Programmi\QuickTime\qttask.exe deleted successfully.
File C:\Programmi\Unlocker\UnlockerAssistant.exe deleted successfully.
File C:\WINDOWS\system32\NeroCheck.exe deleted successfully.
File move operation C:\Programmi\Alcatel\SpeedTouch USB\bak\Dragdiag.exe|C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe completed successfully.
File move operation C:\Programmi\File comuni\Ahead\Lib\bak\NMBgMonitor.exe|C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe completed successfully.
File move operation C:\Programmi\iTunes\bak\iTunesHelper.exe|C:\Programmi\iTunes\iTunesHelper.exe completed successfully.
File move operation C:\Programmi\QuickTime\bak\qttask.exe|C:\Programmi\QuickTime\qttask.exe completed successfully.
File move operation C:\Programmi\Unlocker\bak\UnlockerAssistant.exe|C:\Programmi\Unlocker\UnlockerAssistant.exe completed successfully.
File move operation C:\WINDOWS\system32\bak\NeroCheck.exe|C:\WINDOWS\system32\NeroCheck.exe completed successfully.

Completed script processing.

*******************

Finished! Terminate.

[Adamus]

AWF

Find AWF report by noahdfear ©2006


bak folders found
~~~~~~~~~~~

Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\A-SQUA~1\BAK

27/06/2007 00.08 1.332.224 a2adguard.exe
1 File 1.332.224 byte
2 Directory 14.928.510.976 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\ITUNES\BAK

0 File 0 byte
2 Directory 14.928.510.976 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\LEXMAR~1\BAK

0 File 0 byte
2 Directory 14.928.506.880 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\QUICKT~1\BAK

0 File 0 byte
2 Directory 14.928.506.880 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\SPYWAR~1\BAK

11/06/2007 14.34 2.903.040 SpywareTerminatorShield.exe
1 File 2.903.040 byte
2 Directory 14.928.519.168 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\UNLOCKER\BAK

0 File 0 byte
2 Directory 14.928.519.168 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\WINDOWS\SYSTEM32\BAK

0 File 0 byte
2 Directory 14.928.519.168 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\ALCATEL\SPEEDT~1\BAK

0 File 0 byte
2 Directory 14.928.519.168 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\ALWILS~1\AVAST4\BAK

30/04/2007 17.42 75.392 ashDisp.exe
1 File 75.392 byte
2 Directory 14.928.519.168 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\CYBERL~1\POWERDVD\LANGUAGE\BAK

0 File 0 byte
2 Directory 14.928.519.168 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: D8C1-B525

Directory di C:\PROGRA~1\FILECO~1\AHEAD\LIB\BAK

0 File 0 byte
2 Directory 14.928.506.880 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~

1332224 27 Jun 2007 "C:\Programmi\a-squared Anti-Dialer\bak\a2adguard.exe"
8329840 25 Jan 2007 "C:\Programmi\Spyware Terminator\SpywareTerminator.exe"
2903040 11 Jun 2007 "C:\Programmi\Spyware Terminator\bak\SpywareTerminatorShield.exe"
75392 30 Apr 2007 "C:\Programmi\Alwil Software\Avast4\ashDisp.exe"
75392 30 Apr 2007 "C:\Programmi\Alwil Software\Avast4\bak\ashDisp.exe"


end of report

[Adamus]

Instant access è quello che mi compare se non fixo ad ogni accensione arabit e/o dog...

da qualche giorno mi è comparsa una cosa strana
pannello di controllo > installazioni applicazioni mi compare diverso rispetto a prima, sembra che ci siano meno programmi e il pacchetto di office mi compare solo come immagine, mahh
questi sono i file di immagine:
http://www.freefilehosting.net/show/MjQzMzYx
http://www.freefilehosting.net/show/MjQzMzYz

mentre solamente guardando start > programmi si vede che ne ho di più:
http://www.freefilehosting.net/show/MjQzMzY1

mi pare un pochetto strano tutto ciò, l'unica cosa è che appunto qualche giorno fa ho installato zoneallarm e poi l'ho dovuto disinstallare perchè mi bloccava tutto compreso la connessione e mentre disinstallavo si è bloccao il pc ed ho dovuto riavviarlo e ripetere la procedura.
Detto questo a parte la stranezza il pc funziona bene ed i programmi, anche se non presenti sul pannello/installaz. appl. , funzionanno perfettamnte...
mahh

[holifay]

Ho dato un'occhiata purtroppo un po' veloce all'ultimo log di systemcsan. In aggiunta a quanto ti hanno detto, cancella anche queste chiavi:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\Tcctc
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\Tcctc
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\whataboutarabit.com
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\me

poi fai la ricerca nel registro per la chiave Tcctc la troverai come sottochiave di shockplayer32 o qualcosa del genere... cancellala

[bdoriano]

Ciao mitica holifay,

In base alle informazioni che hai dato, lo script seguente è corretto?
Avvia AVENGER
Clicca su input script manually
Clicca sulla lente d'ingrandimento
Inserisci queste righe:

[Adamus]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\Tcctc
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\Tcctc
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\whataboutarabit.com
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\me

curiosando sul registro ho notato c he i primi 2 ci sono ma gli ultimi 2 no, sarà perchè stamane li ho fixati ?

cmq attendo diligentemente il da farsi...

[bdoriano]

Se sai muoverti nel registro, puoi eliminare quelle voci direttamente senza usare lo script che ti ho indicato.

[Adamus]

eh bdoriano, tu riponi fiducia in me quasi quanta io in te
ma un conto è curiosare ed un conto "manovrare"....
proviamo a vedere se ho capito bene:
vado sul regedit e cerco
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\Tcctc
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\AdvancedOptions\Tcctc
dopodichè elimino la cartella col nome che c'è sulla sx o le voci singole che ci sono sulla dx ??
nel primo caso c'è anche una cartella col nome sospetto di Tzctc, cancello anche quella o è buona ?
poi come trovo questo?
"poi fai la ricerca nel registro per la chiave Tcctc la troverai come sottochiave di shockplayer32 o qualcosa del genere... cancellala"

ciao a presto

[bdoriano]

[Adamus]

ciao a tutti,
scusate per il ritardo ma sono state settimane di passione
torno e trovo che mia moglie a fatto un po di casino col pc
1. connessione di rete non funziona piu, come se dovessi reinstallarlo ancora, ho provato a installare una nuova connessione ma si blocca il processo
2. il firewall (di windows) e disattivato e non ne vuole sapere di attivarsi
3. disattivato i punti di ripristino precedenti

insomma un caos ma non ne vuole sapere di rimettersi a posto, infatti mi sto collegando dal notebook.

ho eseguito le cancellazioni dal registro come sopra ma niente da fare
c'è qualcosa che io possa fare prima di passare alla estrema soluzione ?
grazie delle attenzioni

[Orange]

ciao.
ah, le donne...
ricominciamo daccapo? posta tutti i logs (HiJack, Gmer, FindAWF ecc, ecc ecc )

[Adamus]

ecco HijackThis:

Logfile of HijackThis v1.99.1
Scan saved at 15.29.57, on 30/07/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\a-squared Anti-Dialer\a2service.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\mdm.exe
C:\Programmi\CyberLink\Shared files\RichVideo.exe
C:\Programmi\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\System32\PAStiSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\soundman.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Unlocker\UnlockerAssistant.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe
C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\WINDOWS\system32\wscntfy.exe
C:\DOCUME~1\Utente\IMPOST~1\Temp\nsn4.tmp\lsqmqkwgy.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\DOCUME~1\Utente\IMPOST~1\Temp\Rar$EX01.895\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_01\bin\ssv.dll
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programmi\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SpywareTerminator] "C:\PROGRA~1\SPYWAR~1\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [Diagnostica SpeedTouch USB] "C:\Programmi\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Advanced Uninstaller PRO Installation Monitor] "C:\Programmi\Innovative Solutions\Advanced Uninstaller PRO - Version 8\monitor.exe"
O8 - Extra context menu item: Add to AMV Convert Tool... - C:\Programmi\MP3 Player Utilities 3.76\AMVConverter\grab.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: MediaManager tool grab multimedia file - C:\Programmi\MP3 Player Utilities 3.76\MediaManager\grab.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programmi\File comuni\Microsoft Shared\Help\hxds.dll
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\FILECO~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O23 - Service: a-squared Anti-Dialer Service (a2AntiDialer) - Emsi Software GmbH - C:\Programmi\a-squared Anti-Dialer\a2service.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programmi\CyberLink\Shared files\RichVideo.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe
O23 - Service: STI Simulator - Unknown owner - C:\WINDOWS\System32\PAStiSvc.exe

[Adamus]

ecco gmer

http://www.freefilehosting.net/download/Njg4OA==
http://www.freefilehosting.net/download/Njg5MA==

[Adamus]

ecco gli altri
http://www.freefilehosting.net/download/Njg5NA==
http://www.freefilehosting.net/download/Njg5NQ==

[Adamus]

mi sono stranamente comparsi sul desk 2 eseguibili dos che si chiamano locate e l'altro process c'ntrano qualcosa con suspectfile e deldomins ?

[Adamus]

questo silenzio mi preoccupa......: è grave ?

c'è qualche modo per ripristinare il pannello "connessioni di rete"?

ciao e grazie dell'aiuto

[bdoriano]

Nulla di preoccupante, il forum ha avuto qualche problemino e ha appena ripreso a funzionare al 100% (speriamo continui così).
Dacci il tempo di rimetterci in pari...

[Adamus]

[Orange]

Bdoriano for cavaliere!!

[bdoriano]