Olimpo Informatico

[bocajr]

Ciao a tutti, sono nuovo del forum.

Ho un problema con un file fastidiosissimo, iexplorer.exe, che si ricrea automaticamente ogni volta che lo elimino manualmente.
Questo file si va ad allocare nella cartella documenti e in C:\windows\system32.
Ho notato inoltre un notevole rallentamento del pc durante la connessione.

Questo il mio log di hijackthis :

Logfile of HijackThis v1.99.1
Scan saved at 19.16.40, on 18/11/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Eset\nod32kui.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\File comuni\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Andrea\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: Google Toolbar Helper - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programmi\Google\googletoolbar1.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Programmi\TechSmith\SnagIt 7\SnagItIEAddin.dll
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB001" /M "Stylus DX3800"
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{CB868677-4956-4DCF-B73F-1A7A91F1B95A}: NameServer = 85.37.17.9 85.38.28.75
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe


C'è qualcosa che posso fare, chiedo a voi esperti.

[ste_95]

il log è pulito...

Segui alla lettera questo post per postare i logs di GMER, Attenzione, è importante farli entrambi!

[bocajr]

Ho fatto tutto quello che mi hai detto.

Ecco i logs di gmer :

1° passaggio :

link


2° passaggio :

gmer215.txt

[ste_95]

anche questi sono puliti

Collegati a Kaspersky on-line scanner e fai la scansione estesa, come indicato qui.
Salva il risultato della scansione in un file (in formato HTML), carica il file su Freefilehosting e posta qui il link che ti viene assegnato.

[Smjert]

Date un'occhiata anche qua, un altro utente ha avuto lo stesso problema.

[ste_95]

fai la scansione con virit

avvia VirIt, aggiornalo e fai lo scan completo del sistema, posta quindi il log...

[bocajr]

Ho provato con Kaspersky, ma non mi apre la pagina internet.

Ho fatto invece la scansione con virit con questo risultato :

VirIT eXplorer Lite Log

[SCANSIONE DELLA MEMORIA]
OK
[SCANSIONE DELLA MEMORIA]
OK
---------------------------OK
--------------------------------------------------------
19/11/2007 - 19:04:38

[SCANSIONE DEL REGISTRO]
OK

[C:]
MASTER BOOT RC:\Documents and Settings\NetwoC:\Documents and Settings\NetworkService\Impostazioni locali\Temp\4R04Jj1u.exe Infe Contattare il Supporto Tecnico Contattare il Supporto Tecnico TG Soft
C:\Documents and Settings\NetworkService\Impostazioni locali\Temp\CS1Ii7QQ.exe Infe * * * RIMOSSO * * *
C:\Programmi\Google\googletoolbar1.dll Infetto da BHO.Agent.FY
* * * RIMOSSO * * *

Chiavi Registro infette: 0.
Files Infetti: 3.
Files Sospetti: 0.
Files Analizzati: 33641.
Files Totali: 33641.
Chiavi Registro rimosse: 0.
Virus Rimossi: 2.


Cosa mi conviene fare visto che c'è un file infetto che non è stato rimosso?

[ste_95]

fai così:

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Metti il pallino su input script manually
Quindi scegli la lente e cliccaci
Ora incolla queste righe nella box bianca che si è aperta:

Files to delete:
C:\Documents and Settings\NetwoC:\Documents and Settings\NetworkService\Impostazioni locali\Temp\4R04Jj1u.exe


Adesso devi cliccare su Done in basso nella box
Seleziona il semaforino in alto a destra
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

[bocajr]

Fatto! Ecco il contenuto del blocco note :

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\lbqiyakf

*******************

Script file located at: \??\C:\WINDOWS\bplafqaa.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



Could not open file C:\Documents and Settings\NetwoC:\Documents and Settings\NetworkService\Impostazioni locali\Temp\4R04Jj1u.exe for deletion
Deletion of file C:\Documents and Settings\NetwoC:\Documents and Settings\NetworkService\Impostazioni locali\Temp\4R04Jj1u.exe failed!

Could not process line:
C:\Documents and Settings\NetwoC:\Documents and Settings\NetworkService\Impostazioni locali\Temp\4R04Jj1u.exe
Status: 0xc0000033


Completed script processing.

*******************

Finished! Terminate.


Deduco che non è stato posibile eliminare il file

[ste_95]

prova a rifare l'operazione ma in modalità provvisoria

[Orange]

o altrimenti fai come suggerito dalla stessa TG Soft

[bdoriano]

Anche in modalità provvisoria non funzionerebbe.

In Avenger, inserisci queste righe:

[bdoriano]

Paripost!

Ciao Orange!

[bocajr]

[bdoriano]

ATF-Cleaner è più "rapido" per eliminare i files temporanei di tutti gli account.

La pagina di Kaspersky Online Scanner è in linea.
Mi sa che è il virus che ti impedisce di visualizzarla.

Hai provato a usare le istruzioni che ti ho indicato io nel messaggio precedente?

[bocajr]

Ho ripulito i files temporanei con ATF-Cleaner.

Continuo a non visualizzare la pagina di Kaspersky online scanner.

Mentre sto navigando il file iexplorer.exe non si è ancora creato, speriamo bene.

Eppure sono sicuro che c'è ancora qualcosa che non va

[ste_95]

[bocajr]

[ste_95]

come ti trovi ora?

[bdoriano]

Se hai usato ATF-Cleaner, è normale che Avenger non trovi più il file in questione (era nei temporanei).

Giusto per un controllo in più, collegati a Kaspersky on-line scanner e fai la scansione estesa, come indicato qui.
Salva il risultato della scansione in un file (in formato HTML), carica il file su Freefilehosting e posta qui il link che ti viene assegnato.