Olimpo Informatico

[brumil]

questo è il log di kaspersky
http://www.freefilehosting.net/download/3h1ci


qua hijackthis

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 21.42.27, on 08/05/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Comodo\Firewall\cmdagent.exe
C:\WINDOWS\system32\crypserv.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programmi\File comuni\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\WFXSVC.EXE
C:\Programmi\Symantec\WinFax\WFXMOD32.EXE
C:\Programmi\Raxco\PerfectDisk\PDSched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\wfxsnt40.exe
C:\WINDOWS\system32\msg32.exe
C:\Programmi\HighCriteria\TotalRecorder\TotRecSched.exe
C:\Programmi\Roland\VSC32\vsc32cnf.exe
C:\Programmi\Roland\VSC32\vscvol.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Analog Devices\Core\smax4pnp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Bruno Milano\Desktop\Sicurezza\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [SoundMAX] "C:\Programmi\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [JMB36X IDE Setup] C:\WINDOWS\JM\JMInsIDE.exe
O4 - HKLM\..\Run: [JMB36X Configure] C:\WINDOWS\system32\JMRaidSetup.exe boot
O4 - HKLM\..\Run: [hffsrv] c:\windows\hffext\hffsrv.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [WinFaxAppPortStarter] wfxsnt40.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [EW Message Server] msg32.exe
O4 - HKLM\..\Run: [TotalRecorderScheduler] "C:\Programmi\HighCriteria\TotalRecorder\TotRecSched.exe"
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [vsc32cnf.exe] C:\Programmi\Roland\VSC32\vsc32cnf.exe
O4 - HKLM\..\Run: [vscvol.exe] C:\Programmi\Roland\VSC32\vscvol.exe
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Programmi\Comodo\Firewall\CPF.exe" /background
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programmi\DAEMON Tools\daemon.exe" -lang 1033 -noicon
O4 - HKLM\..\Run: [hffsrv ] c:\windows\hffext\hffsrv .exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programmi\Analog Devices\Core\smax4pnp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [EPSON Stylus DX7400 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATICDE.EXE /FU "C:\WINDOWS\TEMP\E_S1FD.tmp" /EF "HKCU"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} - http://www.eset.eu/buxus/docs/OnlineScanner.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://giul86.spaces.live.com/PhotoUpload/MsnPUpld.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Programmi\Comodo\Firewall\cmdagent.exe
O23 - Service: Crypkey License - CrypKey (Canada) Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PDEngine - Raxco Software, Inc. - C:\Programmi\Raxco\PerfectDisk\PDEngine.exe
O23 - Service: PDScheduler (PDSched) - Raxco Software, Inc. - C:\Programmi\Raxco\PerfectDisk\PDSched.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programmi\File comuni\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: WinFax PRO (wfxsvc) - Symantec Corporation - C:\WINDOWS\system32\WFXSVC.EXE

--
End of file - 6984 bytes

[chemicalbit]

[brumil]

si ho fatto la scansione on line.

Avendo ancora l'analogica (telecom sta mettendo i cavi asl proprio in questi giorni) scaricherò più tardi i 18 Mb di norman e ti faccio sapere.

grazie

[chemicalbit]

[brumil]

Norman log
http://www.freefilehosting.net/download/3h21i

Hjack
http://www.freefilehosting.net/download/3h21k


allora: come antivirus ho nod 32, antidialer digisoft, comodo come firewall.

Ho avuto problemi sia con la scansione di norman che combofix.
Norman mi si pianta sui file temporanei di emule. ho provato anche a cancellarne qualcuno ma per farlo procedere probabilmente dovrei cancellarli tutti (o aspettare
Combofix invece si ferma all' 8 stage.
Li ho usati altre volte e non mi era successo.

Usando spesso Kaspersky devo solo scaricare gli ultimi updatate. comunque per scaricare 18 mb impiego 1 ora e 20 circa

[chemicalbit]

[brumil]

finalmente combofix ha completato. questo è il log

http://www.freefilehosting.net/download/3h238

Di Norman forse ho postato il log della terza prova quando ero in modalità normale, ma anche in provvisoria la situazione non cambiava.

Un pò mi scoccia cancellare tutti i file temporanei faticosamente scaricati ma se è indispensabile (magari li copio sull'altro disco?)

[chemicalbit]

[bdoriano]

Crea un file di testo con le seguenti istruzioni:

[brumil]

Ciao bdoriano,

questa è una scansione precedente con norman
http://www.freefilehosting.net/download/3h28m


l'ultima scansione (ho comunque escluso i file temporanei di emule sul quale il software si fermava)

http://www.freefilehosting.net/download/3h291

qui combofix
http://www.freefilehosting.net/download/3h293

qui hjack se dovesse servire
http://www.freefilehosting.net/download/3h295

[brumil]

qui log Kaspersky

http://www.freefilehosting.net/download/3h30j

[bdoriano]

Il ripristino di sistema non l'hai disabilitato?

[brumil]

in effetti non avevo disabilitato il ripristino(strano ero convinto l'avessi fatto già tempo fa).
Non allego il logo di combofix perchè il procedimento si è fermato (temo perchè aimè non ho chiuso nod 32 che infatti a un certo punto ha rilevato un virus). Ho potuto però verificare che combofix ha cancellato i file dello script da te indicato.

Cosa faccio adesso?

[chemicalbit]

Posta comunque il log.

[brumil]

e dove lo prendo? ho dovuto resettare il pc prima che generasse il log.
Sono certo che ha cancellato i file perchè li ho visti nella schermata blu iniziale.

Ho provato a farlo partire di nuovo senza script ma mi si blocca.

Riprovo domani

Grazie e buonanotte

[chemicalbit]

Hai un file C:\ComboFix.txt ?

Nella cartella C:\QooBox che file e cartelle hai?

[brumil]

l'unico log presente nella cartella "combofix" è questo

ComboFix 08-05-08.1 - Bruno Milano 2008-05-11 23:55:31.13 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1040.18.1642 [GMT 2:00]
Eseguito da: C:\Documents and Settings\Bruno Milano\Desktop\ComboFix.exe
* Resident AV is active


WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

Nella cartella Qoobox c'è la cartella di quarantena ben fornita dei file cancellati con estensione .Vir, ed altro, ma nessuno log relativo all'ultima scansione.

Questo è kaspersky
http://www.freefilehosting.net/download/3h560


il virus che ha più volte individuato nod32 durante alcune scansioni di combofix è "eicar file di test"

[chemicalbit]

Il ripristino di configuraizone di sistema pare ancora abilitato (boh ....)

"eicar file di test" è un file di test che dovrebbe essere rivelato come virus da ogni antivirus.


Rifai una scansione con combofix (solo scansione, senza script, per il momento) e posta qui il nuovolog.

p.s. kaspersky online individua solo i virus ma non li rimuove.
usa il tool kaspersky removal (da scaricare e installare) oppure se preferisci una scasnioen online fai quella di bitdefender.

[brumil]

in effetti era di nuovo attivo il ripristino e non so perchè.

Combofix mi si blocca, niente scansione.

adesso scarico il tool do kasperky

Ps Bdoriano diceva "ho la vaga impressione che ci sia anche lo zampino di Bagle". C'è modo di spezzare le zampette di questo ospite sgradito?

[bdoriano]

Direi di si, segui queste istruzioni per usare EliBaglA.

Anche se, nei logs finora postati non sembra ce ne sia una traccia evidente.