Olimpo Informatico

[Help_Me]

Salve a tutti! vi illustro brevemente il mio problema sperando che qualcuno mi aiuti perchè temo veramente di sfasciare a breve il pc.
Per navigare in internet uso il telefonino con una delle flat di tim... per tutta la serata ho avuto problemi di linea, all'inizio pensavo si trattasse di un disservizio della tim ma vista la frequenza eccessiva mi sono un po' insospettito e difatti ho notato che in "Connessione di rete" mi ritrovo una nuova connessione remota, mai vista prima chiamata "i-connect"... ho provato ad eliminarla ma non c'è verso, rispunta sempre e tutte le volte che cade la linea con Tim (cioè ormai quasi ogni 2 minuti) prova a connettersi lì.

Come posso liberarmene?!? Intanto vi posto alcuni log sperando che possano essere utili per diagnosticare qualcosa =(

Hijackthis

[URL="http://freefilehosting.net/download/447gb"]hijackthis_1232503191627_677.log[/URL]

GMER

[URL="http://freefilehosting.net/download/447gg"]GMER1_1232503480485_678.txt[/URL]

[URL="http://freefilehosting.net/download/447gl"]GMER2_1232503871829_679.txt[/URL]

SystemScan SuspectFile

[URL="http://freefilehosting.net/download/447h0"]21_01_2009_01_55_report.zip[/URL]

Grazie a chiunque mi darà una mano, ne ho tanto bisogno =(

[Sante62]

Ciao Help_Me e benvenuto...

Hai provato a fare la scansione con il tuo antiviru e/o antispyware?

Prima di postare fate sempre prima le scansioni con i vostri programmi di sicurezza.

C'è questo file sospetto, che nel log di sistemscan non compare:

[Help_Me]

Ciao Sante intanto grazie per la risposta, la scansione con il mio antivirus ne ha eliminati 4.

Ho fatto come mi hai detto, questo è il log di MBAM:
mbam-log-2009-01-21 (15-49-13).txt

hijackthis:
hijackthis2.log

Non ci sono stati problemi anche perchè sembra non aver rivelato nulla, tuttavia il problema persiste e anzi la situazione mi sembra pure peggiorata, la connessione remota riappare sempre ogni volta che viene cancellata (non c'è un modo almeno per bloccarla?). Grazie ancora, resto in attesa di una risposta.

[Help_Me]

Ho installato a-squarred Anti-Dialer e adesso riesco a gestire un po' la situazione "C:\Documents and Settings\Gallo\Exredr.exe" non è solo un file sospetto è proprio il dialer che mi ha dato problemi... ora riesco a bloccarlo ma come posso fare per eliminarlo del tutto?

[Sante62]

Apri task manager (CTRL+ALT+CANC) e controlla che non sia attivo il processo Exredr.exe o simile e terminalo.

Avvia il PC in modalità provvisoria;

Segui il percorso del file Exredr.exe ed eliminalo manualmente.

Riavvia alla modalità normale e vedi se ricompare.

[Help_Me]

Ciao Sante62, ho fatto esattamente come mi hai detto ma dopo un po' connesso è tornato ... che altro posso fare?

[Sante62]

Fai la scansione con Systemscan e posta il log generato come
indicato quì

[Help_Me]

Rieccomi! sono stato un po' impegnato... ecco il log...

29_01_2009_23_25_report.zip

La situazione è sempre la stessa purtroppo... grazie sempre per l'aiuto comunque.

[Sante62]

Avvia Hijackthis, seleziona queste righe e clicca su fix Checked:

[Help_Me]

Ma il panello dei servizi si trova in Panello di controllo / Strumenti di amministrazione / Servizi ? perchè io lì SCtri.exe non riesco a vederlo o forse compare con un altro nome...

[Sante62]

Esatto, però nei servizi non è lo stesso nome, ma se dai un'occhiata alla riga 023 citata sopra:

[Help_Me]

Niente da fare, non riesco. Le attività Avvia / Arresta / Sospendi / Riprendi / Riavvia sono tutte disabilitate... o forse sbaglio e intendevi altro?

[Sante62]

Una volta entrato nel pannello servizi e trovato quello che interessa, cliccaci sopra col tasto destro del mouse;

Dalla finestra che si apre, quella Generale, al centro trovi la voce Tipo di Avvio;

Dal menu a tendina scegli Disabilitato, poi clicca su applica e chiudi la finestra.

Fixa con HJT la riga 023 se presente insieme alle altre se non l'hai ancora fatto, riavvia il PC e rifai il log di HJT.

[Help_Me]

Ho fatto tutto come mi hai detto, la riga 023 non era più presente... ho fixato le altre 2 e questo è il log...

hijackthis_4.log

Mi sa che non ho ancora risolto però...

[Sante62]

Fixa con HJT nuovamente questa riga:

[Help_Me]

Ecco qui...

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\ekvxjrmb

*******************

Script file located at: \??\C:\WINDOWS\system32\jeroogjx.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\RECYCLER\S-1-5-21-2357382707-0105155716-957832910-6458\winlogon.exe deleted successfully.
Program C:\Documents and Settings\Gallo\Desktop\sys41157.exe successfully set up to run once on reboot.

Completed script processing.

*******************

Finished! Terminate.

[Help_Me]

Comunque non so quanto possa servire ma stamattina in preda alla disperazione ho scaricato PREVX CSI... ma mi sono accorto che ci vuole la licenza e oltre alla scansione non riesco a fare altro. Comunque è emerso questo risultato con 23 file pericolosi...



C'è da fidarsi? anche a-squared da ieri mi segnala continuamente la presenza di possibili dialer in impostazioni locali tipo 146.exe, 345.exe ecc che sembrano spuntare come funghi...

[Sante62]

Mi sembra che ti reinfetti di continuo.....

Attenzione ai programmi che scarichi, o ai siti che visiti altrimenti non ne usciamo più;

Segui le istruzioni di questo topic per eseguire combofix;

Carica poi il log come hai già fatto.

Disinstalla PREVX e scaricati Virit
Aggiornalo mediante l'icona della parabola posta nella barra in alto e fagli fare la scansione completa del PC.
Fai in modo che rimuova automaticamente i file infetti trovati.
Non dimenticare di disattivare momentaneamente il tuo antivirus.
Incolla poi quì il risultato.

[Help_Me]

Ma più che reinfettarmi io ho il sospeto che siano le varie rimozioni a non avere effetto

Questo è il log di Combofix:
LOG_COM.txt

E questo è il risultato di VirIT

[SCANSIONE DEL REGISTRO]
OK

[C:]
MASTER BOOT RECORD: OK
BOOT SECTOR: OK

C:\Programmi\Adobe\Premiere Pro\PfcNTReg.dll Infetto da Trojan.Win32.Vundo.FI
C:\Recycle\X-5-4-27-2345678318-4567890223-4234567884-2341\RisinG.exe Infetto da Worm.Win32.Autorun.U
C:\WINDOWS\system32\drivers\SCtri.exe Infetto da Backdoor.SdBot.SD

Chiavi Registro infette: 0.
Files Infetti: 3.
Files Sospetti: 0.
Files Analizzati: 113594.
Files Totali: 113594.
Chiavi Registro rimosse: 0.
Files Cancellati: 0.

Ma i file infetti non si dovrebbero cancellare automaticamente?... ho fatto 2 volte la scansione impostando prima "rimozione automatica virus" e poi "cancellazione automatica files" ma non cancella mai nulla

[Sante62]

Pare ci sia infezione mediante chiavette USB e altro, insomma di tutto di più, solo che prima stranamente non si vedevano nei log.

Disattiva momentaneamente il riconoscimento automatico delle chiavette USB:
serve il programma TweakUI scaricabile da questa pagina e installalo.
Una volta installato, eseguilo e procedi con questi passaggi: