Olimpo Informatico

[Akira]

Ciao a tutti e Buon Natale,
Ho un portatile con Win XP ed ho beccato un virus che mi aveva disabilitato il taskmanager ed il regedit impedendomi di accedervi. Mi visualizzava l'errore "disabilitato dall'amministratore". Inoltre mi si apriva sempre una pagina web che puntava ad un url inesistente. Con HJT mi visualizzava una voce pericolosa riguardante il regedit cmq ho ripristinato a qualche giorno fa ed ora non ho + questi problemi però la pagina web strana tenta ancora di aprirsi e non vorrei che in modo silente continuasse a fare danni.
Vi posto il mio attuale log di HJT, non mi sembra ci siano cose sospette:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12.51.34, on 25/12/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Acer\eManager\anbmServ.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\Programmi\LogMeIn Hamachi\hamachi-2.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\OO Software\Defrag\oodag.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\acer\epm\epm-dm.exe
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Windows Media Player\WMPNSCFG.exe
C:\Programmi\Opera\opera.exe
C:\WINDOWS\system32\SNDVOL32.EXE
C:\WINDOWS\system32\taskmgr.exe
C:\Programmi\Windows Live\Messenger\msnmsgr.exe
C:\Programmi\Windows Live\Contacts\wlcomm.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://global.acer.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: BitCrowd GetTubeVideo - {25919155-16D0-4439-A4A6-BB69F20FBD60} - C:\Programmi\GetTubeVideo\GetTubeVideo.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: MegaIEMn - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - C:\Programmi\Megaupload\Mega Manager\MegaIEMn.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programmi\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Aggiungi a PDF esistente - res://C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Aggiungi destinazione link a PDF esistente - res://C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Converti destinazione link in Adobe PDF - res://C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Converti in Adobe PDF - res://C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Scarica link utilizzando Mega Manager... - C:\Programmi\Megaupload\Mega Manager\mm_file.htm
O9 - Extra button: Get Tube Video - {740F14B4-0C3B-4de7-A466-4C2EF6B87B73} - C:\Programmi\GetTubeVideo\GetTubeVideo.dll
O9 - Extra button: PokerStars.it - {C4046502-6524-4d87-896C-878F57D1FF07} - C:\Programmi\PokerStars.IT\PokerStarsUpdate.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O20 - AppInit_DLLs: acaptuser32.dll
O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: EvtEng - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: LogMeIn Hamachi 2.0 Tunneling Engine (Hamachi2Svc) - LogMeIn Inc. - C:\Programmi\LogMeIn Hamachi\hamachi-2.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\Programmi\OO Software\Defrag\oodag.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - C:\Programmi\WinPcap\rpcapd.exe
O23 - Service: ServiceLayer - Nokia - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 6826 bytes







attendo vostre dritte. In passato mi avete già risolto brillantemente dei problemi. Non so a chi chiedere se non a voi


P.S. l'url malevolo in questione è http://Êád\1AP

[R16]

Ciao, e buon Natale.
Verifichiamo meglio.
Segui queste indicazioni:
Pulisci i files temporanei con CCleaner
http://forum.zeusnews.com/viewtopic.php?p=282670#282670

Scarica e installa la versione Free di SuperAntispyware:
link
la configuri come da immagini :
http://www.zeusnews.it/zz_upload/img/PSV/SAS/7477731.jpg
http://www.zeusnews.it/zz_upload/img/PSV/SAS/9926902.jpg
Esegui una scansione completa.

Segui le istruzioni di questo topic per usare MBAM:
http://forum.zeusnews.com/viewtopic.php?p=297823#297823
Esegui una scansione completa.

Segui le istruzioni di questo topic per usare Combofix:
http://forum.zeusnews.com/viewtopic.php?t=45224


Carica i log di MBAM, SuperAntispyware, Combofix, su WikiSend (o FreeFileHosting) e posta il Forum Link che ti viene assegnato.

link

[Akira]

finito di fare la scansione con SuperAntispyware si è riavviato per applicare le correzioni ed ora si blocca alla schermata Avvio di Windows in corso...dici che l'unica cosa da fare e rispristinare con il cd di ripristino?

[R16]

Ciao.
Se non riesci ad arrivare al Desktop, sì.

[Akira]

Capisco, grazie lo stesso. Procedo al rispristino. Nonostante avessi avira e ogni tanto scansionassi con MBAM, ho beccato questa rogna. Dici che è valido Avira come antivirus o no? dovrei accompagnarlo con un antispyware conn real time protection?

[R16]

Avira è il migliore.
Accompagnato da Malwarebytes, e Superantispyware, + un Firewall, hai una buona protezione.
Mi dà fastidio, non aver capito il tipo di infezione che hai preso.
Il log di HJT non presentava grosse anomalie.
E mi sembra impossibile che Superantispyware ti abbia eliminato un file di sistema legittimo.
A meno che, tu non abbia preso il virus Virut.

[Akira]

mmm non saprei, se è un virus che si maschera bene, può essere perché se no non me lo spiego. Sto molto attento a non aprire nulla di sconosciuto o non affidabile e se avira segnala qualcosa nonn lo ignoro mai. Vabbè pazienza, ti ringrazio molto cmq. Puoi suggerirmi un buon firewall che non sia quello di windows (lo ammetto, ho sempre usato quello ) oppure segnalarmi una discussione di questo forum che ne parla anche per avere dritte su come configurarlo?

[R16]

Qui ci sono vari Firewall, scegli quello che ti sembra più adatto a te:
http://forum.zeusnews.com/viewtopic.php?t=16009

[Akira]

Grazie mille, vedo che il comodo è il migliore stanto ai test. Proverò quello, grazie ancora per l'attenzione


Contrordine: ho ripristinato ma il problema del task manager e del regedit c'è ancora. Mi vien da pensare che il virus fosse sulla penna USB che ora ho formattato e non contiene + nulla. Ora sto installando il SP3 sul portatile. Non so se risolverà qualcosa. In caso negativo farò le scansioni varie con i programmi sopra elencati

[R16]

Ok.
Aspetto i log.

[Akira]

Allora prima di usare il superantispyware posto i log che ho fatto:

HJT

http://myfreefilehosting.com/f/a38703f8f3_0.1MB

mi rileva il problema del registro

MBAM

http://myfreefilehosting.com/f/72c2701b02_0.1MB

mi ripara le voci errate ma al riavvio siamo punto e a capo

COMBOFIX

http://myfreefilehosting.com/f/d16b62a58c_0.01MB

ripara delle cose ma i problemi persistono

[R16]

Avvia hijackthis, metti la spunta alle voci che andrò ad elencarti e con tutte le applicazioni chiuse e disconnesso da Internet,premi su fix checked
O2 - BHO: Internet Explorer Plugin - {EA44E81B-C717-4FB6-B1F6-43820D2F17A9} - tmuuztagt92.dll (file missing)
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - C:\Programmi\WinPcap\rpcapd.exe
N.B:
Se la voce 023 non si elimina, prova in Modalità provvisoria.
Segui il percorso, ed elimina la cartella in rosso:
C:\Programmi\WinPcap\rpcapd.exe

Pulisci i files temporanei, e il registro, con CCleaner
http://forum.zeusnews.com/viewtopic.php?p=282670#282670

Riavvia il pc.

Quando hai finito, rifai la scansione con Combofix, e (per favore) posta il log, su:
link

I log che hai postato, sono quasi illegibili.

[Akira]

allora, la voce 02 di HJT non c'è +, si vede che gli altri programmi l'hanno rimossa mentre l'ultima, la 023, la cancello ma riappare sempre se riscansiono con HJT. La cartella winPcap già non esiste +. SI vede che combofix l'ha eliminata alla prima scansione

ecco il log prodotto ora da combofix http://rapidshare.com/files/325878404/logcombo.txt.html

wikisend mi dà errore 500

non so se può essere utile ma in modalità provvisoria riesco ad accedere al taskmanager e a regedit, inoltre combofix mi dice che avira è attivo e potrebbe dare problemi anche in modalità provvisoria sebbene abbia killato i processi di avira, cmq io gli dico di andare avanti lo stesso e lui procede

[R16]

Per il servizio che non si elimina fai così:
Scarica e installa Pserv sul desktop:
link
Lo lanci da "Tutti programmi" cliccando : "Services & Devices"
Nella schermata che apparirà, cerca e trova il servizio incriminato.
Clicca con il tasto destro sopra il servizio, e scegli : Delete.
Chiudi Pserv.
Riavvia il pc.
Posta un nuovo log di HJT.
Non riesco ad aprire il link di Combofix.

Vedi se funziona questa Utility:
utility.zip
Scompattalo.
Poi quando lo hai aperto. clicca su:
"Enable Task Manager and Regedit."
Vedi se funziona.

[Akira]

Dopo aver lanciato Combofix, di cui ti ho postato il log che non si apre, è tornato tutto alla normalità a parte quella voce nel log di HJT. Eseguo cmq queste operazioni che hai detto nel tuo ultimo post?

[R16]

La voce 023 a mio avviso và eliminata. (tu la conosci?)
Da quello che sò, quelllo è un programma spia. (lo usi tu ?)
No, se il Task Manager e Regedit funzionano regolarmente non utilizzare la Utility.
Mi manca il log di HJT.
Se risulta pulito faremo delle pulizie generali.

[Akira]

Ok domani proseguirò con il resto... scusami se ti sono sembrato saccente ma non sono ancora pratico nell'interpretare i log e non avevo capito fosse una cosa seria quella voce nel log di HJT. Grazie per le dritte


Ho provato a guardare con quel programma ma proprio non riesco a trovare niente di sospetto. Ti posto due screen per sicurezza

http://img40.imageshack.us/img40/4301/60421185.jpg
http://img109.imageshack.us/img109/8870/85496635.jpg

[R16]

Ciao.
Non devi scusarti di niente.
Riguardo, quella voce (023) i pareri della rete sono contrastanti.
Nell'incertezza, lasciamo le cose come stanno.
Se il pc funziona bene, è inutile cercarsi rogne.
Il fatto, è che Combofix, ti ha eliminato la cartella WinPcap, e il sito, la dà leggittima.
link

Esegui queste pulizie:
Disinstalla combofix in questo modo:
Start
Esegui
nella finestra di dialogo, copia ed incolla questo comando: Combofix /Uninstall
Attendi la fine dei lavori senza toccare tastiera, mouse o altro.
Disistalla anche Pserv con il suo Unistall.

Disattiva il ripristino configurazione di sistema, e tienilo disattivato, fino alla soluzione del problema.
http://forum.zeusnews.com/viewtopic.php?t=22084
Dai una pulita (registro compreso)con CCleaner
Poi:
Start\Esegui\copia e incolla la stringa %temp% clicca su Ok, svuota la cartella temp. (non eliminare la cartella)
Poi:
Provvedi a svuotare del suo contenuto la cartella Prefetch :
clicca su Risorse del Computer
clicca su Disco locale C:
cerca, all’interno delle cartelle che saranno visualizzate la cartella Windows, aprila ed, al suo interno, cerca la cartella Prefetch, la apri ed elimina tutte le voci conservate al suo interno ( non eliminare la cartella)
SVUOTA IL CESTINO
Poi:
Lancia Hijackthis e pulisci gli ADS in questo modo:
clicca sulla voce Open the misc tool section
clicca su Open ads spy
togli la spunta alla voce Quick scan (windows base folder only)
clicca su Scan.
Aspetta pazientemente la fine della scansione.
se venissero rilevati ADS, spunta tutte (senza paura) le caselline e clicca su Remove selected

Fai uno ScanDisk, e una deframmentazione del HD.
Riattiva il ripristino configurazione di sistema e, se tutto è a posto, creane uno nuovo.

[bdoriano]

Winpcap: The Windows Packet Capture Library
E' un software per l'analisi del traffico di rete.
Potrebbe essere stato installato da qualche programma che hai utilizzato precedentemente.

Personalmente preferisco WireShark.

[Akira]

R1 ho fatto tutto fino ad HJT ma non mi fa fare quella cosa dell'ADS spy perché dice che non funziona su partizioni fat32. Io ho sia C che D in fat32. Devo portarle in NTFS e fare poi la procedura?