Olimpo Informatico

[Silent Runner]

Salve:
Rieccomi con altro problema.. PC piuttosto rallentato, con finestre pubblicitarie che si aprono quando meno te lo aspetti, al riavvio di oggi AVG9 ha emesso un messaggio di allarme virus:
Il virus presente pare essere un certo skintrim che avrebbe infettato il file fvung.exe al seg. indirizzo:
impostazioni locali\dati applicazioni\fvung.exe

Messo in quarantena, dopo pochi secondi è apparso un altro allarme al seguente indirizzo: system volume information\restore{0BF7FFBA-4128-4A44-9F4-92DD-96F08A4D}1RP20\A0005210.EXE
Anche questo l'ho messo in quarantena.

La cosa strana è che facendo una ricerca sul sito di AVG il virus secondo i dati presenti, non esisterebbe. E allora come ha fatto a rilevarlo?
Comunque questo pc è estremamente rallentato e come ho detto, presenta la compara si finestre di internet AD indesiderate.

Credo che sarebbe utile fare un buon controllo approfondito di tutta la macchina, cosa che non mi fido a fare senza il vostro aiuto e consigli.

Attendo fiducioso.

[R16]

Ciao Silent Runner
1)Pulisci i files temporanei con CCleaner
http://forum.zeusnews.com/viewtopic.php?p=282670#282670

2)Scarica e installa la versione Free di SuperAntispyware:
link
la configuri come da immagini :
http://www.zeusnews.it/zz_upload/img/PSV/SAS/7477731.jpg
http://www.zeusnews.it/zz_upload/img/PSV/SAS/9926902.jpg
Esegui una scansione completa.

3)Segui le istruzioni di questo topic per usare MBAM:
http://forum.zeusnews.com/viewtopic.php?p=297823#297823
Esegui una scansione completa.
Elimina gli eventuali file infetti trovati

4)Segui le istruzioni di questo topic per usare Combofix:
http://forum.zeusnews.com/viewtopic.php?t=45224


Carica i log di SuperAntispyware, MBAM, Combofix, su WikiSend (o FreeFileHosting) e posta il Forum Link che ti viene assegnato.
link

N.B:
Ti pregherei, di eseguire queste indicazioni cronologicamente. (dal lunto 1 al punto 4 senza saltare nessun passaggio.

[Silent Runner]

Ciao R1
Non ci sono problemi, so quanto sia importante seguire passo-passo le istruzioni. Sono molto rigoroso a riguardo, se c'è qualcosa che non mi è chiaro domando. E' buona norma per facilitare il lavoro di chi ci aiuta e in più accelera la soluzione del problema.

Prima di cominciare (devo spostarmi sull'altro PC) ti informo che, prima di ricevere la tua risposta, avevo preventivamente disattivato il punto di ripristino di sistema e riavviato il PC perché mi era parso che il virus (se non erro è un trojan) sembrava essersi insediato anche lì ripresentandosi continuamente.

Se questa operazione (la disattivazione del ripristino del sistema, attualmente ancora disattivata) non è stata corretta fammelo sapere prima che ponga in atto azioni potenzialmente dannose.
Grazie.

[JeanGrey]

Ciao Silent, ciao R1.

Si, puoi procedere tranquillamente con le operazioni elencate, anche se non era necessario disattivare il ripristino di sistema.

Solitamente è un operazione che va lasciata per ultima, quando si è certi che il sistema sia stabile dopo le operazioni di pulizia.

[R16]

[Silent Runner]

Grazie!
Comunque, per il momento non è il caso di riattivare il punto di ripristino perché sono ancora sotto scansione di MBAM.. è tutto il giorno che gira.. ho trovato anche un insospettato trojan che AVG non aveva rivelato e ora vedo che ci sono un paio di infezioni ma il programma non mi dice ancora che cosa sono... Appena ho finito con le scansioni posto tutti i log. coem specificato.

Grazie per ora!

[JeanGrey]

@R1
Mi hai tolto le parole di bocca

[Silent Runner]

Mi è stato impossibile eseguire la scansione con Combofix perché era ed è impossibile disattivare come prescritto, AVG!!

Non c'è stato alcun modo per farlo, nemmeno con CTRL+CANC andando a chiudere i vari sottoprogrammi.

Inoltre, Bdoriano aveva segnalato che, se non ho letto male, Combofix funzionava solo a 32 bit mentre io ho un SO e una CPU a 64 bit.

Questi sono i soli due log delle scansioni che ho potuto fare.

mbam-log-2010-03-15.txt

report spuperspyware.txt

Sob...

[R16]

Ciao Silent Runner
Eh sì... Combofix non è compatibile con S.O a 64 bit. (sob...)
Lo sapevo prima, non saresti ammattito, nel cercare di scaricarlo.
Comunque, MBAM ti ha eliminato (hai cliccato "rimuovi selezionati "vero?) quel file che ti dava fastidio. (HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\fvung (Trojan.Agent.H) -> No action taken.
Visto che non puoi utilizzare Combofix, vediamo se hai altre infezioni, usando Systemscan:
Segui le istruzioni di questo topic per usare Systemscan:
http://forum.zeusnews.com/viewtopic.php?p=210548#210548

[Silent Runner]

Oh nessun problema irrisolvibile, adesso chiudo, domani riparto con le scansioni..

Sì ho cancellato tutto quello che i progr. mi hanno segnalato.

Grazie per ora.

[Silent Runner]

Resta il problema di chiudere AVG, non ho trovato il modo di farlo...

Ecit:
Fantastico!

Ho scaricato Systemscan e appena tento di aprirlo AVG (che non posso chiudere) mi dice che c'è un trojan
[impostazioni locali\temp\nsg21.temp\runme.exe]
[impostazioni locali\temp\nsg1F.temp\runme.exe]
ogni volta che cerco di aprirlo mi da un allarme di presenza troJan generic 15.CDNV Se cerco di mettere in quarantena mi dice che l'oggetto è inaccessibile.

Come ne esco?

nel frattempo ho fatto una scansione con hijackthis
hijackthis16-03-2010.log

[R16]

Ciao Silent Runner
AVG, rileva Systemscan come un virus.
Hai provato a disattivarlo così:
link

Avvia hijackthis, metti la spunta alle voci che andrò ad elencarti e con tutte le applicazioni chiuse e disconnesso da Internet,premi su fix checked
R3 - URLSearchHook: Softonic Italia Toolbar - {4edd5c14-2d22-4d7a-9748-c975a7fd933b} - C:\Programmi\Softonic_Italia\tbSof0.dll
R3 - URLSearchHook: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Programmi\pdfforge Toolbar\SearchSettings.dll
O2 - BHO: Softonic Italia Toolbar - {4edd5c14-2d22-4d7a-9748-c975a7fd933b} - C:\Programmi\Softonic_Italia\tbSof0.dll
O2 - BHO: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Programmi\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll
O2 - BHO: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Programmi\pdfforge Toolbar\SearchSettings.dll
O3 - Toolbar: Softonic Italia Toolbar - {4edd5c14-2d22-4d7a-9748-c975a7fd933b} - C:\Programmi\Softonic_Italia\tbSof0.dll
O3 - Toolbar: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Programmi\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll
O4 - HKLM\..\Run: [type32] "C:\Programmi\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [SearchSettings] C:\Programmi\pdfforge Toolbar\SearchSettings.exe
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
O16 - DPF: {B2BE75F3-9197-11CF-ABF4-08000996E931} (Controllo di WHIP!) - ftp://ftp.autodesk.com/pub/whip/english/whip.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O16 - DPF: {E62D1A95-8299-4B94-85D0-731DC125A60D} (IMMP4Control Control) - http://94.82.121.121/ocx/IMMP4Atlantis.ocx

Seguendo il percorso, trova la (o le) cartelle\file in rosso:

C:\Programmi\pdfforge Toolbar\SearchSettings.exe
C:\Programmi\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll

Fai una pulizia con CCleaner.

Riavvia il pc.

Fai questa scansione on-line:
link
Dimmi che novità riscontri.
Posta un nuovo log di HJT. (meglio sarebbe Systemscan.)

[Silent Runner]

Grazie R1.
Appena il PC è libero (non ci lavoro io) passo a fare i controlli che mi hai descritto.

una domanda:
Le seguenti stringhe
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programmi\Nikon\PictureProject\NkbMonitor.exe

O16 - DPF: {B2BE75F3-9197-11CF-ABF4-08000996E931} (Controllo di WHIP!) - ftp://ftp.autodesk.com/pub/whip/english/whip.cab

appartengono a due programmi in uso: Il primo serve per scaricare e trattare le immagini della fotocamera digitale. Il secondo (WHIP!) consente di visionare cartografie dal sito della Regione.
L'eliminazione o la dismissione di questi programmi è necessaria?

Ho individuato alcune tracce di toolbar che sono apparse da sole e quelle le posso eliminare più che volentieri.
Ma quelle che ho indicato?

Ok, comunque andiamo per gradi: appena ho fatto riporto i log.

[R16]

Ciao Silent Runner.
E' giusto quello che domandi.
Ed è altrettanto giusto, che io ti risponda chiaramente.
La voce :
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
Non è obligatorio fixarla.
Ma è perfettamente inutile, che venga caricata all'avvio del sistema.
Il programma, funzionerà perfettamente lo stesso, quando lo richiamerai.
E allora, perchè caricarlo all'avvio, se quando verrà usato, funzionerà come sempre.
Questa, è una delle tante "bufale" dello zio Bill.
In ogni caso, Silent, visto che non lamenti tempi di avvio lunghi, puoi benissimo lasciarla lì.

La voce:
O16 - DPF: {B2BE75F3-9197-11CF-ABF4-08000996E931} (Controllo di WHIP!) - ftp://ftp.autodesk.com/pub/whip/english/whip.cab
Quando tu ti colleghi al sito della Regione, per visionarlo, ti fà scaricare un ActiveX.
Non sapendo, quante volte ti colleghi a detto sito, per precauzione, io li faccio togliere.
Niente di male.
Quando ti collegherai, ti richiederà di scaricarlo di nuovo, e tu lo riscaricherai.
Se questo sito, lo visiti spesso, è inutile togliere quella voce.
Se lo visiti una volta all'anno, è meglio toglierla.
Se non sono stato chiaro, damanda pure.

[Silent Runner]

Tutto chiaro!
Ma cosa intendi per temi di avvio lunghi? Per caricare le icone sulla barra in basso ci mette un bel po' e c'è parecchia roba che non viene mai cliccata.

Il fatto è che in effetti mi è difficile identificare le voci "inutili" che magari caricano la macchina di inutile peso e la rallentano a dismisura..
Sarebbe bene conoscere cosa davvero serve all'avvio e cosa no.

Questa macchina è un assemblato ed è sempre risultata piuttosto lenta. Tieni presente che è una macchina abbastanza recente, con Pentium da 3 Giga ma alle volte gira come un vecchio 25 MegaHertz.
Viene usata solo per lavoro, non contiene giochi, non naviga per siti strani (anche se quelli istituzionali sono spesso più pericolosi dei siti porno!

C'è però una cosa che non mi torna troppo.. mi era parso che avesse 2 Giga di RAM ma all'ultimo controllo mi è apparsa la scritta 1 Giga. E questo è molto strano.
Devo verificare, la macchina potrebbe avere problemi hardware, oltre a quelli segnalati qui. In tal caso passo la domanda nel forum apposito ma non è comunque una cosa da sottovalutare in questo frangente, per capire i possibili "effetti" collaterali di rallentamento non imputabili a software..
Ti saprò dire quanto prima.

Grazie ancora per la cortesia.

[R16]

Ciao Silent.
Di voci inutili, caricate all'avvio, ne hai parecchie.
Ma, per non fare confusione, consiglierei prima di seguire le indicazioni che ti ho dato, poi, se il pc migliora, daremo una "sfoltita" al resto.

[Silent Runner]

[R16]

[Silent Runner]

Questo è il report report Systemtry.txt
ora attacco con l'altra scansione online.

[Silent Runner]

Niente, la scansione online non ha rivelato problemi