Olimpo Informatico

[patuf]

Buongiorno a tutti, sono nuova di questo forum.
Spero di essere capitata nel posto giusto per risolvere un problema che mi assilla da giorni!
Ogni volta che inserisco un indirizzo internet che non esiste (perchè magari sbaglio a digitare o perchè inserisco .it invece che .com), mi installa un programma che si chiama Connector, cerca di collegarmi ad internet con un altro numero (ma per fortuna l'antidialer mi fa cadere la connessione), mi installa dei file in system 32 in una cartella che si chiama ShellExt (se non ricordo male QWR.exe) e mi imposta come pagina iniziale di Internet VideoChatGirls!
Questo, almeno, è quanto sono riuscita a scovare.
Voi ne sapete qualcosa di questo virus?
Spero di essere stata abbastanza chiara, anche perché non me ne intendo...
Grazie e aspetto (disperata) una risposta

[Gateo]

Dovrebbe trattarsi di uno spyware, installa l'Ad-Aware, fagli fare l'aggiornamento e quindi una scansione completa, ed elimina tutto quello che trova.
Poi installa anche lo Spybot Search and Destroy e parimenti aggiornalo fagli fare la scansione ed elimina tutto.
Se tutto va bene dovrebbe sparire.

E benvenuta!

[patuf]

Ho già installati Antivir 7 e Zone Alarm, non è che poi vanno in conflitto?
Se non ci sono problemi faccio subito quanto mi hai suggerito!
Grazie per la risposta e per il benvenuto

[ioSOLOio]

[patuf]

é tutto il giorno che combatto con questo virus, sono distrutta!
dopo aver installato i programmi consigliati, qualcosa ho risolto perché non mi installa più Connector, ma comunque sbagliando a digitare indirizzo mi collega al sito go4us.com in tutte le sue varianti!
Che posso fare per impedirlo? ho tolto cookies e file temporanei, ma non cambia nulla.
Spero mi diate la soluzione e che sia anche facile per me da attuare!
grazie ancora per l'attenzione

[ioSOLOio]

sfrutto la nostra magica holifay che qua per un problema di virus ha scritto:

[Gateo]

Sempre usando lo Spybot Search and Destroy puoi fare cosi': dal menu in alto selezioni la modalita' avanzata, quindi sotto le utilità, alla voce "pagine del browser" c'e' l'elenco delle home page standard di windows tra le quali noterai l'odiosa go4us.com: a questo punto puoi sostituirla con quello che preferisci, io si solito le sostituisco tutte con www.google.it, ad esempio.

[patuf]

Ho fatto tutto! Sono stati tolti numerosi file "cattivi" ed è stata una gran soddisfazione! Però... quando sbaglio indirizzo continuano ad aprirsi automaticamente tutte le finestre di questo go4up.com
Poi non ho capito bene che devo fare del file di testo che è stato generato con HiJackThis Scusate la mia incapacità... Devo inserire tutto il contenuto qui o devo allegare in qualche modo il file?
Inoltre, devo riabilitare la funzione ripristino di configurazione? tra l'altro l'avevo trovata già disattivata, non so se è un bene o un male...
Se ci sono altri suggerimenti ve ne sarei grata!

[ioSOLOio]

[Gateo]

[patuf]

Sì, l'ho fatto, ma non è cambiato nulla. Anche perchè ieri sono riuscita ad impedire che si installasse Connector e con esso l'impostazione di go4up come pagina iniziale. Però rimane il fatto che se sbaglio indirizzo si aprono rapidamente una serie di finestre relative a questo sito, anche se ora ho notato che la prima che si apre si chiama autosearch ecc.ec.

[patuf]

Ecco il contenuto del file:


Logfile of HijackThis v1.99.1
Scan saved at 11.36.13, on 02/03/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\Programmi\ewido anti-malware\ewidoguard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\atwtusb.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\Java\jre1.5.0\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe
C:\Programmi\Messenger\msmsgs.exe
C:\WINDOWS\system32\TBLMOUSE.EXE
C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
C:\Programmi\ADSL\StarModem ADSL USB MODEM\dslmon.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\HiJackthis\HijackThis.exe
C:\Programmi\AntiVir PersonalEdition Classic\update.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.repubblica.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.it
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.google.it
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O1 - Hosts: 205.214.67.211 auto.search.msn.com
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [Collegamento alla pagina delle proprietà di High Definition Audio] HDAShCut.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [9xadiras] 9xadiras.exe
O4 - HKLM\..\Run: [2kadiras] 2kadiras.exe
O4 - HKLM\..\Run: [atwtusb] atwtusb.exe beta
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0\bin\jusched.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1133894256268
O17 - HKLM\System\CCS\Services\Tcpip\..\{B60EB0B9-82EE-4F4C-96BF-317C34D5E9CD}: NameServer = 193.70.152.15 193.70.152.25
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programmi\ewido anti-malware\ewidoguard.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

... e grazie!

[ioSOLOio]

l'espertona è holifay ma questo

[patuf]

No, neanche a me piace
Ma che ne faccio? Lo elimino? E dove lo vado a scovare?

[ioSOLOio]

quando fai la scansione, nella finestra del programma ti mostra tutti i valori...seleziona quello indicato e poi premi il pulsante Fix Checked
Nel caso ci fossero problemi, HiJackThis fa comunque una copia di backup di ciò che vai a eliminare che puoi eventualmente reinserire dalla videata di partenza.

OSS:
1. per questo è importante che il programma sia in una directory in C o in Programmi e non altrove.

2. per la rimozione dei valori magari utilizza HijackThis dalla modalità provvisoria.

[patuf]

Evviva, ce l'abbiamo fatta!

Ma non avevo dubbi, ero nell'Olimpo...
Grazie per il tempo che mi avete dedicato e per le cose che ho imparato.
E io che credevo di poter stare un po' tranquilla con Antivir e ZoneAlarm: non si immagina neanche tutta la schifezza che entra nei computer!

A presto, per cose più divertenti

[ioSOLOio]

[liver]

Ora che è finita, sapete spiegarmi perchè questo thread ha un numero di click piuttosto cospicuo?

Non sarà per caso per colpa del titolo?

[ioSOLOio]