Olimpo Informatico

[appassionatopcmg]

ragazzi o ho cantato troppo presto vttoria oppure il problema che ho non e' quello che tutti pensiamo, allora premetto che il mio pc va benissimo non va lento ne ci sono utilizzi impropri di cpu l'unico problema e' che fatica a collegarsi al computer remoto, visto che ho un 56k, e puntualmente mi si disconnette dopo pochi minuti di connessione creandosi cosi' tra le connessioni remote questa connessione strana "wqdrt",
il programma della symantec ha detto che e' tutto apposto la stessa cosa mi dice cureit avast non mi rileva nulla io credo che sia cmq un trojan ma come mai nessun programma me lo rileva? che posso fare ancora?

[bdoriano]

Magari hai un rootkit.
Hai già fatto girare gmer?
Posta il risultato della scansione dalla linguetta "rootkit".

[appassionatopcmg]

In questo istante vi sto scrivendo dal pc in questione appena clicco sul link da te fornito bdoriano mi si chiude internet e' sicuramente un trojan lo scarico da un altro pc

[Orange]

[vincycefa91]

[chemicalbit]

che valori hai in qella chiave? (guarda nella sottofinestra di destra)

[appassionatopcmg]

ho verificato le due chiavi di sistema
dentro image file execution option non c'e' nessun explorer.exe
mentre i valori di userinit sono i seguenti:
c:\windows\system32\userinit.exe,"c:\windows\system32\lexmarkword.exe",
che dite?

[Orange]

Che devi eliminare c:\windows\system32\lexmarkword.exe.

Procedi così:
scarica KillBox
nel Task manager termina (se c'è) il processo lexmarkword.exe
portati alla chiave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
doppio clic su Userinit
evidenzia la voce infetta (in rosso):
c:\windows\system32\userinit.exe,"c:\windows\system32\lexmarkword.exe",
ed eliminala (tasto Back space)
la chiave dopo la pulizia deve presentarsi così:
c:\windows\system32\userinit.exe, (con la virgola finale)

Avvia KillBox
in Full Path inserisci c:\windows\system32\lexmarkword.exe
seleziona Delete on reboot
clicca sulla X rotonda a destra
riavvia il PC

Da Start\Esegui digita: Control Userpasswords2
vedi se ci sono le utenze con nomi casuali (tipo AxDfYKui) ed eliminali.

ora HJT dovrebbe partire
posta il log

[appassionatopcmg]

OK GRAZIE MILLE VI TENGO AGGIORNATI

[appassionatopcmg]

Orange ho fatto tutto come da te spiegato ora hjackthis part ecco il log:

Logfile of HijackThis v1.99.1
Scan saved at 13.55.41, on 18/04/2007
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\SOINTGR.EXE
C:\Programmi\Real\RealPlayer\RealPlay.exe
C:\DOCUME~1\DIPALM~1\IMPOST~1\Temp\1616644.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\GetRight\getright.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Downloads\programmi vari\antivirus e antitrojan\killbox\fggfdg.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tele2.it/redirect/startpage/dial_up/ita/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer - TELE2Internet
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
O1 - Hosts: 160.128.161.153 bute2ieh.com
O1 - Hosts: 98.142.154.12 catolcwxcav.com
O1 - Hosts: 164.105.11.128 ukjp9mn2.com
O1 - Hosts: 26.61.135.9 vkipqugtsx.com
O1 - Hosts: 74.155.15.232 wvdimh98zhq.com
O1 - Hosts: 21.43.177.216 zobcslgff.com
O1 - Hosts: 217.65.130.117 fullows.com
O1 - Hosts: 7.19.148.180 thumbstring.net
O1 - Hosts: 46.227.219.28 wschooler.com
O1 - Hosts: 237.198.174.168 addwjf6zoy.com
O1 - Hosts: 42.9.237.234 itqoipyqsq.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Class - {79D5FD0B-EDC6-268C-D5B0-84099F83436C} - C:\WINDOWS\xlixg1.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: (no name) - {10d73171-25eb-4d80-ad30-1cb8824e76c2} - (no file)
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [RealTray] C:\Programmi\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [yatdd] "C:\DOCUME~1\DIPALM~1\IMPOST~1\Temp\1616644.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [VoipStunt] "C:\Programmi\VoipStunt.com\VoipStunt\VoipStunt.exe" -nosplash -minimized
O4 - HKCU\..\Run: [yatdd] "C:\DOCUME~1\DIPALM~1\IMPOST~1\Temp\1616644.exe"
O4 - Global Startup: GetRight - Tray Icon.lnk = C:\Programmi\GetRight\getright.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Download with GetRight - C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: Open with GetRight Browser - C:\Programmi\GetRight\GRbrowse.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O12 - Plugin for .mpeg: C:\Programmi\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O12 - Plugin for .UVR: C:\Programmi\Internet Explorer\Plugins\NPUPano.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.tele2.it/redirect/startpage/dial_up/ita/
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[bdoriano]

[Orange]

[appassionatopcmg]

ESATTO FGGFDG e' hjack this camuffato kill box credo anche non dia nessun problema, cmq dopo aver fatto tutte quelle procedure mi son collegato ad internet per postare il log di hjack e puntualmente mi si e' disconnesso solo che ora mi si e' creata sul desktop e nelle connessioni una icona chiamata istant access cos'e'? inoltre quando riavvio il pc appena mi appare la schermata di windows mi esce un errore aswcmnOS.dll il programma non e' stato trovat per risolvere il problema reinsattare il software cos'e'?

[chemicalbit]

[appassionatopcmg]

e' difficile eliminare questo malware? l'altro giorno ho pulito il pc con ccleaner c'e' nella pag.precedente la lista dei file eliminati

[Orange]

se non metti SP2 i problemi li avrai a ciclo continuo...

scarica il tool FindAWF indicato nella guida e posta il risultato.

[appassionatopcmg]

ragazzi quindi procedendo con ordine cosa faccio? la voglio debellare questa merda

[appassionatopcmg]

Rgazzi ecco il log di findawf
p.s. ho visto gia' file duplicati come procedo?


Find AWF report by noahdfear ©2006


bak folders found
~~~~~~~~~~~

Il volume nell'unit? C ? XP
Numero di serie del volume: 385E-12F0

Directory di C:\WINDOWS\BAK

08/05/2000 05.20 20.480 SOINTGR.EXE
1 File 20.480 byte
2 Directory 26.998.800.384 byte disponibili
Il volume nell'unit? C ? XP
Numero di serie del volume: 385E-12F0

Directory di C:\WINDOWS\SYSTEM32\BAK

31/08/2001 12.00 13.312 ctfmon.exe
09/07/2001 10.50 155.648 NeroCheck.exe
2 File 168.960 byte
2 Directory 26.998.800.384 byte disponibili
Il volume nell'unit? C ? XP
Numero di serie del volume: 385E-12F0

Directory di C:\PROGRA~1\MESSEN~1\BAK

0 File 0 byte
2 Directory 26.998.800.384 byte disponibili
Il volume nell'unit? C ? XP
Numero di serie del volume: 385E-12F0

Directory di C:\PROGRA~1\REAL\REALPL~1\BAK

07/08/2004 14.15 26.112 RealPlay.exe
1 File 26.112 byte
2 Directory 26.998.800.384 byte disponibili
Il volume nell'unit? C ? XP
Numero di serie del volume: 385E-12F0

Directory di C:\PROGRA~1\ALWILS~1\AVAST4\BAK

15/01/2007 18.28 108.160 ashDisp.exe
1 File 108.160 byte
2 Directory 26.998.800.384 byte disponibili
Il volume nell'unit? C ? XP
Numero di serie del volume: 385E-12F0

Directory di C:\DOCUME~1\DIPALM~1\IMPOST~1\TEMP\BAK

31/08/2001 12.00 6.144 1616644.exe
1 File 6.144 byte
2 Directory 26.998.800.384 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~

24076 18 Apr 2007 "C:\WINDOWS\SOINTGR.EXE"
20480 8 May 2000 "C:\WINDOWS\bak\SOINTGR.EXE"
13312 31 Aug 2001 "C:\WINDOWS\system32\ctfmon.exe"
13312 31 Aug 2001 "C:\WINDOWS\system32\bak\ctfmon.exe"
24076 18 Apr 2007 "C:\WINDOWS\system32\NeroCheck.exe"
155648 9 Jul 2001 "C:\WINDOWS\system32\bak\NeroCheck.exe"
24076 18 Apr 2007 "C:\Programmi\Real\RealPlayer\RealPlay.exe"
26112 7 Aug 2004 "C:\Programmi\Real\RealPlayer\bak\RealPlay.exe"
24076 18 Apr 2007 "C:\Programmi\Alwil Software\Avast4\ashDisp.exe"
108160 15 Jan 2007 "C:\Programmi\Alwil Software\Avast4\bak\ashDisp.exe"
24076 18 Apr 2007 "C:\Documents and Settings\Di Palma Giuseppe\Impostazioni locali\Temp\1616644.exe"
6144 31 Aug 2001 "C:\Documents and Settings\Di Palma Giuseppe\Impostazioni locali\Temp\bak\1616644.exe"


end of report

[appassionatopcmg]

ragazzi mi aiutate? cosa devo fare? spegatemi non vorrei far danni con avenger

[Orange]

ciao!
stai procedendo in maniera alquanto disordinata, mi pare...
quell'altro problema l'hai risolto?

per il log FindAWF fai così:
scarica The Avenger
Eseguilo, clicca sulla voce Input script manually
poi sull?icona della lente di ingrandimento: si aprirà una finestra,
copia quello che è scritto qui sotto