Olimpo Informatico

[Mysteria]

Mi rivolgo a voi per la seconda volta... memore del favoloso aiuto che mi avete prestato tempo fa per un problema sul mio pc ora torno con un nuovo problema, invece, che si verifica su quello di mio padre.
Premetto che è già la seconda volta che tento di scrivere questo post perchè explorer mi ha inspiegabilmente chiuso la finestra costringendomi a riloggare e riscrivere il thread da capo... i miei sospetti si fan mano a mano più fondati quando dico che questo pc ha bisogno di un esorcista più che un aiuto contro virus.
Ma arriviamo al dunque.
Per mesi il pc di mio padre ha dato segni di instabilità: chiusura senza motivo di programmi attivati, crash sistematico dai 5 ai 10 min con conseguente schermata blu e riavvio del sistema, strani pop up e indirizzamenti di link... ed ovviamente di virus ne abbiamo scovati e cancellati almeno una decina anche se il problema del crash di programmi e del sistema non si risolveva. Mio padre si è deciso a formattare la macchina, vista la scarsa pazienza ancora rimasta, ma ancora oggi a quanto pare il problema permane. A questo punto mi sono rivolta a voi quanto meno per debellare ogni possibile dubbio riguardo infezioni di virus ed eventualmente convincere mio padre all'acquisto di un nuovo pc.
Incollo qui il .doc di HiJackthis che da una prima verifica sembrerebbe a posto:

Logfile of HijackThis v1.99.1
Scan saved at 16.45.32, on 22/12/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0R2.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Programmi\Messenger\msmsgs.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\DOCUME~1\ADMINI~1\IMPOST~1\Temp\Directory temporanea 2 per hijackthis_199.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://free.grisoft.com/services
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [EPSON Stylus C86 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0R2.EXE /P23 "EPSON Stylus C86 Series" /O6 "USB001" /M "Stylus C86"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe

Vi prego di darmi una mano.. questo povero pc ha bisogno di una degna sepoltura
Grazie in anticipo.

[bdoriano]

Ciao Mysteria,

Come hai già detto tu, il log di hijackthis sembra pulito.

Fai queste scansioni con GMER e posta i logs su FreeFileHosting come indicato qui.

PS: Bentornata.

[Mysteria]

Grazie mille per la risposta tempestiva
Ecco qui:

http://www.freefilehosting.net/download/39cb4

e qui:

http://www.freefilehosting.net/download/39cd7

[bdoriano]

Ehm...

Il log autostart è completamente vuoto...

fai anche una passata con ComboFix, come indicato qui.

[Mysteria]

Scusa non avevo salvato il .txt eccolo:

http://www.freefilehosting.net/download/39ceg

e qui il log di combofix:

[bdoriano]

Anche questi logs non evidenziano cose strane.

Fai questa scansione con SystemScan e posta il log su FreeFileHosting come indicato qui.

[Mysteria]

Eccola qui:

http://www.freefilehosting.net/download/39cf6

[bdoriano]

Ehm...

Anche il log systemscan è completamente vuoto...

[MK66]

[OT] ...sarà il demone che non si vuole far beccare... [/OT]

[Mysteria]

Demoni, demoni....
Arieccolo... speriamo bene:

http://www.freefilehosting.net/download/39cf9

[Mysteria]

Avevo notato che il riavvio del sistema si presenta ogni volta lascio aperto IE e che spesso i crash che avvengono sono dovuti a programmi in flash. Mi era sorto il dubbio anche se i messaggi d'errore di windows che comparivano erano anonimi. Ora invece mi appare ripetutamente questo errore:

http://www.freefilehosting.net/show/39cfh

può servire a capirci qualcosa?

[cheyenne]

[bdoriano]

Il log di systemscan non mi pare evidenzi presenze strane.
Segui le indicazioni di cheyenne per verificare che non ci sia un problema dovuto a Internet Explorer o a una versione "vecchia" di FlashPlayer.

@cheyenne:
nessun problema.

[Mysteria]

Uff... riscrivo il post per la seconda volta.. il demone ha colpito ancora
A questo punto non dipende da "insediamenti nomadi di virus", come dice mio papà , quindi toccherà capire da cosa dipende. Ho provveduto già ad installare il flash aggiornato e aggiornerò anche la versione di IE alla 7... vedremo, per ora continua a fare capricci.
Ringrazio cheyenne per i consigli e bdoriano per la controllatina rapida e veloce e la disponibilità come sempre gentile
Un bacione a tutti e auguri di buone feste... fate i bravi

[bdoriano]

Non vedo le tracce di reindirizzamento come nel log di vittocre.

Avvertenza: se segui queste indicazioni, ti viene "resettata" la configurazione TCP/IP.
Proviamo a fare le stesse operazioni?

• Scarica FixWareOut da uno di questi siti:
  Sito 1
  Sito 2
  Sito 3
  
• Salvalo sul desktop
  
• Avvialo
  
• Clicca Next
  
• Clicca Install
  
• Assicurati che ci sia il segno di spunta su "Run fixit"
  
• Clicca Finish.
  
• Segui le indicazioni.
  
• Ti chiederà di riavviare il pc, fallo.
  
• Ci metterà parecchio a riavviarsi. Sii paziente.
  
• Alla fine dell'operazione, riavvia ancora il pc.
  
• Rifai il log di hijackthis e postalo insieme al file C:\fixwareout\report.txt