Olimpo Informatico

[erny61]

Dopo aver beccato virtumonde et similia grazie alle letture sul forum sono riuscito a pulire abbastanza il sistema, anche se non credo del tutto.
so:win xp sp3 aggiornato
antivirus: fino a ieri avg8, ora avira free
antispy: spybot S&D

In seguito a comportamenti strani, come aprire pagine web che voleva lui e problemi allo spegnimento con processi da terminare, ecc. facendo scansioni con spybot ho trovato virtumonde, vundo, doubleclick e Adware.Tracking Cookie.

fatto scansioni e pulizia con superantispyware, ccleaner, hijack

Adesso mi sembra quasi a posto, la macchina va bene ma ci deve essere ancora qualche problemino.

C'è un file di nome _cellulari_ seguito da un infinità di caratteri.htm impossibile da cancellare anche con killbox
Si trova nella cartella \temp\temporary internet file\content ie.5\plsxf0gp\
Oddio, magari c'era già da prima, ma vorrei risolvere.

Allego il log di hijack, se qualcuno mi da un parere, non vorrei impestarmi di nuovo.
Grazie 1000 !!!

Logfile of Trend Micro HijackThis v2.0.2: http://wikisend.com/download/516560/LogHthis.txt

[Riverside]

[erny61]

Ciao, ho fatto. Allego i log.
nel frattempo avira mi ha trovato un virus nel pacchetto "smitfraudfix" che avevo scaricato un paio di giorni fa. L'ho cancellato.
...................................................................................................
Virus or unwanted program 'HIDDENEXT/Crypted [heuristic]'
detected in file 'C:\Documents and Settings\erny\Desktop\SmitfraudFix\Agent.OMZ.Fix.exe.
Action performed: Delete file
..................................................................................................

Superantispyware: http://wikisend.com/download/500118/SUPERAntiSpyware Scan Log - 01-15-2009 - 17-06-51.log
MalwareBytes: http://wikisend.com/download/557176/mbam-log-2009-01-15 (18-01-27).txt
HiJackThis: http://wikisend.com/download/512144/hijackthis.log

[Riverside]

Scarica ed installa Elibagla: clicca qui per il download
● scorri fino a fondo pagina e, clicca su Descargar Elibagla per scaricare il tool

● posiziona Elibagla all'interno di una apposita cartella creata sul Desktop
● lancia il tool
● se non è selezionata, seleziona la voce Eliminar Ficheros Automaticamente
● avvia la scansione
● al termine della scansione, verrà rilasciato un log dal nome InfoSat.txt reperibile in C:/
● allega il log

Scarica ed installa Combofix: clicca qui per il download

● crea una cartella apposita sul Desktop e, al suo interno, posiziona, l'exe di COMBOFIX che hai scaricato
● accedi al sistema in modalità provvisoria, utilizzando l'account Amministratore
● lancia ComboFix e segui le istruzioni che verranno rilasciate per eseguire la scansione
● se verrano rilevate traccie di Vundo, il tool procederà alla rimozione ed eventualmente il sistema verrà riavviato automaticamente
● se non sono state rilevate traccie di Vundo, a fine scansione apparirà automaticamente il log

Note: durante la scansione
● verranno creati alcuni file sul desktop e poi eliminati
● spariranno, per un attimo, tutte le icone presenti sul Desktop
● il firewall, se attivo, potrebbe rilasciare un avviso che verranno rimossi alcuni driver (consentire)

Verranno creati due log in C:\

● combofix.txt
● ComboFix-quarantined-files.txt

Riavvia il sistema in Modalità normale ed allega i due log

[erny61]

Ciao, fatto!
Con il beneficio di inventario mi sembrerebbe a posto.
Il log di hijack era a posto al 100% o c'era qualcosa di strano?

Il file che non si cancellava è sparito, ma non ho capito se è stato combofix o cosa

Comunque allego i log.
Il log di EliBagle è pulito.
http://wikisend.com/download/889404/InfoSat.txt
Solo mi diceva accesso negato alla seguente cartella:
..................................................................................
C:\Documents and Settings\All Users\Dati applicazioni\Microsoft\eHome\EPG\tracehelper
la quale contiene un file: DefaultDomain-SYSTEM.xml
..................................................................................
probabilmente è normale e non lo ho toccato perchè normalmente riesco ad accederci.

combofix ne ha fatto solo uno:
http://wikisend.com/download/488508/ComboFix.txt
mi diceva che non è installata la console di emergenza. E' da installare o non importa?

Ultima cosa:
Lascio installato Spybot S&D 1.5, lo aggiorno a 1.6 o lo disinstallo e lascio solo SuperAntiSpyware?, però non so se ha la protezione in tempo reale.

GRAZIE 1000 anzi 2000 !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

[Riverside]

Bene, Combofix ha spazzato via un pò di roba:

[erny61]

Allego nuovo log hithis
http://wikisend.com/download/535200/hijackthis_160109_1305.log
(ho installato firefox. da ora metterò in pensione ie)

Mi dici se ci sono righe sospette?, mi piacerebbe riuscire ad interpretarlo da me, almeno per le cose principali.
Ciao.

[Riverside]

[erny61]

[erny61]

ho "studiato" un pochino.
Dammi un parere su questa:
O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\Programmi\Yahoo!\Companion\Installs\cpn\YTSingleInstance.dll

grazie!

[Riverside]

Per ora direi di accantonare la questione log di Hthis.
Da Installazione Applicazioni disinstalla:
1) Adobe Reader
2) Adob Flash Player (comprese le eventuali versioni marcate Macromedia
3) Javasun (tutte le versioni che trovi patendo dalla meno recente)
4) dinsinstalla, anche, tutte le toolbar installate

Eseguite le disinstallazioni, effettua una pulizia dei problemi con CCleaner e riavia il sistema.

Dopo il riavvio, installa le versioni aggiornate di:

Adobe Reader: clicca qui per il download
Adobe Flash Player: clicca qui per il download
JAVASun: clicca qui per il download

Fai attenzione: in fase di installazione, tutti e tre i software richiederanno se vuoi installare, anche, la toolbar di Google;
non la installare (quindi togli la spunta alla relativa voce).

Dopo aver eseguito le installazioni, allega un nuovo log di Hthis.

[erny61]

Ciao, fatto!

Credevo però fosse a posto.
Che problema c'era?

Solo Java sun mi ha chiesto se volevo installare la toolbar di yahoo. gli altri due non mi hanno richiesto niente.
Però sui browser sono restate le toolbar di google, sono proprietarie dei browser o perchè ci sono ancora nonostante le avessi disinstallate?

Log di hthis: http://wikisend.com/download/539172/hijackthis_18012009.log

[Riverside]

Rilancia Hthis in inizia con il fixare queste voci (devi spuntare la casellina in corrispondenza di ogni singola voce che ti inidicherò e, una volta spuntate tutte, clicca sul tasto FixChecked):
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [SonyPowerCfg] "C:\Programmi\Sony\VAIO Power Management\SPMgr.exe"
O4 - HKLM\..\Run: [ISBMgr.exe] C:\Programmi\Sony\ISB Utility\ISBMgr.exe
O4 - HKLM\..\Run: [VAIO Update 3] "C:\Programmi\Sony\VAIO Update 3\VAIOUpdt.exe" /Stationary
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.com/en/

[erny61]

In effetti ho visto che erano le caselle di ricerca di google dei browser e non la toolbar, non sapevo della differenza, scusa.
http://wikisend.com/download/493936/AVSCAN-20090118-193027-AE79F464.LOG
Che parto

[Riverside]

[erny61]

1) disinstalla SmitfraudFix ed elimina le eventuali cartelle di riferimento;

non è mai stato installato, era un tool con un eseguibile e poco più che avevo lanciato dal desktop.
L'avevo cancellato quando avira mi aveva trovato dentro un virus (prima avevo avg8 e non mi segnalava un tubazzo)
Però ho visto che è rimasta una chiave nel registro.
hkey current user\software\microsoft\search assistant\ACMru\5603\000
REG_SZ smitfraudfix

Cancello e vado con il resto o lascio così e continuo?

[Riverside]

Elimina la chiave (e, anche le eventuali cartelle create SmitfraudFix, ed ovviamente l'eseguibile, se lo hai salvato da qualche parte) pulisci il cestino e prosegui con il resto.

[erny61]

come al solito solo l'installazione di java mi chiede di non installare la toolbar di yahoo.

Mi si è creata una cartella vuota: c:\programmi\nos

Mi è capitato due o tre volte di sentire il suono dell'arresto critico (arresto critico.wav) ma a video non si nota niente.
per il resto tutto funziona correttamente.

Allego log avira e hithis:
http://wikisend.com/download/243912/AVSCAN-20090119-132016-6CB303F3.LOG
http://wikisend.com/download/563138/hijackthis190109_1359.log

ciao.

[Riverside]

[erny61]

Ti devo 2 birre!
se passi da SAONE (TN) (cerca meteo saone con google) passa a riscuotere.
ciao !!!