Olimpo Informatico

[bibo00]

Sono stato infettato da questo virus.
Particolari danni al momento non ne ho salvo che il pc non si spegne più e il ripristino di configurazione non si apre ( colpa del virus?)
Posto intanto il log di HJT

Logfile of HijackThis v1.99.1
Scan saved at 15.01.27, on 18/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\ATI Technologies\ATI.ACE\CLIStart.exe
C:\WINDOWS\system32\NeroCheck.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\WINDOWS\UpdReg.EXE
C:\Programmi\Creative\SBLive\PROGRAM\ADGJDet.exe
C:\Programmi\HP\hpcoretech\hpcmpmgr.exe
C:\WINDOWS\system32\GSICON.EXE
C:\WINDOWS\system32\dslagent.exe
C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe
C:\Programmi\Java\jre1.6.0_02\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Babylon\Babylon.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\fulvio\Desktop\SICUREZZA\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tgcom.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ATICCC] "C:\Programmi\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] C:\Programmi\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programmi\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Babylon Translator] C:\Programmi\Babylon\Babylon.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Scarica con Download &Express - C:\Programmi\Download Express\Add_Url.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O15 - Trusted Zone: *.whataboutarabit.com
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B8AF82D1-5D96-48BD-B305-40A890D84E02}: NameServer = 85.37.17.47 85.38.28.82
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe

.


aggiungo il log anche di FIND AWF


Find AWF report by noahdfear ©2006


bak folders found
~~~~~~~~~~~

Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\WINDOWS\BAK

11/05/2000 01.00 90.112 UpdReg.EXE
1 File 90.112 byte
2 Directory 27.983.183.872 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\PROGRA~1\ANTIVI~1\BAK

07/09/2007 14.51 249.896 avgnt.exe
1 File 249.896 byte
2 Directory 27.983.183.872 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\PROGRA~1\BABYLON\BAK

01/04/2004 11.43 2.400.323 Babylon.exe
1 File 2.400.323 byte
2 Directory 27.983.179.776 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\PROGRA~1\MESSEN~1\BAK

0 File 0 byte
2 Directory 27.983.179.776 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\PROGRA~1\SPYWAR~2\BAK

07/09/2007 14.33 2.778.112 SpywareTerminatorShield.exe
1 File 2.778.112 byte
2 Directory 27.983.179.776 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\WINDOWS\SYSTEM32\BAK

19/08/2004 15.39 15.360 ctfmon.exe
09/07/2001 11.50 155.648 NeroCheck.exe
2 File 171.008 byte
2 Directory 27.983.179.776 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\PROGRA~1\ATITEC~1\ATI.ACE\BAK

25/09/2006 09.12 90.112 CLIStart.exe
1 File 90.112 byte
2 Directory 27.983.179.776 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\PROGRA~1\CYBERL~1\POWERDVD\BAK

31/10/2003 19.42 32.768 PDVDServ.exe
1 File 32.768 byte
2 Directory 27.983.179.776 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\PROGRA~1\GRISOFT\AVG7\BAK

16/08/2007 20.56 416.256 avgcc.exe
1 File 416.256 byte
2 Directory 27.983.179.776 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\PROGRA~1\HP\HPCORE~1\BAK

22/12/2003 08.38 241.664 hpcmpmgr.exe
1 File 241.664 byte
2 Directory 27.983.179.776 byte disponibili
Il volume nell'unit? C non ha etichetta.
Numero di serie del volume: F828-00A6

Directory di C:\PROGRA~1\CREATIVE\SBLIVE\PROGRAM\BAK

29/11/2001 01.00 28.672 ADGJDet.exe
1 File 28.672 byte
2 Directory 27.983.179.776 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~

24592 12 Sep 2007 "C:\WINDOWS\UpdReg.EXE"
90112 11 May 2000 "C:\WINDOWS\bak\UpdReg.EXE"
249896 12 Sep 2007 "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe"
249896 7 Sep 2007 "C:\Programmi\AntiVir PersonalEdition Classic\bak\avgnt.exe"
2400323 1 Apr 2004 "C:\Programmi\Babylon\Babylon.exe"
2400323 1 Apr 2004 "C:\Programmi\Babylon\bak\Babylon.exe"
995328 1 Jan 2006 "C:\Programmi\SpywareBlaster\spywareblaster.exe"
10691432 22 Aug 2007 "C:\Programmi\Spyware Terminator\SpywareTerminator.exe"
2778112 7 Sep 2007 "C:\Programmi\Spyware Terminator\bak\SpywareTerminatorShield.exe"
15360 19 Aug 2004 "C:\WINDOWS\system32\ctfmon.exe"
15360 19 Aug 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
24592 12 Sep 2007 "C:\WINDOWS\system32\NeroCheck.exe"
155648 9 Jul 2001 "C:\WINDOWS\system32\bak\NeroCheck.exe"
24592 12 Sep 2007 "C:\Programmi\ATI Technologies\ATI.ACE\CLIStart.exe"
90112 25 Sep 2006 "C:\Programmi\ATI Technologies\ATI.ACE\bak\CLIStart.exe"
24592 12 Sep 2007 "C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe"
32768 31 Oct 2003 "C:\Programmi\CyberLink\PowerDVD\bak\PDVDServ.exe"
421888 15 Sep 2007 "C:\Programmi\Grisoft\AVG7\avgcc.exe"
416256 16 Aug 2007 "C:\Programmi\Grisoft\AVG7\bak\avgcc.exe"
24592 12 Sep 2007 "C:\Programmi\HP\hpcoretech\hpcmpmgr.exe"
241664 22 Dec 2003 "C:\Programmi\HP\hpcoretech\bak\hpcmpmgr.exe"
24592 12 Sep 2007 "C:\Programmi\Creative\SBLive\Program\ADGJDet.exe"
28672 29 Nov 2001 "C:\Programmi\Creative\SBLive\Program\bak\ADGJDet.exe"


Aspetto con fiducia qualche consiglio.ciao a tutti

[Orange]

ciao, benvenuto

Domanda: AVG e Antivir sono attivi entrambi in real-time?

scarica Avenger e scompattalo sul desktop
avvialo, seleziona Input script manually
clicca sulla lente d'ingrandimento
nella finestra che si apre View/Edit scrit copia/incolla queste righe:

[bibo00]

Questo è il log di avenger.
Si AVG e antivir sono entrambi in real- time.



Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\krxcputv

*******************

Script file located at: \??\C:\WINDOWS\xqqqvuct.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\UpdReg.EXE deleted successfully.
File C:\WINDOWS\system32\NeroCheck.exe deleted successfully.
File C:\Programmi\ATI Technologies\ATI.ACE\CLIStart.exe deleted successfully.
File C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe deleted successfully.
File C:\Programmi\HP\hpcoretech\hpcmpmgr.exe deleted successfully.
File C:\Programmi\Creative\SBLive\Program\ADGJDet.exe deleted successfully.
File move operation C:\WINDOWS\bak\UpdReg.EXE|C:\WINDOWS\UpdReg.EXE completed successfully.
File move operation C:\WINDOWS\system32\bak\NeroCheck.exe|C:\WINDOWS\system32\NeroCheck.exe completed successfully.
File move operation C:\Programmi\ATI Technologies\ATI.ACE\bak\CLIStart.exe|C:\Programmi\ATI Technologies\ATI.ACE\CLIStart.exe completed successfully.
File move operation C:\Programmi\CyberLink\PowerDVD\bak\PDVDServ.exe|C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe completed successfully.
File move operation C:\Programmi\HP\hpcoretech\bak\hpcmpmgr.exe|C:\Programmi\HP\hpcoretech\hpcmpmgr.exe completed successfully.
File move operation C:\Programmi\Creative\SBLive\Program\bak\ADGJDet.exe|C:\Programmi\Creative\SBLive\Program\ADGJDet.exe completed successfully.

Completed script processing.

*******************

Finished! Terminate.

[Orange]

uccidiamo due "rabbit" in un solo colpo:
segui per favore le indicazioni di questo topic e posta il link richiesto.

[bibo00]

scusa in quel thread ci sono diversi programmi HJT l'ho fatto
FIND AWF anche, avvio quindi GMER?

[Orange]

veramente avevo evidenziato un punto in particolare, quello ultimo-- SystemScan.

[bibo00]

Log SystemScan

spero che sia questo il link a cui ti riferisci purtroppo è una procedura che non ho mai fatto.

[Sante62]

Ciao bibo00
Disattiva il ripristino di sistema:
http://forum.zeusnews.com/viewtopic.php?t=22084

Utilizza nuovamente avenger con queste scritte:

[bibo00]

Ciao e mille grazie per l'aiuto che mi state dando.

Purtroppo ,come detto all'inizio del post, il ripristino di sistema non mi funziona o meglio quando tento di aprirlo esce la seguente finestra:

il ripristino configurazione del sistema non è in grado di proteggere il computer.riavviare il computer ed eseguire di nuovo il ripristino configurazione del sistema.

inutile dire che se riavvio, mi si ripresenta la stessa finestra.
Cosa faccio ??

[bibo00]

[bdoriano]

[bibo00]

1) purtroppo non ho potuto come detto disattivare il ripristino di configurazione
2) Ok Avenger l'ho utilizzato con i passaggi della prima volta cioè
input scripti manualy-lente d'ingrandimento-copia incolla-done-semaforo -yes.
3) HJT utilizzato.In modalità provvisoria Whataboutarabit non risultava
in modalità normale si, per cui ho provveduto a cliccare fix checked poi si.
4) ora faccio la scansione, ma non ho capito quale risultato devo postare su freefilehosting.net quello della scansione con l'antivirus online? o quello di avenger?

[bdoriano]

[bibo00]

Purtroppo mi si è cancellato il log di Avenger posso rifarlo adesso anche se ho già fatto la scansione con Kaspersky?

Questi sono i link della scansione di Kaspersky ( scusa se li ho messi tutti ma non capivo quale fosse il giusto).

http://www.freefilehosting.net/download/MjI3MzU=

<a href="http://www.freefilehosting.net/files/MjI3MzU=">kaspersky rapporto.html</a>

URL="http://www.freefilehosting.net/files/MjI3MzU="]kaspersky rapporto.html[/URL]

[Sante62]

Il log di Kaspersky non presenta altre infezioni.

[bibo00]

sono riuscito a recuperare il log di avenger l'ho postato su freefilehosting
questo è il link:


http://www.freefilehosting.net/download/MjI3NDg=

[Sante62]

Il log è quello che già hai postato prima, quando hai seguito il suggerimento di Orange.
Comunque se il PC non da più problemi, non ti preoccupare

[bibo00]

Spero veramente di non avere più problemi .
Però qualcosa di strano per me c'è ancora
1) se apro C/risorse di rete compaiono una serie di cartelle a me sconosciute e denominate :

CFabio su Pcposta
Driver(E) su PcPosta
Sharedocs su Walt (User - 9da34689)
supporto(D) su Fabio-lab
Supporto su Fabio-lab

inutile tentare di aprirle mi dice: impossibile aprire contattare l'amministratore di rete


Cacchio chi è sto Fabio?!

[Sante62]

Quì l'unica cosa che posso dirti è di guardare fra gli account.
Vai su Start->Esegui e nella casellina digita control userpasswords2 e vedi fra gli utenti se risulta un nome simile. Potrebbe appartenere a chi ti ha installato il sistema operativo.

[bibo00]

in esegui compaiono solo "mio nome" quello di "mia figlia" e "amministratore"