Olimpo Informatico

[viky]

Salve a tutti.
Da qualche giorno noto alcune stranezze nel mio computer. Premetto che ho WinXP home edition versione 2002 service pack 2 con Alice ADSL, router Mediacom, antivirus AVAST e Internet Explorer 6.
Comevi dicevo le stranezze sono :

- accendendo il pc e connettendosi ad internet, la connessione ADSL cade dopo qualche minuto. Riprovando a connettersi ad un sito qualsiasi compare la classica finestra di connessione dial-up con richiesta nome utente e password e tasto "componi" per connettersi tramite modem(che ovviamente non uso avendo l'ADSL).
Dopo diversi minuti la connessione torna a funzionare.
Cosa ancora più strana nei momenti in cui la connessione non funziona, posso comunque scaricare gli aggiornamenti di AVAST senza problemi.

- nella cartella delle operazioni pianificate su c:\windows\tasks ho trovato molte operazioni, che non ho creato io, con nomi composti da caratteri scritti a caso. Ho notato che spesso le operazioni erano pianificate in momenti in cui sicuramente il pc era spento. L'utilità di pianificazione sul mio pc è spenta.
Ho cancellato tutte le voci nella cartella tasks.

- qualche giorno fa fra le connessioni di rete ne ho trovata una con un nome strano che sicuramente non avevo creato. L'ho cancellata.

- nei momenti in cui la connessione funziona, quando cerco di collegarmi ad alcuni siti (esempio www.suspectfile.com) si chiudono automaticamente tutte le finestre di internet explorer. Con Firefox è lo stesso.

Riporto i log di GMER:

log autorun di GMER
link

log rootkit di GMER
link

log di Hijackthis:
link


Non posso fare il systemscan da suspectfile.com perché mi si chiudono le finestre di explorer.

Spero di aver spiegato bene la situazione.
Potete aiutarmi?

[bdoriano]

Ciao viky,

Intanto che diamo un'occhiata ai logs che hai postato, segui le istruzioni di questo topic per postare anche il log di combofix.

PS: se vuoi, puoi presentarti qui

[viky]

scusa ma non riuscivo a connettermi!

ecco il log:
link

grazie

[bdoriano]

Vediamo se riusciamo a usare Avenger

Scarica avenger e scompattalo in una sua cartella non temporanea e non sul desktop

Avvia AVENGER
Clicca su input script manually
Clicca sulla lente d'ingrandimento
Inserisci queste righe:

[viky]

Purtroppo mi si chiude la finestra del browser per scaricare Avenger.. devo provare da un altro computer, o per caso esiste la possibilità di scaricare un file senza aprire la finestra del browser????

[bdoriano]

Immaginavo...

Avvia in mod. provvisoria, con CTRL+ALT+CANC apri Task manager
scegli: file -> nuova operazione --> digita regedit -->invio
trova queste chiavi:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iexplore.exe

clic con destro su explorer.exe e scegli Elimina
fai lo stesso con iexplore.exe .

nel caso che non si fanno eliminare: clic con destro su explorer.exe, seleziona l'opzione autorizzazioni, seleziona il tuo account e spunta la casella controllo completo nella colonna consenti. poi di nuovo clic con destro-->elimina.
fai lo stesso con iexplore.exe

[viky]

Ho fatto come mi hai detto, le chiavi sono state cancellate, comunque non riesco ad aprire la finestra x scaricare avenger...

Ho provato a rifare la procedura anche non in modalità provvisoria. Riesco ad eliminare la chiave (iexplore non c'è) cambiando le autorizzazioni ma appena provo a collegarmi ad un qualsiasi sito la chiave si ricrea...
la finestra del sito di avenger continua achiudersi ..

[bdoriano]

Avvia in mod. provvisoria, con CTRL+ALT+CANC apri Task manager
scegli: file -> nuova operazione --> digita regedit -->invio
trova queste chiavi:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe


clic con destro su explorer.exe e scegli Elimina

nel caso che non si fanno eliminare: clic con destro su explorer.exe, seleziona l'opzione autorizzazioni, seleziona il tuo account e spunta la casella controllo completo nella colonna consenti. poi di nuovo clic con destro-->elimina.

Trova la chiave:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
nel riquadro a sinistra, trova la voce srviiftn ed eliminala.


Per navigare, usi Internet Explorer?

[viky]

Ho scaricato avenger da un altro computer, ma quando provo ad avviarlo sul pc "incasinato" mi si chiude istantaneamente.
devo fare qualche passaggio particolare? o è possibile usarlo da linea di comando?

[bdoriano]

scarica questo file (lo script è fatto apposta per te) e scompattalo in una sua cartella.
Avvia il programma AvRunner.exe, premi Invio, poi digita Y e accetta il reboot. Al riavvio si dovrebbe aprire lo script di Avenger con l´esito delle operazioni fatte. Se ti sembra che non abbia fatto nulla, cioè dopo la riga Beginning to process script file: non c´è scritto cosa ha fatto, ma solo Completed script processing., prova ad riavviare AvRunner ancora una volta. Vediamo se riesce a combinare qualcosa.

[viky]

Finalmente ce l'ho fatta con avenger!
questo è il log:
link

e questo quello nuovo di hijackthis:
link

speriamo bene!
quindi secondo te quale sarebbe il male di questo computer???

[bdoriano]

Il log di hijackthis sembra pulito.

Ti chiedo una cortesia: una volta fatte le operazioni con Avenger, troverai uno o più files backup*.zip in C:\avenger. Se puoi, caricali su freefilehosting e mandami, via , il link che ti viene assegnato.

Collegati a Kaspersky on-line scanner e fai la scansione estesa, come indicato qui.
Salva il risultato della scansione in un file (in formato HTML), carica il file su Freefilehosting e posta qui il link che ti viene assegnato.

[viky]

questo è il log di kaspersky:
link

è grave??

[viky]

tanto x informazione ho eliminato anche i due file indicati da kaspersky x sicurezza, comunque la connessione non è più caduta e non è neppure comparsa la finestra di connessione internet..quasi non ci credo!

mille grazie a bdoriano x l'aiuto!!

[bdoriano]

Scusa se ti rispondo solo ora.

Potevi anche tralasciare i due files indicati da Kaspersky. Servono per il ToshibaConnect.

Sono contento che tu abbia risolto!