Olimpo Informatico

[caio]

Appena giunto in questo Forum, un po'sfacciatamente, vi chiedo aiuto: non riesco a disinstallare AskTBar. Ho lanciato HijackThis di cui allego copia del log.
Ringrazio chi vorrà aiutarmi nel mio problema.

Un caro saluto a tutti



Logfile of HijackThis v1.99.1
Scan saved at 11.44.35, on 15/08/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
E:\WINDOWS\System32\smss.exe
E:\WINDOWS\system32\winlogon.exe
E:\WINDOWS\system32\services.exe
E:\WINDOWS\system32\lsass.exe
E:\WINDOWS\system32\Ati2evxx.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\System32\svchost.exe
E:\WINDOWS\system32\spoolsv.exe
E:\WINDOWS\system32\Ati2evxx.exe
E:\WINDOWS\Explorer.EXE
E:\WINDOWS\SOUNDMAN.EXE
E:\Programmi\ATI Technologies\ATI.ACE\cli.exe
E:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
E:\PROGRA~1\MAGICF~1\MulMouse.exe
E:\Programmi\Network Associates\VirusScan\SHSTAT.EXE
E:\Programmi\Network Associates\Common Framework\UpdaterUI.exe
E:\Programmi\File comuni\Network Associates\TalkBack\TBMon.exe
E:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
E:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
E:\Programmi\D-Link\AirPlus G\AirGCFG.exe
E:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
E:\Programmi\iTunes\iTunesHelper.exe
E:\Programmi\QuickTime\qttask.exe
E:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
E:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
E:\Programmi\TomTom HOME\TomTomHOME.exe
E:\Programmi\File comuni\Real\Update_OB\realsched.exe
E:\Programmi\ATI Technologies\ATI.ACE\CLI.exe
E:\PROGRA~1\FILECO~1\PCSuite\Services\SERVIC~1.EXE
E:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
E:\Programmi\a-squared Free\a2service.exe
E:\Programmi\Netropa\Multimedia Keyboard\TrayMon.exe
E:\Programmi\Netropa\Onscreen Display\OSD.exe
E:\WINDOWS\ATKKBService.exe
E:\Programmi\PrevxCSI\prevxcsi.exe
E:\Programmi\PrevxCSI\prevxcsi.exe
E:\Programmi\Network Associates\Common Framework\FrameworkService.exe
E:\Programmi\Network Associates\VirusScan\Mcshield.exe
E:\Programmi\Network Associates\VirusScan\VsTskMgr.exe
E:\WINDOWS\system32\svchost.exe
E:\WINDOWS\system32\ZoneLabs\vsmon.exe
E:\Programmi\iPod\bin\iPodService.exe
E:\WINDOWS\system32\wuauclt.exe
E:\Programmi\Mozilla Firefox\firefox.exe
E:\Programmi\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.it/0SEITIT/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: (no name) - {9CB65206-89C4-402c-BA80-02D8C59F9B1D} - E:\Programmi\AskTBar\SrchAstt\2.bin\A5SRCHAS.DLL (file missing)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - E:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - E:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Ask Search Assistant BHO - {9CB65201-89C4-402c-BA80-02D8C59F9B1D} - E:\Programmi\AskTBar\SrchAstt\2.bin\A5SRCHAS.DLL (file missing)
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - E:\Programmi\Windows Live Toolbar\msntb.dll
O2 - BHO: Ask Toolbar BHO - {FE063DB1-4EC0-403e-8DD8-394C54984B2C} - E:\Programmi\AskTBar\bar\2.bin\ASKTBAR.DLL (file missing)
O3 - Toolbar: Ask Toolbar - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - E:\Programmi\AskTBar\bar\2.bin\ASKTBAR.DLL (file missing)
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - E:\Programmi\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATICCC] "E:\Programmi\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] "E:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe"
O4 - HKLM\..\Run: [Versato] E:\PROGRA~1\MAGICF~1\MulMouse.exe
O4 - HKLM\..\Run: [ShStatEXE] "E:\Programmi\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "E:\Programmi\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "E:\Programmi\File comuni\Network Associates\TalkBack\TBMon.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "E:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] E:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [D-Link AirPlus G] "E:\Programmi\D-Link\AirPlus G\AirGCFG.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] E:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb07.exe
O4 - HKLM\..\Run: [iTunesHelper] "E:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "E:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DataLayer] E:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] E:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [TomTomHOME.exe] "E:\Programmi\TomTom HOME\TomTomHOME.exe" -s
O4 - HKLM\..\Run: [TkBellExe] "E:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - Global Startup: Adobe Gamma Loader.lnk = E:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = E:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Catalyst System Tray.lnk = E:\Programmi\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: Microsoft Office.lnk = E:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Windows Live Search - res://E:\Programmi\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Apri in nuova scheda in primo piano - res://E:\Programmi\Windows Live Toolbar\Components\it-it\msntabres.dll.mui/230?3189be40ab99422ea6326a926a502511
O8 - Extra context menu item: Apri in nuova scheda in secondo piano - res://E:\Programmi\Windows Live Toolbar\Components\it-it\msntabres.dll.mui/229?3189be40ab99422ea6326a926a502511
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://E:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - E:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O15 - Trusted Zone: http://a248.e.akamai.net
O15 - Trusted Zone: http://*.bitdefender.com
O15 - Trusted Zone: http://ssl-hints.netflame.cc
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - E:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - E:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: WgaLogon - E:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: Version3 - {8BB08365-E8FF-48D4-9B51-59CE3673A6EF} - direct3dx.dll (file missing)
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - E:\Programmi\a-squared Free\a2service.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Unknown owner - E:\Programmi\ANI\ANIWZCS2 Service\ANIWZCSdS.exe (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - E:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - E:\WINDOWS\ATKKBService.exe
O23 - Service: CSIScanner - Unknown owner - E:\Programmi\PrevxCSI\prevxcsi.exe" /service (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - E:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - E:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Servizio di framework di McAfee (McAfeeFramework) - Network Associates, Inc. - E:\Programmi\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - E:\Programmi\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - E:\Programmi\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - E:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - E:\WINDOWS\system32\ZoneLabs\vsmon.exe

[baciami]

ciao. vai in modalità provvisoria e fixa questi..

R3 - URLSearchHook: (no name) - {9CB65206-89C4-402c-BA80-02D8C59F9B1D} - E:\Programmi\AskTBar\SrchAstt\2.bin\A5SRCHAS.DLL (file missing)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Ask Search Assistant BHO - {9CB65201-89C4-402c-BA80-02D8C59F9B1D} - E:\Programmi\AskTBar\SrchAstt\2.bin\A5SRCHAS.DLL (file missing)

O2 - BHO: Ask Toolbar BHO - {FE063DB1-4EC0-403e-8DD8-394C54984B2C} - E:\Programmi\AskTBar\bar\2.bin\ASKTBAR.DLL (file missing)

O3 - Toolbar: Ask Toolbar - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - E:\Programmi\AskTBar\bar\2.bin\ASKTBAR.DLL (file missing)

se questo non sai cosè..eliminalo
O21 - SSODL: Version3 - {8BB08365-E8FF-48D4-9B51-59CE3673A6EF} - direct3dx.dll (file missing)

x la modalità provvisoria guarda qui http://forum.zeusnews.com/viewtopic.php?t=22084 x riconoscere quelli che devi fixare in mod provvisoria li copi e incolli nel blocco note e lo salvi sul desktop.
dopo che hai riavviato il pc ripristina il sistema e fai questo che dice bdoriano

[bdoriano]

Ciao caio,

Per eliminare la AskTBar, dovrebbe essere sufficiente utilizzare SpyBot Search & Destroy o SuperAntiSpyware.

Eventualmente, fai anche questi passaggi:

• Pulisci i files temporanei con ATF-Cleaner e/o CCleaner
  
• Segui le istruzioni di questo topic per usare MBAM.
  
• Segui le istruzioni di questo topic per eseguire combofix.
  
• Segui le istruzioni di questo topic per postare il log di HiJackThis.
  
• Riferisci con un nuovo messaggio in questa discussione dell'esito: se ci sono stati problemi particolari, ecc. ecc. E riporta:
  
  • Carica il log di MBAM su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di Combofix su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di HiJackThis su WikiSend e posta il Forum Link che ti viene assegnato.

PS: se vuoi, puoi presentarti qui

[caio]

Grazie a baciami e a bdoriano, per la cordialità e la rapidità delle vostre risposte. Avrete già capito che sono un niubbo spaventoso (!!!!!!) e proprio per questo ringrazio della chiarezza delle istruzioni. Vado al lavoro e procedo alla disinfezione. Manderò notizie dal fronte. Grazie A presto

[caio]

Cari amici, ho fatto quanto mi avete detto. Ho intercettato e distrutto (spero!!!) un numero incredibile di ....cose velenose. Il programma ComboFix mi ha dato qualche problema. Ho perso la connessione di rete. Sono andato a leggere il manuale (molto chiaro anche per inesperti totali) e ho riattivato la connessione. Tuttavia NON ho più ritrovato il log del programma. Pertanto invio alla vostro esame i log di MBAM, HiJackThis e da me aggiunto) Spybot. Se invece è necessario anche combofix rilancerò il programma e ve lo manderò.
ecco i Forum Link che mi sono stati assegnati.

MBAM
mbam-log-8-16-2008 (19-23-10).txt

HiJachThis
hijackthis.txt

Spybot
Spybot080815-2315.log

Grazie infinite per le preziose istruzioni e i consigli professionali e grazie in anticipo per .... l'esame finale !!!!


P.S. dimenticavo, la cartella di AskTbar (per cui è partita la richiesta d'aiuto) continua ad esistere con i suoi file dentro... Evidentemente è innocua e invece me ne preoccupavo, mentre tranquillamente ignoravo 43 bestiacce, tra virus malaware e altro, !!!

[bdoriano]

Spybot ha eliminato solo qualche cookie.
MBAM, invece, ha eliminato qualcosa di più "sostanzioso".
Sicuro che il log di Combofix sia andato perso?
Prova a cercare il combofix.txt in giro per i dischi. Sarebbe veramente utile poterlo vedere.

[caio]

Caro bdoriano, ho cercato dappertutto il log di combofix (anche utilizzando la funzione Trova di XP e un programma per cercare files) Niente da fare. Ho quindi lanciato nuovamente combofix e questa volta ho salvato il log !!! Spero che tu possa vedere lo stesso la riuscita o meno del lavoro di bonifica.
Ti ringrazio.

logComboFix.txt

[baciami]

questo mi sembra sospetto Lic.xxx
questo REGBK00.ZIP mi sembra un virus del messenger.
iifgfgf.dll. mi sembra un trojan..
zts2.exe idem
un sono sicuro xo' aspetta bdoriano

[caio]

ahi, ahi la situazione si sta complicando.... incrocio le dita. Grazie per la vostra assistenza; senza di voi sarei divorato dai virus!!!!!

[baciami]

guarda..intanto fai una scansione online con bit defender e poi kaspersky da qui.. http://forum.zeusnews.com/viewtopic.php?t=16009 ricorda che dopo l'update e prima di inizio scansione devi chiudere tutti i programmi connessione compresa e antivirus installato

[bdoriano]

Allora, vediamo...

REGBK00.ZIP sembra un backup del file di registro... aspettiamo a cancellarlo, che non si sa mai.

Gli altri file, sono molto sospetti... cominciamo a eliminarne qualcuno.

Apri il Blocco note e crea un file di testo con le seguenti istruzioni:

[caio]

Grazie bdoriano, nel tardo pomeriggio procedo. In serata invierò il log finale. Grazie ancora !!!! A più tardi

[caio]

Caro bdoriano, ho fatto quanto mi hai detto.
Penso con una punta di vergogna alla mole di lavoro che ti ho fornito !!!! In cambio avrai solo la mia gratitudine che tuttavia è mooooolto, molto grande!!!!
Grazie.

(Dottore, dottore mi dica .... si salverà???????)

allego1) file di combofix trovati finalmente (!!!!!!) nella cartella QooBox

ComboFix2.txt

2) secondo file della medesima cartella
ComboFix_18_08_08txt.txt

3) il log comparso sul desktop alla fine del processo di combofix che ho salvato
ComboFix_18_08_08txt.txt

4) log di Kaspersky che segnala 8 virus !!!
Kaspersky_18_08.txt

5) log Suspect file (SystemScan)
report_suspecfile.txt

[bdoriano]

Intanto che mi leggo il log di SystemScan...

Apri il Blocco note e crea un file di testo con le seguenti istruzioni:

[caio]

Ecco l'ultimo log di conbofix

ColboFix_log.txt

aggungo anche ComboFix-quarantined-files che non so se è il vecchio o il nuvo riscritto sul vecchio... bho

ComboFix-quarantined-files.txt

Grazie

[caio]

Chiedo scusa, anche se so che nei forum non bisogna sollecitare interventi - mi sembra più che giusto- tuttavia mi rivolgo a bdoriano per rammentargli che sono nel bel mezzo del guado. In altre parole ho eseguito la parziale pulizia con comboFix ma come eravamo d'accordo attendevo ulteriori istruzioni per procedere.... Un saluto

[bdoriano]

Scusa caio, mi ero proprio dimenticato di te.

Apri il Blocco note e crea un file di testo con le seguenti istruzioni:

[caio]

bdoriano, ti ringrazio di aver ripreso in pugno la situazione !!!
Per ragioni di lavoro non posso effettuare lo scanner del PC adesso (è quello di casa dei miei figli) che farò stasera. Ti confermo però la presenza di:

* ZoneAlarm pro (firewall)
* McAfee VirusScan enterprise 8.0
* Spybot Search & Destroy installato l'altro giorno su tuo consigli
* a-squared free
* Webroot Spy Sweeper ho comprato circa 15 mesi fa la licenza, ora scaduta, per cui il programma è inutilizzabile

Grazie bdoriano a stasera per ulteriori comunicazioni

[bdoriano]

Allora, quando puoi, disinstalla Webroot Spy Sweeper (visto che é inutilizzabile).

[caio]

bdoriano mi sono accorto che il programma Webroot Spy Sweeper non cè più, è già stato eliminato in passato. Ho lanciato jv16 PowerTools per cercare questa voce nei files del registro e ho trovato le chiavi che ti mando in allegato. Nel frattempo sto facendo la pulizia come previsto con gli antivirus online, di cui fornirò i riscontri. Grazie!!!

WebRoot Spy Sweepwe.txt