Olimpo Informatico

[Inf3kti0n]

Come da titolo, ho un piccolo problemuccio con questo simpatico amico che ha deciso di farsi rivedere dopo che, grazie all'utilissimo aiuto di bdoriano che saluto, ci ho messo 3 giorni per eliminarlo...

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13.33.31, on 12/10/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programmi\Eset\nod32krn.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Analog Devices\Core\smax4pnp.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe
C:\Programmi\File comuni\Logitech\QCDriver3\LVCOMS.EXE
C:\Programmi\Logitech\ImageStudio\LogiTray.exe
C:\Programmi\Logitech\ImageStudio\LowLight.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\Spybot - Search & Destroy\SpybotSD.exe
C:\Documents and Settings\Unknown\Documenti\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programmi\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [nod32kui] C:\Programmi\Eset\nod32kui.exe /WAITSERVICE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [LVCOMS] C:\Programmi\File comuni\Logitech\QCDriver3\LVCOMS.EXE
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Programmi\Logitech\ImageStudio\ISStart.exe
O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Programmi\Logitech\ImageStudio\LogiTray.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-UNO1/GAME_UNO1.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1205102358438
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O20 - AppInit_DLLs: dpuxlp.dll dkxuda.dll nhninw.dll
O21 - SSODL: xgpsarbm - {64FDF9CA-21D4-4868-A938-FF409B538C42} - C:\WINDOWS\xgpsarbm.dll (file missing)
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Apache Software Foundation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Programmi\Eset\nod32krn.exe
O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe
O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA Corporation - C:\Programmi\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

--
End of file - 6277 bytes

[bdoriano]

Ciao Inf3kti0n,

• Pulisci i files temporanei con ATF-Cleaner e/o CCleaner
  
• Segui le istruzioni di questo topic per usare MBAM.
  
• Segui le istruzioni di questo topic per eseguire Vundofix.
  
• Segui le istruzioni di questo topic per eseguire combofix.
  
• Segui le istruzioni di questo topic per postare il log di HiJackThis.
  
• Riferisci con un nuovo messaggio in questa discussione dell'esito: se ci sono stati problemi particolari, ecc. ecc. E riporta:
  
  • Carica il log di MBAM su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di Vundofix su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di Combofix su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di HiJackThis su WikiSend e posta il Forum Link che ti viene assegnato.

[Inf3kti0n]

Questo è il primo log di MBAM.txt
Ho eliminato tutto quello che ha rilevato, anche alcune voci al riavvio.
Ho poi rieseguito la scansione per verificare se erano stati eliminate tutte le voci e non ha trovato nulla.

Con VundoFix non ha trovato nulla

Questo è il log di ComboFix.txt

Questo invece di HiJackThis.log

[bdoriano]

Bene, MBAM ha tolto il grosso delle infezioni.

Adesso,

• scarica, installa SuperAntiSpyware e fagli fare una scansione completa.
  
• Segui le istruzioni di questo messaggio per utilizzare Kaspersky offline scanner
  
  • Carica il log di SuperAntiSpyware su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di Kaspersky su WikiSend e posta il Forum Link che ti viene assegnato.

[Inf3kti0n]

[Inf3kti0n]

Mi sorge un dubbio capo, non era meglio fare tutto in safe mode con il ripristino disattivato?
Sorge anche un altro piccolo problema...
C'è un simpatico Win32/Agent.ODG che ogni tanto fà capolino sotto vari .dll in questa posizione: C:\SYSTEM VOLUME INFORMATION\_RESTORE*

[Riverside]

[Inf3kti0n]

Mi sorgeva il dubbio perchè qui me lo aveva fatto disabilitare e l'intruso era praticamente lo stesso

[Riverside]

[Inf3kti0n]

[Inf3kti0n]

Questo è l'unico log che posto siccome è l'unico dove c'è scritto qualcosa HiJackThis
Tutte le altre scansioni non hanno trovato nulla

[Riverside]

Scarica ed installa Elibagla:
http://www.zonavirus.com/datos/descargas/95/elibagla.asp
(scorri fino a fondo pagina e clicca su Descargar Elibagla per scaricare il tool)

● posiziona Elibagla all'interno di una apposita cartella creata sul Desktop
● lancia il tool
● se non è selezionata, seleziona la voce Eliminar Ficheros Automaticamente
● avvia la scansione
● al termine della scansione, verrà rilasciato un log dal nome InfoSat.txt reperibile in C:/
● allega il log

POI scarica:
● VundoFIX:
http://www.atribune.org/ccount/click.php?id=4
● FIXVundo:
http://www.symantec.com/content/it/it/global/removal_tool/threat_writeups/FixVundo.exe
● Combofix
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

● crea una cartella apposita sul Desktop e, al suo interno, posiziona, tutti e tre gli l'exe che hai scaricato.

Connesso in modalità normale:

1) Eegui, VUNDOFIX
● lancia VundoFix
● clicca su Scan for Vundo
● a fine scansione, se sono stare rilevate traccie di Vundo, clicca su Remove Vundo
● apparirà un avviso per la rimozione dei file, clicca su Yes
● durante la rimozione, il desktop potrebbe diventare bianco
● una volta terminata la rimozione, verrà richiesto il riavvio del sistema, acconsentire

E' possibile che il tool segnali che risulta impossibile rimuovere alcunifile; in questo caso verrà riavviato il sistema al fine di rimuovere i file al riavvio.
Dopo il riavvio ti apparirà, nuovamente Vundofix: ripeti l'operazione di rimozione, cliccando su Remove Vundo
Al termine, verrà rilasciato un log, che si troverai n C:\
spostalo sul Desktop (lo dovrai, poi allegare)

Note:
Se non sono stare rilevate traccie di Vundo, il tool non chiederà alcun riavvio del sistema

2) Esegui FIXVUNDO
● lancia FIXVundo
● clicca su Start per avviare la scansione
● se verranno rilevate tracce di vundo, il tool procederà automaticamente
● finita la scansione, verrà mostrato un messaggio che indica se, in fase di scansione, siano o meno, state rilevate o meno traccie di vundo
Allega il log che verrà rilasciato

3) Esegui COMBOFIX
Accedi al sistema in Modalità provvisoria:
● lancia ComboFix e segui le istruzioni che verranno rilasciate per eseguire la scansione
● se verrano rilevate traccie di Vundo, il tool procederà alla rimozione ed eventualmente il sistema verrà riavviato automaticamente
● se non sono state rilevate traccie di Vundo, a fine scansione apparirà automaticamente il log

Note: durante la scansione
● verranno creati alcuni file sul desktop e poi eliminati
● spariranno, per un attimo, tutte le icone presenti sul Desktop
● il firewall, se attivo, potrebbe rilasciare un avviso che verranno rimossi alcuni driver (consentire)

Verranno creati due log in C:\

● combofix.txt
● ComboFix-quarantined-files.txt

Riavvia il sistema in Modalità normale ed allega tutti i log.

[Inf3kti0n]

Come prima, posto un solo log per lo stesso motivo ComboFix
Non ho trovato altri log legati a ComboFix in C:\
Ho avuto un paio di problemi appena è terminata la scansione con ComboFix in safe mode.
E` comparso il log di ComboFix come hai detto tu ma appena l'ho chiuso mi è rimasta la schermata nera con solo le scritte bianche tipiche agli angoli dello schermo.Ho dovuto avviare manualmente il processo explorer.exe che a quanto pare era stato terminato.Ho riavviato in modalità normale e appena ho fatto l'accesso al sistema è compasa solo la barra delle applicazioni e lo sfondo di default.Ho provato a cliccare alcune icone dell'avvio veloce e si è bloccato tutto.Ho dovuto riavviare manualmente siccome non andava nemmeno il TaskManager.Appena ho rifatto l'accesso all'inizio sembrava avere lo stesso problema poi dopo circa un minuto lentamente sono comparse icone ecc...

[Riverside]

1) disinstalla ComboFix in questa maniera:
> Start
> Esegui
nella casella di dlialogo copia ed incolla questo comando:
combofix /u

2) vai in Disco Locale C: ed elimina questa cartella: QooBox

3) Elimina la cartella che hai creato sul Desktop.

4) svuota il cestino, esegui una pulizia (sia normale che pulizia dei problemi) con CCleaner e, infine, allega un nuovo log di Hthis.

Domanda: Nod32 è regolarmente licenziato, oppure è craccato o hai utilizzato qualche keygen per attivarne la licenza?.

[Inf3kti0n]

Ecco il log di HiJackThis
Qui craccato...non ci penso per niente a spendere altri soldi per una seconda licenza

[Riverside]

[Inf3kti0n]

Ok...
Nod è l'unico software craccato che ho.Cosa mi consigli al suo posto(Freeware) e cosa più importante HiJackThis che dice?Sono a posto?

[Riverside]

[Inf3kti0n]

A te HiJackThis

[Riverside]