Olimpo Informatico

[bb]

Consigliato da madvero, che ringrazio, continuo qui il thread iniziato nel forum "Windows XP" (non riporto tutto quanto già detto di là http://forum.zeusnews.com/viewtopic.php?t=35992).

Posto la startuplist di "HijackThis":

StartupList report, 30/09/2008, 19.11.59
StartupList version: 1.52.2
Started from : C:\Program Files\HijackThis\HijackThis.EXE
Detected: Windows XP SP2 (WinNT 5.01.2600)
Detected: Internet Explorer v6.00 SP2 (6.00.2900.2180)
* Using default options
==================================================

Running processes:

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Ad-Aware2008\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programmi\a-squared Anti-Dialer\a2adguard.exe
C:\PROGRA~1\WinFax\WFXSWTCH.exe
C:\WINDOWS\system32\wfxsnt40.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\WinFax\WFXCTL32.EXE
C:\Programmi\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\VBScroll\VBScroll.exe
C:\Programmi\LaunchPad\lnchpd32.exe
C:\Programmi\ProcessExplorerNt\procexp.exe
C:\Programmi\xplorer2\xplorer2_UC.exe
C:\Programmi\a-squared Anti-Dialer\a2service.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\PROGRA~1\AVG\AVG8\avgfws8.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Microsoft SQL Server\MSSQL$SIPA\Binn\sqlservr.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\WFXSVC.EXE
C:\PROGRA~1\AVG\AVG8\avgam.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\alg.exe
C:\Programmi\WinFax\WFXMOD32.EXE
C:\Programmi\AVG\AVG8\avgui.exe
C:\Programmi\WinFax\FAXMNG32.EXE
C:\Programmi\outlook express\msimn.exe
C:\Program Files\HijackThis\HijackThis.exe

--------------------------------------------------

Listing of startup folders:

Shell folders Startup:
[C:\Documents and Settings\Amministratore\Menu Avvio\Programmi\Esecuzione automatica]
Collegamento a lnchpd32.exe.lnk = C:\Programmi\LaunchPad\lnchpd32.exe
ProcessExplorer.lnk = C:\Programmi\ProcessExplorerNt\procexp.exe
TCLOCKEX.lnk = C:\Programmi\TClockEx\TCLOCKEX.EXE
xplorer2 (3).lnk = C:\Programmi\xplorer2\xplorer2_UC.exe

Shell folders Common Startup:
[C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica]
Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
Controller.LNK = C:\Programmi\WinFax\WFXCTL32.EXE
Gestione servizi.lnk = C:\Programmi\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
VBScroll.lnk = C:\Programmi\VBScroll\VBScroll.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINDOWS\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

ATIPTA = C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
SoundMAXPnP = C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
a-squared = "C:\Programmi\a-squared Anti-Dialer\a2adguard.exe"
a-squared Anti-Dialer = "C:\Programmi\a-squared Anti-Dialer\a2adguard.exe" /d=60
WFXSwtch = C:\PROGRA~1\WinFax\WFXSWTCH.exe
WinFaxAppPortStarter = wfxsnt40.exe
AVG8_TRAY = C:\PROGRA~1\AVG\AVG8\avgtray.exe

--------------------------------------------------

Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

ctfmon.exe = C:\WINDOWS\system32\ctfmon.exe

--------------------------------------------------

File association entry for .SCR:
HKEY_CLASSES_ROOT\AutoCADScriptFile\shell\open\command

(Default) = "C:\Programmi\NoteTab Pro\NotePro.exe" "%1"

--------------------------------------------------

Load/Run keys from C:\WINDOWS\WIN.INI:

load=*INI section not found*
run=*INI section not found*

Load/Run keys from Registry:

HKLM\..\Windows NT\CurrentVersion\WinLogon: load=*Registry value not found*
HKLM\..\Windows NT\CurrentVersion\WinLogon: run=*Registry value not found*
HKLM\..\Windows\CurrentVersion\WinLogon: load=*Registry key not found*
HKLM\..\Windows\CurrentVersion\WinLogon: run=*Registry key not found*
HKCU\..\Windows NT\CurrentVersion\WinLogon: load=*Registry value not found*
HKCU\..\Windows NT\CurrentVersion\WinLogon: run=*Registry value not found*
HKCU\..\Windows\CurrentVersion\WinLogon: load=*Registry key not found*
HKCU\..\Windows\CurrentVersion\WinLogon: run=*Registry key not found*
HKCU\..\Windows NT\CurrentVersion\Windows: load=
HKCU\..\Windows NT\CurrentVersion\Windows: run=*Registry value not found*
HKLM\..\Windows NT\CurrentVersion\Windows: load=*Registry value not found*
HKLM\..\Windows NT\CurrentVersion\Windows: run=*Registry value not found*
HKLM\..\Windows NT\CurrentVersion\Windows: AppInit_DLLs=avgrsstx.dll

--------------------------------------------------

Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=C:\WINDOWS\System32\logon.scr
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Browser Helper Objects:

WormRadar.com IESiteBlocker.NavFilter - C:\Programmi\AVG\AVG8\avgssie.dll - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0}
(no name) - C:\Programmi\Java\jre1.6.0_05\bin\ssv.dll - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}

--------------------------------------------------

Enumerating Task Scheduler jobs:

1-Click Maintenance.job

--------------------------------------------------

Enumerating Download Program Files:

[Windows Genuine Advantage Validation Tool]
InProcServer32 = C:\WINDOWS\system32\LegitCheckControl.DLL
CODEBASE = http://go.microsoft.com/fwlink/?linkid=39204

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: C:\WINDOWS\system32\SHELL32.dll
CDBurn: C:\WINDOWS\system32\SHELL32.dll
WebCheck: C:\WINDOWS\system32\webcheck.dll
SysTray: C:\WINDOWS\system32\stobject.dll

--------------------------------------------------
End of report, 7.892 bytes
Report generated in 0,062 seconds

Note:
VBScroll.exe è un programmino per utilizzare il mouse nell'ambiente VBA di Office
lnchpd32.exe mi serve per lanciare in automatico comandi a ore prederminate
TCLOCKEX.EXE è un orologio nella BarraApplicazioni.

Comunque questi tre programmi girano da anni senza mai aver dato problemi.

Un grazie anticipato a chi mi darà una mano a risolvere questo problema.

Bruno

[Sante62]

Ciao bb
La sturtup list dice che la chiave Userinit è pulita e mi pare di aver capito che la chiave explorer non c'è;

Intanto vedi se riesci a far partire queste scansioni:

• Pulisci i files temporanei con ATF-Cleaner e/o CCleaner
  
• Segui le istruzioni di questo topic per usare MBAM.
  
• Segui le istruzioni di questo topic per eseguire combofix.
  
• Segui le istruzioni di questo topic per postare il log di HiJackThis.
  
• Riferisci con un nuovo messaggio in questa discussione dell'esito: se ci sono stati problemi particolari, ecc. ecc. E riporta:
  
  • Carica il log di MBAM su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di Combofix su WikiSend e posta il Forum Link che ti viene assegnato.
    
  • Carica il log di HiJackThis su WikiSend e posta il Forum Link che ti viene assegnato.

[bb]

FINALMENTE sono riuscito a far tornare BarraApplicazioni e Desktop al loro posto!!!
Però non sono in grado di dire con esattezza "CHI" ha sistemato la cosa.
Mi spiego:
ieri (quasi disperando di poter risolvere) ho provato a scaricare "TweakUI for Windows XP" per vedere se si riusciva a fare qualcosa, però non mi è sembrato che risolvesse il problema, nel senso che settavo qualche opzione e dopo aver premuto il pulsante "Applica" queste si attivavano, però non sono mai riuscito a far apparire BarraApplicazioni e Desktop. Faccio notare che non ho mai riavviato dopo ogni modifica, anche forte del fatto che c'era il pulsante "Applica" e realmente le modifiche venivano applicate.
Ad un certo punto però ho fatto un riavvio e:
all'inizio è apparsa la BarraApplicazioni e Desktop regolarmente
poi dopo 10 secondi circa è sparita, come ha sempre fatto in questi ultimi sei giorni;
dopo un'altra decina di secondi, mentre AVG8 lavorava (lo vedevo dall'attività di Process Explorer) ad un certo punto si è presentato un messaggio di AVG8 (che traggo dal Registro Rilevamento Resident Shield):
"Trojan Small.AOQ;"C:\WINDOWS\system32\Drivers\mchInjDrv.sys";"Eliminato";"01/10/2008, 1.08.48";"file";"System" e subito dopo averlo eliminato (l'ha fatto lui in automatico) È RIAPPARSA LA BarraApplicazioni e Desktop AL LORO POSTO, come l'avevo lasciata una settimana fa (anzi, c'erano anche le icone dei programmi che avevo nel frattempo scaricato e installato)
A questo punto non so a chi dare il merito, anche perché AVG8 era attivo e funzionante e per tutto questo tempo, scansioni complete a iosa....

Una ricerca tramite google non mi ha soddisfatto perché ho trovato notizie contrastanti su questo Trojan: per alcuni è un falso positivo, per altri una minaccia da eliminare.
Ad esempio:

Purtroppo è meglio se lo rimuovi.
mchInjDrv.sys - Dangerous
--------------------------------------------------------------------------------
mchinjdrv.sys
MchInjDrv.sys is a driver for injecting code to other processes.
But it is often used by malicious software.
Kill the file mchInjDrv.sys and remove mchInjDrv.sys from Windows startup.
Ciao
--
Franco Leuzzi
Commate Computer Inc. PC Network Coordinator & Maintenance Italian Office

oppure:

With more research, this appears to be from Spyware Doctor: "This appears to be a false positive detection...MchInjDrv is a third-party driver used by many security applications to provide process protection...Spyware Doctor in fact uses mchInjDrv as do many other legitimate security programs.
UK_Scott (further information)

ecc.

Comunque la cosa positiva è che il computer funziona come prima.

Ringrazio tutti, in special modo "madvero" del forum Windows XP.

Ciao e spero di non aver più bisogno del vostro aiuto.

Bruno

[bdoriano]

Ehm... ,
ti auguro che sia veramente tutto a posto, ma non ci conterei troppo.

Il fatto che la barra sia tornata non vuol dire che il problema sia completamente risolto.

Fossi in te, giusto per sicurezza, seguirei le istruzioni che ti sono state date da Sante.

[Riverside]

[bb]

[Sante62]

C'è ancora Combofix da far girare...

[bb]

[Sante62]

Ti consiglio di disinstallare AVG8 e A-Squared,perchè i problemi potrebbero ritornare, visto che combofix ha dato problemi, a parte il fatto che quando si utilizzano questi programmi, bisogna disattivare tutto;

Prendi in considerazione di installare Avira Antivir e superantispyware.

C'è un infezione mediante chiavette/periferiche USB;
quindi disattiva momentaneamente il riconoscimento automatico delle periferiche USB;
serve il programma TweakUI scaricabile da questa pagina e installalo.
Una volta installato, eseguilo e procedi con questi passaggi:

[bb]

[bb]

[Sante62]

Per cortesia, scarica la versione aggiornata
di Hijackthis e rifai il log...

[bb]

[bb]

[Sante62]

Gli unici programmi che ti posso far togliere dall'avvio sono questi. Ovviamente controlla se qualcuno ti è necessario, tranne la prima, che va eliminata necessariamente.

Avvia il PC in modalità provvisoria;

Avvia Hijackthis, seleziona queste righe e clicca poi su fix Checked:

[bb]

[Sante62]

OK, non vedo altre anomalie da correggere....

Riscontri ancora problemi?

[bb]

Nessun problema per ora, sembra tutto tornato come prima, anzi, ho imparato nuovi sistemi per scovare virus et altro...

Ti terrò informato nel caso si riproponesse qualcosa di strano.
Ciao

Bruno

[Sante62]