Olimpo Informatico

[milkomax]

Ciao a tutti.
Da qualche giorno il mio antivirus nod32 mostra ripetutamente, mentre navigo, una finestra di avviso con scritto:

L'indirizzo è stato bloccato
Url: zl00zxcv1.com/nA40...
ip :80

Ho provato a fare una scansione, con nod32, con "Malwarebytes' Anti-Malware" ed altri antimalware ma niente da fare non rileva nessun virus.

Qualcuno può consigliarmi come posso fare per togliere questo avviso?

Grazie mille

[R16]

Ciao.
Per avere qualche informazione in più, segui le istruzioni di questo topic per postare il log di HiJackThis:
http://forum.zeusnews.com/viewtopic.php?t=23440

[milkomax]

Ecco il log di HiJackThis.
Rimango uin attesa di un vostro riscontro.
Grazie 1000.

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Analog Devices\SoundMAX\Smax4.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe
C:\Programmi\Analog Devices\Core\smax4pnp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\ATKKBService.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\HP\Digital Imaging\Smart Web Printing\hpswp_clipbook.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\MAX\Desktop\hjt\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Programmi\HP\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\PROGRAM FILES\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: HP Smart BHO Class - {FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} - C:\Programmi\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O4 - HKLM\..\Run: [SoundMAX] "C:\Programmi\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [JMB36X Configure] C:\WINDOWS\system32\JMRaidTool.exe boot
O4 - HKLM\..\Run: [egui] "C:\Programmi\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programmi\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Open Document with Open IT Online - C:\Programmi\Open IT Online Lite\openitonline.html
O8 - Extra context menu item: Open Image with Open IT Online - C:\Programmi\Open IT Online Lite\openitonline.html
O9 - Extra button: Visualizza o nasconde HP Smart Web Printing - {DDE87865-83C5-48c4-8357-2F5B1AA84522} - C:\Programmi\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: (no name) - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\system32\shdocvw.dll
O16 - DPF: {22492231-AEF0-49FC-9180-CE8969AB1273} (F-Secure Online Scanner Launcher) - http://download.sp.f-secure.com/ols/f-secure-rtm/resources/fslauncher.cab
O16 - DPF: {9191F686-7F0A-441D-8A98-2FE3AC1BD913} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {A8F2B9BD-A6A0-486A-9744-18920D898429} - http://www.sibelius.com/download/software/win/ActiveXPlugin.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{165711EF-90D7-42BE-A949-26D19113D784}: NameServer = 212.216.112.222,212.216.172.162
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Programmi\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Programmi\File comuni\Logishrd\Bluetooth\LBTServ.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe

--
End of file - 7545 bytes

[R16]

Ciao.
Il log non presenta infezioni.

Proviamo con una scansione più approfondita.
Segui le istruzioni di questo topic per usare Combofix:
http://forum.zeusnews.com/viewtopic.php?t=45224

Carica il log di Combofix, su WikiSend (o FreeFileHosting) e posta il Forum Link che ti viene assegnato.
http://www.wikisend.com/

[milkomax]

OK, ho seguito la procedura di Combofix ed ecco il forum link:

log.txt

Rimango in attesa.

[R16]

Apri un file di testo con il Block Note sul Desktop
Ci incolli il codice che vedi qui sotto, e salvi il file di testo obbligatoriamente con il nome CFScript.txt

[milkomax]

Ho dimenticato di dirti che nel pomeriggio dopo aver effettuato la procedura di combofix e postato il file log.txt, ho visto che la finestra di avviso di nod32 "L'indirizzo è stato bloccato etc. etc." non è più apparsa.

Comunque adesso ho fatto la nuova procedura che mi hai detto e questo è il file log che ho chiamato log2.txt:

log2.txt

Per quanto mi riguarda credo che tutto si sia sistemato, comunque fammi sapere se dal log2 è tutto ok o devo fare altro.

[R16]

Puliamo un pò il pc:
Disattiva il ripristino configurazione di sistema
http://forum.zeusnews.com/viewtopic.php?t=22084

Segui le istruzioni di questo topic per rimuovere combofix, e gli altri eventuali tooll installati:
http://forum.zeusnews.com/viewtopic.php?t=47670

Scarica TFC by OldTimer sul desktop
link
chiudi tutti i programmi
avvia TFC, clicca su "start"
al termine della scansione ti chiederà il riavvio, dai ok.

Pulisci i files temporanei con CCleaner (pulisci anche il registro)
http://forum.zeusnews.com/viewtopic.php?p=282670#282670

Segui questo percorso e svuota la cartella Prefetch : (non eliminare la cartella)
C:\Windows\Prefetch

Segui le istruzioni di questo topic per eliminare gli ADS:
http://forum.zeusnews.com/viewtopic.php?t=45223

Fai una deframmentazione del HD.
Esegui anche uno Scandisk.

Riattiva il ripristino configurazione di sistema e, se tutto è a posto, creane uno nuovo.

Se non riscontri problemi, abbiamo concluso.

[milkomax]

Ok ho seguito tutte le procedure, mi rimane da fare solo la deframmentazione e lo scandisk.

Volevo chiederti, per il futuro se non ci sono virus, per mantenere il pc pulito devo rifare tutte le procedure scritte in questi post oppure basta farne solo qualcuna?

[R16]

[milkomax]

Ok Grazie ancora...
Questo forum è veramente ok, lo consiglio a tutti!!!!
Non è facile trovare un forum esaustivo come questo... Complimenti!!

P.S. Per R16 ti ho inviato un messaggio in pvt, quando puoi rispondimi.

[R16]

[milkomax]

Ho disinstallato Spyware Terminator, pulito tutto con CCleaner ma il firewall ritarda lo stesso come prima.

Comunque ecco il nuovo log di hijackthis:

hijackthis.log

P.S. Ho notato anche che adesso non va più l'autoplay!!

[R16]

[milkomax]

Ho installato il nuovo firewall quello in inglese, lo scudo di windows non si carica, ma ho visto che il rallentamento che si verificava prima è rimasto, quindi deduco che non dipendeva da windows firewall!!
Non mi sembra una cosa normale in quanto prima non lo faceva!

Altra cosa, quando riavvio mi appare la schermata "Selezionare il sistema operativo da avviare:
Microsoft windows recovery consolle.
Microsoft windows xp professional.

Come posso toglierla?
Oppure devo lasciarla?

[R16]

[milkomax]

La storia del rallentamento del pc è da un po' di tempo che accade, Comodo è stato installato recentemente credo qualche istante prima di aprire questo topic.

La schermata all'avvio con la richiesta del sistema operativo da avviare mi è apparsa da quando ho fatto la pulizia con combofix e gli altri.
Inoltre non ho mai installato la recovery consolle.

[R16]

Ciao.
Clicca su "risorse del computer" con il tasto destro e poi
clicca "Proprietà".
Seleziona il Tab "Avanzate", poi, su "Avvio e ripristino" --> "Impostazioni"
Dal Menu a tendina seleziona il sistema che vuoi far avviare come predefinito,(Microsoft windows xp professional) quindi togli il segno di spunta da "Visualizza elenco sistemi operativi per..."
Clicca ok.
Nella finestra che rimane, clicca "Applica" e poi OK.
Riavvia il pc.

Intanto vedi se hai risolto il discorso della schermata.

[milkomax]

Si ok ho fatto la procedura e si è tolta la schermata.
Però è possibile togliere o disinstallare la recovery consolle in modo da cancellarla dal pc??

[R16]