Olimpo Informatico

[bibits]

Buongiorno a tutti. Mi son presa il Bagle
ho iniziato a fare la procedura della vostra guida, quando lancio findykill non riesco a creare il file find2 perchè mi si riavvia il PC. Prima di riavviarsi mi appare una finestra ma non ci capisco niente di francese.
qualuno mi può aiutare?

[R16]

Ciao, e benvenuto.
Ma la scansione con l'opzione 2 l'hai fatta?
Se sì, posta il log che trovi in:
C:\FindyKill.txt

Carica i log di FindyKill su WikiSend (o FreeFileHosting) e posta il Forum Link che ti viene assegnato.
link

[bibits]

si eccolo

FIND1.txt

[R16]

Ciao.
Procedi con la guida.

[bibits]

ma come faccio a passare all'eliminazione dei file infetti se mi si riavvia il pc quando sono al punto 2?

[R16]

[bibits]

il punto 2 non me lo fa fare perchè il pc si riavvia prima che faccia l'eliminazione di conseguenza non mi rilascia nessul log.
Quando il pc si riavvia mi viene una schermata con scritto
bagle c:\ muestras
prima lo aveva fatto anche con il file infosat ma l'ho cancellato manualmente.
Come si fa?

[R16]

Ok, ripartiamo dall'inizio:
Disattiva il ripristino configurazione di sistema, e tienilo disattivato, fino alla soluzione del problema.
http://forum.zeusnews.com/viewtopic.php?t=22084

Segui questo percorso e svuota la cartella Prefetch : (non eliminare la cartella)
C:\Windows\Prefetch

Vedi se riesci a scaricare questo software:
Segui le istruzioni di questo topic per usare MBAM:
http://forum.zeusnews.com/viewtopic.php?p=297823#297823
Esegui una scansione completa.
Elimina i file infetti trovati.
Posta il log

Poi:
Segui le istruzioni di questo topic per usare Combofix:
http://forum.zeusnews.com/viewtopic.php?t=45224

Leggi BENE la guida.
In fase di scaricamento devi RINOMINARLO con un nome di fantasia.
Posta il log.

[bibits]

ecco i due log

mbam-log-2010-04-13 (16-56-24).txt

log.txt

[R16]

Ciao.
Adesso prova a eseguire FindyKill, usando l'opzione 2.
Se funziona, posta il log.

[bibits]

finalmente sono riuscita a fare il passo 2.
Ma ora al passaggio 3 sono bloccata, nel link del download di findykill non c'è l'opzione ricerca crack\keygen
help

[R16]

Ciao.
No, non mi interessa il passaggio 3.
Posta il log della scansione con il passaggio 2.

[bibits]

ecco il 2

find2.txt

[R16]

Ciao.
Disistalla questi software, in quanto sono danneggiati:
Spybot - Search & Destroy
Avenger.

Poi:
Apri un file di testo sul Desktop (start\esegui\digita: notepad.exe e poi clicca Ok
Ci incolli il codice che vedi qui sotto, e salvi il file di testo obbligatoriamente con il nome CFScript.txt

[bibits]

ecco il log aggiornato di combofix

log.txt

[R16]

Che problemi riscontri?

[bibits]

ciao e intanto un grazie è d'obbligo, sembrerebbe funzionare tutto alla grande. la connessione wireless ora funziona.
Ho scaricato di nuovo avira. Ho il presentimento di aver infettato una pen drive come posso fare il controllo senza eventualmente reinfettare il pc?

[R16]

[bibits]

grazie, come immaginavo anche la chiavetta usb era infetta e ora è tutto a posto. Ecco il log.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 9.33.20, on 15/04/2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\Programmi\WIDCOMM\Bluetooth Software\bin\btwdins.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\system32\GtDetectSc.exe
F:\WINDOWS\system32\spoolsv.exe
F:\Programmi\Avira\AntiVir Desktop\sched.exe
F:\Programmi\Avira\AntiVir Desktop\avguard.exe
F:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
F:\Programmi\Bonjour\mDNSResponder.exe
F:\Programmi\Java\jre6\bin\jqs.exe
F:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
F:\WINDOWS\system32\nvsvc32.exe
F:\Programmi\CyberLink\Shared files\RichVideo.exe
F:\Programmi\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
F:\WINDOWS\system32\svchost.exe
F:\Programmi\Hewlett-Packard\Shared\hpqwmiex.exe
F:\WINDOWS\system32\wbem\wmiapsrv.exe
F:\WINDOWS\Explorer.EXE
F:\WINDOWS\system32\RUNDLL32.EXE
F:\Programmi\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
F:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Alientech\AlienUpgrade\AlienUpgrade.exe
F:\WINDOWS\System32\svchost.exe
F:\Programmi\Java\jre6\bin\jusched.exe
F:\PROGRA~1\HEWLET~1\Shared\HPQTOA~1.EXE
F:\Programmi\File comuni\Real\Update_OB\realsched.exe
F:\Programmi\File comuni\Nokia\MPlatform\NokiaMServer.exe
F:\Programmi\iTunes\iTunesHelper.exe
F:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
F:\Programmi\Avira\AntiVir Desktop\avgnt.exe
F:\Programmi\Windows Live\Messenger\msnmsgr.exe
F:\Programmi\Nokia\Nokia PC Suite 7\PCSuite.exe
F:\WINDOWS\system32\ctfmon.exe
F:\Programmi\Bit4Id\Bit4id - CSP PKCS11 Oberthur\bit4pin.exe
F:\Programmi\WIDCOMM\Bluetooth Software\BTTray.exe
F:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE
F:\Programmi\iPod\bin\iPodService.exe
F:\Programmi\PC Connectivity Solution\ServiceLayer.exe
F:\Programmi\PC Connectivity Solution\Transports\NclUSBSrv.exe
F:\Programmi\PC Connectivity Solution\Transports\NclRSSrv.exe
F:\Programmi\PC Connectivity Solution\Transports\NclBCBTSrv.exe
F:\WINDOWS\system32\msiexec.exe
F:\Programmi\Internet Explorer\iexplore.exe
F:\Programmi\Windows Live\Toolbar\wltuser.exe
F:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://it.yahoo.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - F:\Documents and Settings\All Users\Dati applicazioni\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - F:\Programmi\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - F:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - F:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - F:\Programmi\Windows Live\Toolbar\wltcore.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - F:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - F:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - F:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - F:\Programmi\Windows Live\Toolbar\wltcore.dll
O4 - HKLM\..\Run: [SynTPStart] F:\Programmi\Synaptics\SynTP\SynTPStart.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE F:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE F:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [hpWirelessAssistant] %ProgramFiles%\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
O4 - HKLM\..\Run: [NeroFilterCheck] F:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AlienUpg] "C:\Alientech\AlienUpgrade\AlienUpgrade.exe"
O4 - HKLM\..\Run: [\\SABRY\EPSON Stylus DX6000 Series] F:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBIE.EXE /FU "F:\DOCUME~1\PROPRI~1\IMPOST~1\Temp\E_S981.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [NokiaMusic FastStart] "F:\Programmi\Nokia\Ovi Player\NokiaOviPlayer.exe" /command:faststart
O4 - HKLM\..\Run: [SunJavaUpdateSched] "F:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "F:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "F:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [TkBellExe] "F:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NokiaMServer] F:\Programmi\File comuni\Nokia\MPlatform\NokiaMServer /watchfiles startup
O4 - HKLM\..\Run: [QuickTime Task] "F:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "F:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [RemoteControl] F:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] F:\Programmi\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [avgnt] "F:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [msnmsgr] "F:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [PC Suite Tray] "F:\Programmi\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray
O4 - HKCU\..\Run: [ctfmon.exe] F:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] F:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Bit4id - Smart Card Manager.lnk = F:\Programmi\Bit4Id\Bit4id - CSP PKCS11 Oberthur\bit4pin.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://F:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Invia a periferica &Bluetooth... - F:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - F:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - F:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - F:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - F:\Programmi\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - F:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - F:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - F:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1241684904046
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://192.168.0.106/activex/AxisCamControl.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game05.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DE625294-70E6-45ED-B895-CFFA13AEB044} - http://crsrv.dyndns.org/activex/AMC.cab
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{96EDB0F6-4C4F-4D57-AAF1-E66E9986236F}: NameServer = 212.216.172.62,212.216.172.162
O17 - HKLM\System\CCS\Services\Tcpip\..\{AA77C45F-0810-465A-B771-BB6A47182DDD}: NameServer = 212.216.172.62,212.216.172.162
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - F:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - F:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - F:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour Service - Apple Inc. - F:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - F:\Programmi\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: GT Detect (GtDetectSc) - OptionNV - F:\WINDOWS\system32\GtDetectSc.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - F:\Programmi\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - F:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - F:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - F:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA-OMEGA Display Driver Service (NVSvc) - NVIDIA Corporation - F:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - F:\Programmi\CyberLink\Shared files\RichVideo.exe
O23 - Service: LiveShare P2P Server 9 (RoxLiveShare9) - Unknown owner - F:\Programmi\File comuni\Roxio Shared\9.0\SharedCOM\RoxLiveShare9.exe (file missing)
O23 - Service: ServiceLayer - Nokia - F:\Programmi\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 11397 bytes

[R16]

Segui le istruzioni di questo topic per rimuovere combofix, e gli altri eventuali tooll installati:
http://forum.zeusnews.com/viewtopic.php?t=47670

Disattiva il ripristino configurazione di sistema.
http://forum.zeusnews.com/viewtopic.php?t=22084

Avvia hijackthis, metti la spunta alle voci che andrò ad elencarti e con tutte le applicazioni chiuse e disconnesso da Internet,premi su fix checked
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O4 - HKLM\..\Run: [NeroFilterCheck] F:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AlienUpg] "C:\Alientech\AlienUpgrade\AlienUpgrade.exe"
O4 - HKLM..Run: [\SABRYEPSON Stylus DX6000 Series] F:WINDOWSSystem32spoolDRIVERSW32X863E_FATIBIE.EXE /FU "F:DOCUME~1PROPRI~1IMPOST~1TempE_S981.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [NokiaMusic FastStart] "F:\Programmi\Nokia\Ovi Player\NokiaOviPlayer.exe" /command:faststart
O4 - HKLM\..\Run: [SunJavaUpdateSched] "F:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "F:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "F:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [TkBellExe] "F:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NokiaMServer] F:\Programmi\File comuni\Nokia\MPlatform\NokiaMServer /watchfiles startup
O4 - HKLM\..\Run: [QuickTime Task] "F:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "F:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [RemoteControl] F:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKCU\..\Run: [msnmsgr] "F:\Programmi\Windows Live\Messenger\msnmsgr.exe" /background
O4 - Global Startup: BTTray.lnk = ?
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://192.168.0.106/activex/AxisCamControl.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game05.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {DE625294-70E6-45ED-B895-CFFA13AEB044} - http://crsrv.dyndns.org/activex/AMC.cab
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx1.hotmail.com/mail/w4/pr01/photouploadcontrol/MSNPUpld.cab

Da Installazione Applicazioni, disinstalla le versioni installate di Abobe Reader, e Java. (tutte le versioni che trovi)

Dopo la disinstallazione, installa le versioni aggiornate di:
Adobe Reader:
link
Una volta installato Adobe Reader lancialo.
nella barra degli strumenti clicca sul ?
clicca su Ricerca aggiornamenti ed esegui gli aggioramenti che veranno proposti.

Scarica l'ultima versione di Java:
link

N.B:
Se in fase di installazione, ti venisse rchiesta l'installazione di qualche Toolbar, non la installare.

Pulisci i files temporanei con CCleaner
http://forum.zeusnews.com/viewtopic.php?p=282670#282670

Installa il service pack3 di Windows XP : (è importante)
link

Posta un nuovo log di hijackthis