Olimpo Informatico

[Drice]

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 17.20.21, on 09/12/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
questo il log di mbam:

[R16]

Ciao Drice, e benvenuto\a in questo forum.
Per postare i log, sarebbe meglio usare i servizi hosting, per esempio wikisend:
link

Poi, fai questa scansione:
Segui le istruzioni di questo topic per usare Systemscan:
http://forum.zeusnews.com/viewtopic.php?p=210548#210548
Come suggerito sopra, posta il log con :
link
Oppure con:
link

[Drice]

ops

provvedo subito

hijackthis.log

mbam-log-2010-12-09 (14-29-57).txt

DDS.txt

[Drice]

SYSTEMSCAN
09_12_2010_19_01_report.zip

[R16]

Ciao.
Il pc è ancora infetto.
Disattiva il Tea Timer di SpyBot così:
Apri SpyBot in modalità avanzata (menù modalità - avanzata) poi vai in utilità - resident e togli la spunta a TeaTimer, e riavvia il pc.

Poi:
Segui le istruzioni di questo topic per usare Combofix: (usa Internet Explorer, e ricorda di salvarlo sul Desktop)
http://forum.zeusnews.com/viewtopic.php?t=45224
Posta il log.

[Drice]

[R16]

Ciao.
Apri un file di testo con il Block Note sul Desktop
Ci incolli il codice che vedi qui sotto, e salvi il file di testo obbligatoriamente con il nome CFScript.txt

[Drice]

Grooooosso problema!
Sono costretto a scrivere con il telefonino...dopo aver fatto l'ultimo passaggio quando provo a scrivere risposta nel forum perdo l'uso della tastiera e del mouse...sono costretto a forzare lo spegnimento del pc con il bottone di accensione!
Prima di questo avevo fatto una scansione online con eset rilevando e cancellando 10 problemi!

Non funziona sia con Firefox(che uso abitualmente) sia con internet Explorer!

[R16]

Ciao.
Ma questi problemi, si sono verificati DOPO che hai eseguito lo script di Combofix che ti ho indicato?
Perchè è impossibile che tale script, abbia causato dei problemi.
Le voci dello script, si riferiscono, ad infezioni (Adware) , che nulla hanno a che vedere con i problemi che segnali.

Altra cosa:
Anche tu, (come la maggioranza degli utenti) durante una bonifica, si decide, di punto in bianco, di fare di testa propria, prendendo iniziative inopportune.
Purtroppo, dette iniziative, nel 99% dei casi, peggiorano la situazione invece di migliorarla.
Sarei curioso di vedere cosa ha eliminato la scansione (non autorizzata) di Eset.

[Drice]

Si, i problemi si sono verificati dopo l'esecuzione dello script!
Probabilmente l'ho combinata grossa con quella scansione online!
Anche se dopo averla fatta e prima di eseguire lo script tutto funzionava!
Ora, avrei la possibilità di fare un ripristino sistema delle ore 12:16, quindi ante scansione e dopo rifare la procedura dello script
Vado?

[Drice]

La cosa più strana è che mi blocca in qualsiasi finestra o altro dove sia presente un campo per scrivere
Email...mi ha bloccato appena ho cliccato per scrivere l'indirizzo
Blocco note...fatto un click per scrivere si è bloccato
Facendo un click lento su un'eseguibile (la stessa cosa del rinomina) si è bloccato
Per rispondere sul forum, click nello spazio per scrivere e si è bloccato tutto
Anche SOLO premendo un tasto sulla tastiera con a video il desktop e basta, niente di niente aperto, si blocca...

[R16]

Prova un ripristino configurazione sistema.
Porta il pc a prima della scansione on-line che hai fatto.

[Drice]

Niente da fare...mi dice impossibile ripristinare...

In C: ho la cartella eset con il programma di scansione online e la cartella quarantena. Quando ho eseguito la scansione alla fine mi aveva chiesto se volevo ripristinare quello che era stato spostato in quarantena (cliccai su no) e poi mi chiese se volevo cancellare il programma (cliccai no). Se rifaccio una scansione poi mi ripropone la quarantena con i file precedenti da poter ripristinare?

Vorrei amputarmi le mani x quello che ho fatto ....

[R16]

[Drice]

ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)
# OnlineScanner.ocx=1.0.0.6415
# api_version=3.0.2
# EOSSerial=eb6dc9e143eda445ad8caa9358b2fb4a
# end=finished
# remove_checked=true
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=true
# antistealth_checked=true
# utc_time=2010-12-11 01:58:34
# local_time=2010-12-11 02:58:34 (+0100, ora solare Europa occidentale)
# country="Italy"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 0 0 0 0
# compatibility_mode=8199 39157077 100 100 71528 33714632 0 0
# scanned=70765
# found=10
# cleaned=10
# scan_time=6717
# nod_component=V3 Build:0x30000000
C:\Documents and Settings\Roberto\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\tz29src9.default\Cache\A2C5B4B8d01 probably a variant of Win32/Genetik trojan (deleted - quarantined) 00000000000000000000000000000000 C
C:\Documents and Settings\Roberto\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\tz29src9.default\Cache\BCD8EF11d01 probably a variant of Win32/Genetik trojan (deleted - quarantined) 00000000000000000000000000000000 C
C:\Programmi\TNod User & Password Finder\TNODUP.exe Win32/HackAV.DM application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Programmi\Ubisoft\The Settlers 7 - La strada verso il regno\Data\Base\_Dbg\Bin\Release\1911.dll a variant of Win32/Packed.VMProtect.AAA trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\System Volume Information\_restore{D4AA13D7-666D-4ACC-B3A3-D6970DB6E909}\RP1\A0000003.exe probably a variant of Win32/Genetik trojan (deleted - quarantined) 00000000000000000000000000000000 C
C:\System Volume Information\_restore{D4AA13D7-666D-4ACC-B3A3-D6970DB6E909}\RP1\A0000161.exe Win32/HackAV.DM application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
D:\Internet@\dc ++\esetnod32ita4.0.474. e keysfinder.rar Win32/HackAV.DV application (deleted - quarantined) 00000000000000000000000000000000 C
D:\Internet@\dc ++\TNod-1.4.0-Final-Setup.rar Win32/HackAV.DM application (deleted - quarantined) 00000000000000000000000000000000 C
D:\Internet@\dc ++\esetnod32ita4.0.474. e keysfinder\ESETNod32ITA e Keysfinder\ESET_Nod32_Keys_Finder_V7.exe Win32/HackAV.DV application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
D:\Internet@\dc ++\Prg vari\metastock.rar a variant of Win32/Tool.TPE.A application (deleted - quarantined) 00000000000000000000000000000000 C

[Drice]

Nella cartella quarantena ci sono file "incomprensibili" .NDF .NQF
Sono riuscito a fare un copia incolla (fortunatamente funziona) del file log della scansione, le ultime 10 righe (6 C: e 4 D i file messi in quarantena.
Ho il cd di Windows xp

[R16]

Fra le altre cose, mi sembra che abbia eliminato Crack e Keygen. (anche il Nod è craccato)
Cliccando sopra quelle voci con il tasto destro, non compare per caso una voce tipo "ripristina" oppure "Restore" ?

P.S:
Prova così:
Inserisci il Cd di Windows nel lettore.
Poi fai:
Start\Esegui\ copia-incolla queso comando:

sfc /scannow
clicca Ok.

Lascia finire la scansione.
Una volta finita,riavvia il pc.
Spera che funzioni.

[Drice]

Allora...i file in quarantena dello scanner online riesco a spostarli nella quarantena dell'antivirus, ora da li provo a ripristinarli!

Li devo ripristinare tutti? Se no, quali?

In realtà il nod non è craccato, è l'originale scaricato dal sito e uso un programma (TNOD USER & PASSWORD FINDER) che trova chiavi valide su internet.

Seguo la tua procedura con il cd o provo a ripristinare come scritto sopra?

[R16]

Intanto ripristina queste:
C:\Programmi\TNod User & Password Finder\TNODUP.exe Win32/HackAV.DM application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

D:\Internet@\dc ++\TNod-1.4.0-Final-Setup.rar Win32/HackAV.DM application (deleted - quarantined) 00000000000000000000000000000000 C

D:\Internet@\dc ++\esetnod32ita4.0.474. e keysfinder\ESETNod32ITA e Keysfinder\ESET_Nod32_Keys_Finder_V7.exe Win32/HackAV.DV application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

Poi esegui l'operazione del CD di windows
sfc /scannow

[Drice]

Uffiiii
Altro problema, non posso ripristinare le voci da te indicate perché nella quarantena non sono così specificate ma bensì:
C:\Programmi\ESET\ESET Online Scanner\Quarantine\E0994EAA49BEEF8898826541740DEEA33025FC55.NQF

I file .NQF sono piuttosto grossi
I file .NDF sono piccoli

Non ho importato dalla quarantena dello scanner online il file INFO.NQI di 1 KB... a questo punto non so se sia il caso di importare anche questo file

Ripristino tutto? Compreso il file INFO?