Combofix

[Abc87]

Salve a tutti mi chiamo Mary e sono nuova,e ho un grosso problema con il pc e ho bisogno di una piccola mano o un consiglio...premetto che non sono molto pratica in queste cose, ma me la cavicchio ...comunque, credo che qualcuno stia spiando il mio pc, anzi, ne sono sicura perchè spifferano tutto quello che mi dico su msn con un mio amico, inizialmente avevo pensato che avessero preso le password, successiamente ho creato un altro account e ho notato che mi spiano anche su quello, alche cercando su internet un modo per cercare eventuali keylogger sul pc, ho trovato una procedura che mi diceva di avviare Superantyspywar, malwarebytes anti-malware e per ultimo combofiix...ho seguito tutto alla lettera, ma a quanto pare non ho risolto il problema perchè continuano a spiare le mie conversazioni (premetto che avevo cambiato password già un'altra volta su msn, ma ultimamente quando vado a cambiarla, la pagina mi esce bianca come se non la caricasse più sia su chrome, che su internet explorer...sembra quasi che mi abbiano disabilitato questa funzione)... comunque fatta questa premessa, volevo chiedere se gentilmente qualcuno puo analizzare questo report di combofix, perchè io non ne sono capace, o perlomeno non riesco a capire se c'è un problema di keylogger...

vi ringrazio in anticipo e spero di aver postato in modo giusto

ComboFix(1).txt

[pike]

Ciao Abc87,

il primo suggerimento che ti do' è di andare da un amico/a e di cambiare la password di MSN con un pc diverso e con una connessione internet diversa.

Combofix ha fatto fuori 4-5 servizi e un file, quindi onestamente non so cosa ci possa essere ulteriormente sul pc.

Vedo che MBAM è già stato installato, ti suggerisco di aggiornarlo e di eseguire una scansione completa del sistema, mettendo in quarantena quanto indicato.

Secondo suggerimento: verifica se i tuoi DNS sono ok tramite questo controllo proposto da Telecom Italia.

http://assistenzatecnica.telecomitalia.it/at/portals/assistenzatecnica.portal?_nfpb=true&_pageLabel=OrphanPage&nodeId=/AT_REPOSITORY/392024

Terzo suggerimento: sai mai che il tuo computer ospita un rootkit...

Esegui le scansioni con il tool di Sophos

http://www.sophos.com/it-it/products/free-tools/sophos-anti-rootkit.aspx

e Kaspersky

http://www.bleepingcomputer.com/download/tdsskiller/

Allega i log.

Quarto suggerimento: vediamo che cosa racconta il tuo pc.

Esegui DSS, allega i 2 file che produce al prossimo post.

Infine: il router che usi in casa è scelto da te oppure è stato fornito da Infostrada/Fastweb/Telecom Italia?

[Abc87]

Grazie mille per i suggerimenti, eseguo e allego tutto

[pike]

Avevo fatto anche una domandina-ina-ina... non mi riesci a rispondere?

[Abc87]

Sì scusami il modem è alice della telecom

[pike]

Allora un primo timore è rimosso: se fosse stato un router impostato da te o da un tecnico "terzo" rispetto a Telecom Italia poteva anche essere compromesso a livello di DNS.

Ma così non dovrebbe essere.... Posso quindi supporre che un altro computer collegato alla tua connessione non dovrebbe essere infettato.

[Abc87]

allora ho seguito le procedure che mi hai consigliato...

1) i miei DNS sono Ok

2)Sophos non mi ha rilevato nulla

3) neanche Kaspersky

4) Ti allego i Log di DSS

attach.txt

dds.txt

[Abc87]

sembra tutto ok

[tecnico24]

FIgurati se telecom italia è in grado di rilevare i dns infetti.

Dal log ci sono questi :

176.31.229.24,176.31.229.25

che sono DNS francesi che utilizzano la tua connessione.

Esegui queste procedure passo per passo:

1)

Apri il blocco note

incollaci questo codice :

Folder::

c:\documents and settings\User\Impostazioni locali\Dati applicazioni\PosService

c:\documents and settings\User\Impostazioni locali\Dati applicazioni\ServUpdater

c:\documents and settings\User\Impostazioni locali\Dati applicazioni\SoftwareUpdater

c:\programmi\MyPcCleaner

Registry::

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"PosService"=-

Driver::

PowerOffer Service

ServUpdater

SoftwareUpd

DDS::

uStart Page = hxxp://search.findeer.com

in alto fai file-salva con nome

nome file : CFScript

sotto lascia l'estensione .txt

salvalo sul desktop.

trascinalo nell'icona rossa di combofix

Aspetta le operazioni senza interferire

dopo il riavvio del pc posta il log.

2)Scarica Hijackthis

http://www.filehippo.com/it/download_hijackthis/

doppio click per avviarlo

individua e seleziona a sinistra tutte le 017 con questi indirizzi:

176.31.229.24,176.31.229.25

clicca in basso su fix checked.

Riavvia il pc

3)Scarica MSN Cleaner:

http://www.infospyware.com/antimalware/msncleaner/

scompatta il file .zip

eseguilo

clicca su Analizar

assicurati che eventuali file infetti siano selezionati , altrimenti selezionali

Clicca su Eliminar

attendi , quando ha finito clicca su Reporte

posta il log.

[Abc87]

ok proverò anche questa procedura, ma che significa che due server francesi stanno sulla mia connessione?Cioè sono attaccati alla mia connessione e spiano quello che faccio?

Modificato January 9, 2013 da Abc87

[tecnico24]

In un certo senso.

Dns corrotti comportano la visualizzazione di pagine web non veritiere , pubblicità e blocco totale della navigazione.

Segui la procedura passo per passo e se hai dubbi non esitare a postare.

[Abc87]

Allora...la prima procedura l'ho fatta come descritta, quando ho fatto la seconda e ho selezionato le 017, sembra che si siano eliminate...il log non mi è uscito, ho rifatto la scansione e non mi sono più uscite...msn cleaner mi dice No file found, quindi penso non abbia trovato qualcosa, cmq allego i log di combofix e hajackthis

grazie mille per la disponibilità

ComboFix(2).txt

hijackthis.log

Modificato January 9, 2013 da Abc87

[tecnico24]

Ho mancato una cosa.

Cancella queste cartelle con il relativo contenuto:

c:\documents and settings\All Users\Dati applicazioni\IBUpdaterService

c:\documents and settings\User\Impostazioni locali\Dati applicazioni\PowerOffer

apri il prompt dei comandi

copia e incolla , oppura digita

ipconfig /flushdns

dai INVIO.

se confermi queste operazioni , abbiamo ripulito il pc.

Modificato January 10, 2013 da tecnico24

[Abc87]

Ho mancato una cosa.

Cancella queste cartelle con il relativo contenuto:

c:\documents and settings\All Users\Dati applicazioni\IBUpdaterService

c:\documents and settings\User\Impostazioni locali\Dati applicazioni\PowerOffer

apri il prompt dei comandi

copia e incolla , oppura digita

ipconfig /flushdns

dai INVIO.

se confermi queste operazioni , abbiamo ripulito il pc.

Scusami se ti faccio molte domande, ma che è significa che il pc è pulito? Cioè allora c'è qualcosa che o qualcuno che mi spiava?ora dovrei essere al sicuro?

[tecnico24]

Si adesso non hai infezioni sul pc , direi che ci possiamo salutare.

[Abc87]

ok grazie mille

[Abc87]

purtroppo anche dopo tutto questo ambaradam il problema non è stato risolto continuano a leggere e a interagire cn i miei contatti