Virus W.32.spybot.worm Su Wincntrl.exe

[Jack Bristow]

[lucac]

allora o kuma o dinop arriveranno presto a salvare te e il tuo computer..lo hanno fatto anche con me. :up1:

[Jack Bristow]

Scusatemi sono sempre io nn avevo capito che dvv scrivere in qst spazio bianco stavo trpp skiattando dal ridere a vedere gli 892 892... cmq il mio problema è qst...

Ho da poco messo Alice Flat 640 ed il tecnico venne ad installarla quando io nn c'ero cmq rimase il computer collegato e nn avevo l'aggiornamento fatto cosi da allora mi è stt segnalato questo virus W32.Spybot.Worm sul file Wincntrl.exe...

Inoltre il mio computer è di una lentezza unica su internet addirittura peggio che con la linea normale...può essere dovuto a tal virus???

Vi ringrazio x le risposte anticipatamente

[Kuma]

Comincia con il fare una scansione On_line...

Segnati tutti i nomi esatti e i percorsi dei file infetti e riportali qui

Dimenticavo...

Se vuoi presentarti alla comunità puoi farlo nell'apposito thread di Benvenuto

[Vituzzobello]

Scusatemi sono sempre io nn avevo capito che dvv scrivere in qst spazio bianco stavo trpp skiattando dal ridere a vedere gli 892 892... cmq il mio problema è qst...

Ho da poco messo Alice Flat 640 ed il tecnico venne ad installarla quando io nn c'ero cmq rimase il computer collegato e nn avevo l'aggiornamento fatto cosi da allora mi è stt segnalato questo virus W32.Spybot.Worm sul file Wincntrl.exe...

Inoltre il mio computer è di una lentezza unica su internet addirittura peggio che con la linea normale...può essere dovuto a tal virus???

Vi ringrazio x le risposte anticipatamente

120710[/snapback]

Dai un'occhiata qui... http://forum.wininizio.it/index.php?showtopic=14656

[Jack Bristow]

Terminata la scansione cn Panda, è uscito scritto IMPOSSIBILE VISUALIZZARE LA PAGINA, poi è uscito la richiesta di installare un programma che si kiama WINFixer che mi sta rompendo in una maniera grandiosa... Riprovo ad affrontare di nuovo la scansione sxando in esiti stavolta positivi...

[Steve Fox]

Allora aspetta a ritentare la scansione, fai una cosa: segui questa guida: http://forum.wininizio.it/index.php?showtopic=11422

Meglio se segui prima il punto 9 quindi postami il log di Hijack che vediamo quali schifezze hai nel computer

Dovrebbe comparire con questa voce:

O23 - Service: MS Dns Service (WinNet) - Unknown owner - C:\WINDOWS\system32\wincntrl.exe

ma questo lo verifichiamo dopo

[Vituzzobello]

Terminata la scansione cn Panda, è uscito scritto IMPOSSIBILE VISUALIZZARE LA PAGINA, poi è uscito la richiesta di installare un programma che si kiama WINFixer che mi sta rompendo in una maniera grandiosa... Riprovo ad affrontare di nuovo la scansione sxando in esiti stavolta positivi...

120780[/snapback]

Hai molte soluzioni in questo forum.... le solite comunque,

Antivirus aggiornato - tipo NOD32

Antispyware aggiornato - tipo Spybot Search & Destroy

Installa anche un firewall quando puoi - tipo Agnitum Outpost....

Esegui MSConfig per disabilitare tutti i programmi o servizi che creano problemi...

Segui questo link..... per informazioni utili....

http://forum.wininizio.it/index.php?showtopic=14375

[Jack Bristow]

Cmq ho evidenti problemi cn Internet Explorer, non posso effettuare la scansione cn panda,provo cn gli altri metodi ringrazio tutti x la collaborazione...

[Vituzzobello]

Cmq ho evidenti problemi cn Internet Explorer, non posso effettuare la scansione cn panda,provo cn gli altri metodi ringrazio tutti x la collaborazione...

120865[/snapback]

informaci passo passo e vediamo di risolvere il tuo problema....

coraggio

[Kuma]

Posta il log come consigliato...

Se il tuo problema è WINFIXER prova ad installarlo :andy:

Non scherzo.... guarda questa soluzione :

http://forum.wininizio.it/index.php?showtopic=11939

[Jack Bristow]

Beh sono tornato...ho avuto molti problemi con il computer in qst giorni ho provato a fare la scansione on line, ho provato con Hijack this,ed il computer puntualmente si spegneva o si inceppava...

A quel punto ho deciso di seguire la GUIDA CONTRO GLI SPYWARE ed ho installato Ad-Aware, Spybot Search and Destroy...il computer sembra reagire meglio e non da + di tanti problemi ma cmq su internet rimane ancora lento cm se non fosse con l'ADSL. a cosa può essere dovuto tale problema???Ringrazio x la maxi collaborazione...

P.S. Provvederò ad installare Hijack al + presto visto che ho avuto modo di vedere che è apprezzato in questo sito...

P.S.2 ESCE SPESSO COME PROBLEMA:"RUNDLL Errore durante il caricamento di oeow Impossibile trovare il modulo specificato"

Saluti da Jack Bristow :omaggi:

[Kuma]

Potresti essere infetto da qualcosa...

l'unico modo per saperlo è postarci il log di HIJACK

e nel frattenpo dai anche una passata con questo:

http://xthost.info/kuma215/BitDef/guida_a_...ender_free.html

comunque una scansione onLine la farei in ogni caso:

http://forum.wininizio.it/index.php?showtopic=10584

Scarica anche la VERSIONE DI PROVA di SpySweeper:

http://www.webroot.com/it/index.php

Aggiornala e fagli fare una scansione approfondita

NOTA che è una versione con scadenza a 30 giorni, tuttavia in questo periodo rimuove il Malware ed è quindi utile al nostro scopo...

Al termine puoi disinstallarla

[Jack Bristow]

Ho postato il log di Hijack This sxo in modo opportuno,aspetto cosa devo fare...

[Kuma]

Non hai postato nessun log

[Jack Bristow]

Logfile of HijackThis v1.99.1
Scan saved at 16.03.20, on 20/11/2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Classic PhoneTools\CapFax.exe
C:\WINDOWS\System32\keyhook.exe
C:\Programmi\Java\j2re1.4.2_05\bin\jusched.exe
C:\WINDOWS\eHA\command.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\File comuni\Logitech\QCDriver\LVCOMS.EXE
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nfomon\nfomon.exe
C:\WINDOWS\System32\vidmon\vidmon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\nortonav.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programmi\Alice ti aiuta\bin\mpbtn.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Norton AntiVirus\SAVScan.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
D:\Nuova cartella\HijackThis.exe

http://searchbar.findthewebsiteyouneed.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.findthewebsiteyouneed.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =http://gw.aliceadsl.it/home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://gw.aliceadsl.it/home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.findthewebsiteyouneed.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da Alice
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: MSEvents Object - {B313D637-F405-4052-AC37-E2119AB3C8F8} - C:\WINDOWS\System32\pmnlk.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [CapFax] C:\Programmi\Classic PhoneTools\CapFax.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\System32\keyhook.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\yernz.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [LVCOMS] C:\Programmi\File comuni\Logitech\QCDriver\LVCOMS.EXE
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programmi\File comuni\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [JVM0.14] C:\WINDOWS\System32\mpudnfi.exe
O4 - HKLM\..\Run: [Service] cAp.exe
O4 - HKLM\..\Run: [Norton Antivirus] nortonav.exe
O4 - HKLM\..\Run: [timessquare] C:\windows\timessquare.exe
O4 - HKLM\..\Run: [Nfo] C:\WINDOWS\System32\nfomon\nfomon.exe
O4 - HKLM\..\Run: [vidmon] C:\WINDOWS\System32\vidmon\vidmon.exe
O4 - HKLM\..\RunServices: [Service] cAp.exe
O4 - HKLM\..\RunServices: [Norton Antivirus] nortonav.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Norton Antivirus] nortonav.exe
O4 - HKCU\..\RunServices: [Norton Antivirus] nortonav.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: Avvio veloce di Microsoft Office OneNote 2003.lnk = C:\Programmi\Microsoft Office\OFFICE11\ONENOTEM.EXE
O4 - Global Startup: Alice ti aiuta.lnk = C:\Programmi\Alice ti aiuta\bin\matcli.exe
O8 - Extra context menu item: &Cerca con Google - res://C:\Programmi\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Traduci parola in italiano - res://C:\Programmi\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Link a ritroso - res://C:\Programmi\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pagine simili - res://C:\Programmi\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://C:\Programmi\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Alice - {3B10D117-DB68-40F3-8D8E-8C4485F13B08} - [url=http://gw.aliceadsl.it/alice]http://gw.aliceadsl.it/alice[/url] (file missing) (HKCU)
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://gw.aliceadsl.it/home
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - [url=http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab]http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab[/url]
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - [url=http://go.microsoft.com/fwlink/?linkid=39204]http://go.microsoft.com/fwlink/?linkid=39204[/url]
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - [url=http://spaces.msn.com//PhotoUpload/MsnPUpld.cab]http://spaces.msn.com//PhotoUpload/MsnPUpld.cab[/url]
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - [url=http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab]http://messenger.zone.msn.com/binary/Messe...nt.cab31267.cab[/url]
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - [url=http://acs.pandasoftware.com/activescan/as5free/asinst.cab]http://acs.pandasoftware.com/activescan/as5free/asinst.cab[/url]
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - [url=http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab]http://messenger.msn.com/download/MsnMesse...pDownloader.cab[/url]
O17 - HKLM\System\CCS\Services\Tcpip\..\{250FE1D3-FC71-49B4-AFA6-4625A5B3B15C}: NameServer = 85.37.17.11 151.99.125.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: jkhhg - jkhhg.dll (file missing)
O20 - Winlogon Notify: pmnlk - C:\WINDOWS\System32\pmnlk.dll
O20 - Winlogon Notify: SideBySide - C:\WINDOWS\system32\f4l02e3mgh.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\eHA\command.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: Servizio Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmi\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: MS Dns Service (WinNet) - Unknown owner - C:\WINDOWS\system32\wincntrl.exe (file missing)

[Jack Bristow]

Sxo che stavolta ho postato bene il log...

[Jack Bristow]

Qualcuno può dirmi cosa devo fare ora??????????'

[Kuma]

Perfetto... hai solo dimenticato di racchiudere il log tra i tag CODE (l'ho fatto io) adesso te lo controllo dammi 5 minuti

[Jack Bristow]

TI RINGRAZIO X LA COLLABORAZIONE CON IL TEMPO IMPARERO' ANKE A POSTARE IL LOG CM SI DV...

[Kuma]

Prima di procedere scaricati questi programmi quelli che ti mancano e quelli che lo richiedono, AGGIORNALI

SpyBot 1.4

Ad_Aware 1.06 + Languages (ITA)

CwShredder

SpyWare Blaster (Protezioni)

RegSeeker (Pulizia del Registro)

Ccleaner (pulizia file inutili)

Scarica anche il FixBUDDY

*************

Il sistema è MOLTO infetto !

Esegui queste operazioni ------ > (Stampa la pagina)

Assicurati che l'opzione "Visualizza cartelle e file nascosti" sia attivata.

(Pannello di controllo > Opzioni Cartella > Visualizzazione)

Disabilita il Ripristino di configurazione su tutte le unità

(nota che questo ELIMINERà TUTTI i punti di ripristino, quindi se non riscontri più problemi, crea almeno un nuovo punto di ripristino dopo questa procedura)

Avvia il sistema in Modalità Provvisoria

Avvia il FixBUDDY

.Avvia Hijack e clicca su "do a system scan only"

Metti la spunta a queste voci (potrebbero non esseci tutte) e clicca su "fix checked

C:\WINDOWS\eHA\command.exe (Virus)

C:\WINDOWS\System32\vidmon\vidmon.exe (SpyWare)

C:\WINDOWS\System32\nortonav.exe (Virus)

O2 - BHO: MSEvents Object - {B313D637-F405-4052-AC37-E2119AB3C8F8} - C:\WINDOWS\System32\pmnlk.dll (???)

O4 - HKLM\..\Run: [Norton Antivirus] nortonav.exe (Virus)

O4 - HKLM\..\Run: [timessquare] C:\windows\timessquare.exe (Trojan)

04 - HKLM\..\Run: [vidmon] C:\WINDOWS\System32\vidmon\vidmon.exe

O4 - HKLM\..\RunServices: [Norton Antivirus] nortonav.exe

O4 - HKCU\..\Run: [Norton Antivirus] nortonav.exe

O4 - HKCU\..\RunServices: [Norton Antivirus] nortonav.exe

O20 - Winlogon Notify: jkhhg - jkhhg.dll (file missing)

O20 - Winlogon Notify: pmnlk - C:\WINDOWS\System32\pmnlk.dll

O20 - Winlogon Notify: SideBySide - C:\WINDOWS\system32\f4l02e3mgh.dll

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\eHA\command.exe

O23 - Service: MS Dns Service (WinNet) - Unknown owner - C:\WINDOWS\system32\wincntrl.exe (file missing)

Trova e se ci sono elimina questi files

C:\WINDOWS\eHA <-- cartella

C:\WINDOWS\System32\vidmon<-- cartella

pmnlk.dll (in C:/Windows/System32)

nortonav.exe

timessquare.exe (in C:/Windows)

Sempre dalla modalità provvisoria ripeti le scansioni di sicurezza

(SpyBot, e Ad-Aware e antivirus AGGIORNATI) ... APPLICA LE PROTEZIONI DI CwShredder e SpyWare Blaster.

Pulisci il registro con RegSeeker

Dai anche una ripulita a Cache e Cookies e file prefetch (XP) con: Ccleaner

(non modificare le opzioni)

Riavvia il pc in modalità normale ristabilisci il ripristino di configurazione

Collegati per una scansione On-line a:

Kaspersky <-----

rifai il log e mettilo qui nuovamente

NB___se le voci non compaiono in modalità provvisoria vanno fissate da quella normale.

Ricordati di creare un nuovo punto di RIPRISTINO al termine di questa procedura

_____________________________________________

Questa è solo la prima passata... nel log ci sono altre voci fortemente sospette (probabili virus)

Per il momento fissa queste voci, e fai la scansione su KASPERSKY poi ripostami il log che ti dico cosa manca da fissare e le ultime cose che devi fare

E non scrivere tutto in maiuscolo che secondo le regole di Internet equivale ad urlare... grazie

[Jack Bristow]

URGENTE!!! anzi URGENTISSIMO!!! Seguivo la procedura sopraindicata da Kuma e quando accendo il pc cn modalità provvisoria lo skermo dopo la scelta dell'utente ADMINISTRATOR o USER rimane sempre nero e compare solo,mentre si sta caricando,un messaggio che subito scompare in cui si fa una domanda che data la velocità nn riesco a leggere son arrivato tramite acrobazie cn il mouse a cliccare sia su si che su no ma la situazione nn cambia...ora sn connesso da un altro pc ed aspetto AIUTI...sn DISPERATO...

[Steve Fox]

Ciao Jack, ma dalla modalità normale ti si avvia ancora?

E ricorda: di urgente c'è solo la pipì che scappa la mattina :P

[Jack Bristow]

Non si avvia manco in modalità normale,esce sempre quella PROVVISORIA...ho provato premendo sempre F8 all'inizio...ora cm la mettiamo???

[Jack Bristow]

QUALCUNO che MI AIUTA!!!!!!!!!!!!!VI PREGO!!!!!!!!!!!!!!!!!!! HO BISOGNO URGENTE DI RECUPERARE IL MIO PC!!!!!!!!!