Aiutooo Virus!

evenescence82 · November 21, 2007

Salve a tutti..Scrivo dal mio portatile..Poco fa il mio pc fisso è stato infettato..Avast mi continua a rilevare Adware e Cavallo di tr**a..Faccio la scansione e tento più e più volte a cancellare i virus..ma continuano a persistere..Cosa devo fare??non me ne intendo di virus e non so davvero come fare..aiutatemi al più presto..

Grazie.. :sigh: :sigh:

evenescence82 · November 21, 2007

queste sono le finestre che continuano ad apparirmi

http://xs121.xs.to/xs121/07473/IMG_0822.JPG

http://xs121.xs.to/xs121/07473/IMG_0823.JPG

http://xs121.xs.to/xs121/07473/IMG_0825.JPG

http://xs121.xs.to/xs121/07473/IMG_0826.JPG

ste_95 · November 22, 2007

in attesa che un moderatore ti sposti, fai così:

Scarica HiJackThis

Salvalo in una cartella (non aprirlo direttamente, sennò non farà i backup!)

Apri l'eseguibile

Clicca quindi su "Do a System Scan and Save a Logfile"

Attendi che finisca la scansione

Quindi copia il contenuto del blocco note qui sul forum.

Maghetto_ · November 22, 2007

Come anticipato da Ste_95 sposto nella sezione Hijackthis dove potrai trovare un aiuto specifico al tuo problema. ;-)

$angelique!? · November 22, 2007

Ciao even,

preleva l'ultima versione di VirIT. (non crea conflitti)

http://www.tgsoft.it/italy/download.htm

Installalo, avvialo, aspetta il termine del controllo della memoria, ed AGGIORNALO (importante)

poi fai la scansione completa del sistema (salva il log e postalo)

posta anche un log di Hijackthis

evenescence82 · November 22, 2007

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14.20.05, on 22/11/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16544)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe

C:\Programmi\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\SYSTEM32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Programmi\IVT Corporation\BlueSoleil\BTNtService.exe

C:\Programmi\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\tmhwwcas.exe

C:\WINDOWS\system32\tcpsvcs.exe

C:\WINDOWS\system32\svchost.exe

C:\Programmi\Canon\CAL\CALMAIN.exe

C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe

C:\Programmi\Alwil Software\Avast4\ashWebSv.exe

C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe

C:\Programmi\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\ALCWZRD.EXE

C:\Programmi\ATI Technologies\ATI.ACE\cli.exe

C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe

C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe

C:\Programmi\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Programmi\iTunes\iTunesHelper.exe

C:\WINDOWS\system32\wcnsvc.exe

C:\Programmi\PC Connectivity Solution\ServiceLayer.exe

C:\Programmi\Microsoft Student\Microsoft Encarta 2007 - Premium + Student DVD\EDICT.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Programmi\FreeSoft\Uranium\Uranium.exe

C:\Programmi\IVT Corporation\BlueSoleil\BlueSoleil.exe

C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hposol08.exe

C:\Programmi\iPod\bin\iPodService.exe

C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\Programmi\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Programmi\ATI Technologies\ATI.ACE\cli.exe

C:\WINDOWS\system32\rundll32.exe

C:\Programmi\Internet Explorer\iexplore.exe

C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti

R3 - URLSearchHook: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programmi\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing)

O3 - Toolbar: Encarta Web Companion - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Programmi\File comuni\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL

O3 - Toolbar: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programmi\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing)

O3 - Toolbar: Security Toolbar - {11A69AE4-FBED-4832-A2BF-45AF82825583} - C:\WINDOWS\system32\wgoukcis.dll

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [share-to-Web Namespace Daemon] C:\Programmi\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [ATICCC] "C:\Programmi\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay

O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s

O4 - HKLM\..\Run: [3DNADesktop] "C:\Programmi\3DNA\Resources\3dnasys.exe" -open

O4 - HKLM\..\Run: [userFaultCheck] %systemroot%\system32\dumprep 0 -u

O4 - HKLM\..\Run: [h3yb0y] C:\WINDOWS\SYSTEM32\DRIVERS\etc\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\service.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\conf.dll

O4 - HKLM\..\Run: [h3yb0y1] C:\WINDOWS\SYSTEM32\DRIVERS\etc\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\system.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\serv-u.ini

O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup

O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [Windows Logical Connection] wcnsvc.exe

O4 - HKLM\..\Run: [fcf640f5] rundll32.exe "C:\WINDOWS\system32\vfsbhbto.dll",b

O4 - HKCU\..\Run: [L07IXLRD_21392281] "C:\Programmi\Microsoft Student\Microsoft Encarta 2007 - Premium + Student DVD\EDICT.EXE" -m

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [updateMgr] "C:\Programmi\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1

O4 - HKCU\..\Run: [uranium] C:\Programmi\FreeSoft\Uranium\Uranium.exe reg

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: BlueSoleil.lnk = ?

O4 - Global Startup: hp psc 2000 Series.lnk = C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

O4 - Global Startup: officejet 6100.lnk = ?

O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: Barra di ricerca di Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programmi\File comuni\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe

O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://a1540.g.akamai.net/7/1540/52/200610...ex/qtplugin.cab

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Programmi\Yahoo!\Common\Yinsthelper.dll

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://ladyevenworld.spaces.live.com//Phot...ad/MsnPUpld.cab

O16 - DPF: {55027008-315F-4F45-BBC3-8BE119764741} (Slide Image Uploader Control) - http://www.slide.com/uploader/SlideImageUploader.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/...b?1164444945476

O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} - http://download.divx.com/player/DivXBrowserPlugin.cab

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdat...b?1172161485781

O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://cid-1336ff4f3459a1e0.spaces.live.co...ad/MsnPUpld.cab

O16 - DPF: {A8482EAF-A1F3-4934-AE3F-56EB195A50BF} (DeskUpdate - Activex Control) - http://support.fujitsu-siemens.de/DeskUpda...api/activex.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shoc...ash/swflash.cab

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL

O20 - AppInit_DLLs: C:\WINDOWS\system32\__c0060F79.dat

O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File comuni\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Programmi\IVT Corporation\BlueSoleil\BTNtService.exe

O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programmi\Bonjour\mDNSResponder.exe

O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Programmi\Canon\CAL\CALMAIN.exe

O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Programmi\File comuni\Symantec Shared\ccSvcHst.exe (file missing)

O23 - Service: DomainService - - C:\WINDOWS\system32\tmhwwcas.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe

O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe

O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programmi\File comuni\Sony Shared\AVLib\MSCSPTISRV.exe

O23 - Service: PACSPTISVR - Unknown owner - C:\Programmi\File comuni\Sony Shared\AVLib\PACSPTISVR.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Programmi\File comuni\Sony Shared\AVLib\SsBeSvc.exe

O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programmi\File comuni\Sony Shared\AVLib\SPTISRV.exe

O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Programmi\File comuni\Sony Shared\AVLib\SSScsiSV.exe

--

End of file - 12383 bytes

ste_95 · November 22, 2007

Disattiva il ripristino e avvia in modalità provvisoria,

avvia HijackThis, seleziona Do a system scan only, metti la spunta alle voci indicate e premi Fix checked

R3 - URLSearchHook: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programmi\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing)

O3 - Toolbar: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programmi\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing)

O3 - Toolbar: Security Toolbar - {11A69AE4-FBED-4832-A2BF-45AF82825583} - C:\WINDOWS\system32\wgoukcis.dll

O4 - HKLM\..\Run: [h3yb0y] C:\WINDOWS\SYSTEM32\DRIVERS\etc\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\service.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\conf.dll

O4 - HKLM\..\Run: [h3yb0y1] C:\WINDOWS\SYSTEM32\DRIVERS\etc\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\system.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\serv-u.ini

O4 - HKLM\..\Run: [Windows Logical Connection] wcnsvc.exe

O4 - HKLM\..\Run: [fcf640f5] rundll32.exe "C:\WINDOWS\system32\vfsbhbto.dll",b

O20 - AppInit_DLLs: C:\WINDOWS\system32\__c0060F79.dat

Scarica Avenger

Estrailo in una cartella a tua scelta

Esegui il file avenger.exe con la figura di una spada

Metti il pallino su input script manually

Quindi scegli la lente e cliccaci

Ora incolla queste righe nella box bianca che si è aperta:

Files to delete:

C:\WINDOWS\system32\wcnsvc.exe

C:\WINDOWS\system32\wgoukcis.dll

C:\WINDOWS\SYSTEM32\DRIVERS\etc\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\service.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\conf.dll

C:\WINDOWS\SYSTEM32\DRIVERS\etc\system.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\serv-u.ini

O4 - HKLM\..\Run: [Windows Logical Connection] wcnsvc.exe

C:\WINDOWS\system32\vfsbhbto.dll

C:\WINDOWS\system32\__c0060F79.dat

Adesso devi cliccare su Done in basso nella box

Seleziona il semaforino in alto a destra

Rispondi di Si alle due richieste di Avenger

Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente

Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

evenescence82 · November 22, 2007

scusami l'ignoranza ma come si fa a Disattivare ii ripristino e avviare in modalità provvisoria?

ste_95 · November 22, 2007

guarda il link che ti sto per mandare il pm

evenescence82 · November 22, 2007

scusami ma sta facendo la scansione con VirIT che mi ha consigliato angelique e mi ha trovato e rimosso dei file infetti..Ho fatto bene a seguire il consiglio?avenger è un programma simile?

cosa faccio quando finisce la scansione?seguo le tue istruzioni?

grazie della disponibilità..

ste_95 · November 22, 2007

se hai fatto la scansione con virit (ottimo antivirus), fallo finire e alla fine postane il log, quindi, posta anche un log aggiornato di hiajckthis

evenescence82 · November 22, 2007

OK

Steve75 · November 22, 2007

Ciao even,

fai cosi; (per adesso avenger non serve)

* Assicurati di avere accesso a file e cartelle nascosti

(Pannello di controllo-> Opzioni Cartella-> Visualizzazione)

1) metti la spunta su: Visualizza file e cartelle nascoste

2) Disattiva: nascondi file protetti di sistema

* disattiva il ripristino configurazione di sistema

* Avvia in modalità provvisoria

Avvia hijackthis, metti la spunta alle voci che andro ad elencarti e con tutte le applicazioni chiuse e disconnesso da Internet,premi su fix checked

O3 - Toolbar: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programmi\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing)

O3 - Toolbar: Security Toolbar - {11A69AE4-FBED-4832-A2BF-45AF82825583} - C:\WINDOWS\system32\wgoukcis.dll

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [h3yb0y] C:\WINDOWS\SYSTEM32\DRIVERS\etc\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\service.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\conf.dll

O4 - HKLM\..\Run: [h3yb0y1] C:\WINDOWS\SYSTEM32\DRIVERS\etc\LSASS.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\system.exe C:\WINDOWS\SYSTEM32\DRIVERS\etc\serv-u.ini

O4 - HKLM\..\Run: [Windows Logical Connection] wcnsvc.exe

O4 - HKLM\..\Run: [fcf640f5] rundll32.exe "C:\WINDOWS\system32\vfsbhbto.dll",b

O20 - AppInit_DLLs: C:\WINDOWS\system32\__c0060F79.dat

O23 - Service: DomainService - - C:\WINDOWS\system32\tmhwwcas.exe

Cerca ed elimina;

C:\WINDOWS\system32\tmhwwcas.exe

C:\WINDOWS\system32\wcnsvc.exe

C:\WINDOWS\system32\wgoukcis.dll

C:\WINDOWS\system32\__c0060F79.dat

* Dai una ripulita a cookie,cache e prefetch con Ccleaner

(Quando lo installi ricordati che se lasci le spunte di defuat ,verrà installata anche la toolbar yahoo)

(prima di usarlo vai in Opzioni/avanzate e togli la spunta da :Elimina file temp di Windows solo se piu vecchi di 48 ore)

* Ritorna in modalità normale e posta un log aggiornato HJT, quello di Virit, e quello dello scan online che segue

* Fai anche uno scan online Kaspersky in questo modo

**PS_Dovresti installare un firewall diverso da quello di windows -> QUI

_____________________________________________

Alla fine delle procedure di pulizia è fondamentale :

1) ri-nascondere i file e le cartelle di sistema

2) Riattivare il ripristino configurazione di sistema (XP / ME)

3) Creare un nuovo punto di ripristino

evenescence82 · November 22, 2007

Virit ha finito di fare la scansione

VirIT eXplorer Lite Log

[sCANSIONE DELLA MEMORIA]

OK

[sCANSIONE DELLA MEMORIA]

OK

--------------------------------------------------------

22/11/2007 - 14:38:09

[sCANSIONE DEL REGISTRO]

{1A0AADCD-3A72-4b5f-900F-E3BB5A838E2A} Infetto da BHO.Softomate.D

* * * RIMOSSO * * *

{11A69AE4-FBED-4832-A2BF-45AF82825583} Infetto da Trojan.Win32.Vundo.CA

* * * RIMOSSO * * *

[C:]

MASTER BOOT RECORD: OK

BOOT SECTOR: OK

C:\Documents and Settings\ladyeven\Impostazioni locali\Temporary Internet Files\Content.IE5\5MLTM7DQ\upd32_v14[1] Infetto da Trojan.Win32.Vundo.CA

* * * RIMOSSO * * *

C:\Documents and Settings\ladyeven\Impostazioni locali\Temporary Internet Files\Content.IE5\ESPEITHQ\mosx1024[1] Infetto da Trojan.Win32.Agent.BFS

* * * RIMOSSO * * *

C:\Documents and Settings\ladyeven\Impostazioni locali\Temporary Internet Files\Content.IE5\JM57H2EX\hctp[1] Infetto da Trojan.Win32.Vundo.CA

* * * RIMOSSO * * *

C:\Documents and Settings\ladyeven\Impostazioni locali\Temporary Internet Files\Content.IE5\LNXIEOVL\pochki20071106[1] Infetto da Trojan.Win32.Agent.AYL

* * * RIMOSSO * * *

C:\WINDOWS\system32\etthacyd.dll Infetto da Trojan.Win32.Vundo.CA

* * * RIMOSSO * * *

C:\WINDOWS\system32\hlqaojny.dll Infetto da Trojan.Win32.Agent.BFS

* * * RIMOSSO * * *

C:\WINDOWS\system32\tmhwwcas.exe Infetto da Trojan.Win32.Agent.AYL

* * * RIMOSSO * * *

C:\WINDOWS\system32\vfsbhbto.dll Infetto da Trojan.Win32.Vundo.CA

Il file sarà spostato nella cartella di quarantena.

C:\WINDOWS\system32\wgoukcis.dll Infetto da Trojan.Win32.Vundo.CA

Il file sarà spostato nella cartella di quarantena.

C:\WINDOWS\system32\__c0060F79.dat Infetto da Trojan.Win32.Agent.BFS

Il file sarà spostato nella cartella di quarantena.

Chiavi Registro infette: 2.

Files Infetti: 10.

Files Sospetti: 0.

Files Analizzati: 141434.

Files Totali: 141434.

Chiavi Registro rimosse: 2.

Virus Rimossi: 7.

Adesso puoi RIAVVIARE il computer per spostare il file nella cartella di quarantena.

Ho riavviato e mi esce questa finestra:

http://xs221.xs.to/xs221/07474/IMG_0837.JPG

non mi si aprono tantissime finestre uguali come queste:

http://xs221.xs.to/xs221/07474/IMG_0829.JPG

http://xs221.xs.to/xs221/07474/IMG_0830.JPG

ho rifatto la scansione hijackthis:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 16.13.52, on 22/11/2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16544)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\SYSTEM32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe

C:\Programmi\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\SYSTEM32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe

C:\Programmi\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\ALCWZRD.EXE

C:\Programmi\ATI Technologies\ATI.ACE\cli.exe

C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe

C:\Programmi\Microsoft Office\Office12\GrooveMonitor.exe

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Programmi\IVT Corporation\BlueSoleil\BTNtService.exe

C:\Programmi\iTunes\iTunesHelper.exe

C:\Programmi\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe

C:\Programmi\Bonjour\mDNSResponder.exe

C:\WINDOWS\system32\wcnsvc.exe

C:\VEXPLITE\MONLITE.EXE

C:\Programmi\Microsoft Student\Microsoft Encarta 2007 - Premium + Student DVD\EDICT.EXE

C:\WINDOWS\system32\ctfmon.exe

C:\Programmi\FreeSoft\Uranium\Uranium.exe

C:\WINDOWS\system32\tcpsvcs.exe

C:\WINDOWS\system32\svchost.exe

C:\VEXPLITE\viritsvc.exe

C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe

C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hposol08.exe

C:\Programmi\Canon\CAL\CALMAIN.exe

C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe

C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe

C:\Programmi\Alwil Software\Avast4\ashWebSv.exe

C:\Programmi\PC Connectivity Solution\ServiceLayer.exe

C:\Programmi\iPod\bin\iPodService.exe

C:\Programmi\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe

C:\Programmi\ATI Technologies\ATI.ACE\cli.exe

C:\Programmi\Internet Explorer\IEXPLORE.EXE

C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tgsoft.it/

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti

R3 - URLSearchHook: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programmi\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing)

O3 - Toolbar: Encarta Web Companion - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Programmi\File comuni\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL

O3 - Toolbar: SweetIM For Internet Explorer - {BC4FFE41-DE9F-46fa-B455-AAD49B9F9938} - C:\Programmi\Macrogaming\SweetIMBarForIE\toolbar.dll (file missing)

O3 - Toolbar: Security Toolbar - {11A69AE4-FBED-4832-A2BF-45AF82825583} - C:\WINDOWS\SYSTEM32\wgoukcis.dll