anti-malware/virus?

Utente grado 1 Registrato: 15/11/05 20:32 Messaggi: 47

ciao, dopo un'accurata ricerca sulla rete, credo di essere vittima di questa roba qua

http://www.ilbloggatore.com/2009/04/12/impazza-la-pubblicita-di-software-fasullo-anti-malware/

ieri sera in pratica ha fatto tutto da solo, si è installato l'anti malware e poi mi riscontrava continuamente trojan/malware...mi ha disattivato l'antivirus (avira antivir, che ora è morto e non si avvia più), mi ha installato tutti collegamenti a siti tipo youporn e affini sul desktop e in più mi apriva una finestra ogni due secondi per dirmi che il pc era attaccato da virus.
ho preso e visto che il mio antivirus era andato ho scaricato ad adware per fare una scansione...alla fine dell'installazione mi ha detto di riavviare il pc.
l'ho fatto. ora ogni volta che avvio normalmente, il pc mi va in blocco.
attualmente sto in modalità provvisoria e qui sembra vada tutto bene...anche se ho scaricato spybot e non me lo apre...sono praticamente senza antivirus perchè li ha bloccati TUTTI.
come faccio?? ah e mia sorella mi ha chiamata stamattina perchè le è successa la stessa identica cosa. le ho detto di non riavviare finchè non avessi scoperto cosa diavolo è successo.
aiutooooo!

Inviato: Ven Gen 22, 2010 5:02 pm

prova così :
1) disattiva "ripristino configurazione di sistema" e prova a riavviare
se parte fai una scansione online.

2) scarica clamwin
http://portableapps.com/apps/utilities/clamwin_portable
lo metti su una pennetta e fai la scansione
ci sarebbe anche se riesci ad entrare in modalità normale questo:
http://www.aiutamici.com/software?ID=11175

Utente grado 1 Registrato: 15/11/05 20:32 Messaggi: 47

fatte scansioni online e risulta tutto a posto, non rileva niente. in modalità normale non ce la fa proprio a entrare, ovvero si ci entra ma poi passano pochi minuti e si blocca.
mia sorella ha detto che da lei che non ha riavviato continua ad apparire la solita finestrella ogni tot minuti che dice che il computer è attaccato.

Inviato: Ven Gen 22, 2010 5:52 pm

fai fare una scansione con questo :
http://software.aiutamici.com/software?ID=80346

hai scaricato Hijack This ?

Utente grado 1 Registrato: 15/11/05 20:32 Messaggi: 47

scaricati entrambi, ma non me li installa. non li apre proprio. però nei processi del task manager risultano operativi

Inviato: Ven Gen 22, 2010 7:00 pm

ummm...con il primo non so se funziona provato con Hijack ...chiudi i processi nel task rinomina Hijack (una cosa a caso anche pippo) e prova a farlo ripartire se tutto Ok nel link sopra spiega come controllare il log ...altrimenti copia e incolla qui che diamo un'occhiata

+ info http://steven.altervista.org/files/bagle.html

sempre che si tratti dello stesso "verme"

Utente grado 1 Registrato: 15/11/05 20:32 Messaggi: 47

allora hijack proprio zero non me lo apre...non mi apre praticamente niente che si avvicini minimamente a un antivirus
da mia sorella sono riuscita a eliminare parazialmente il problema (era un troijan, anzi E' un troian visto che continua a rigenerarsi e bloccare qualsiasi installazione di antivirus) attraverso una scansione online e l'eliminazione con RegCleaner...qua sul mio invece sto ancora in modalità provvisoria e non riesco a fare nulla!!

Inviato: Sab Gen 23, 2010 3:12 pm

x tua sorella ....ha disattivato il "ripristino configurazione di sistema" ? è necessario disattivarlo altrimenti ad ogni riavvio lo ricarica.
se sai il nome del trojan fai una ricerca in rete dovresti trovare indicazioni per qualche "tool" specifico.

x te se non sappiamo di che si tratta è difficile procedere, facciamo un'altro tentativo così:
scarica ed installa su una pennetta poi dalla pennetta prova a fare una scansione

http://www.portableshare.com/HijackThis-Portable.html

http://www.portableshare.com/category/Antivirus-Spyware.html

Utente grado 1 Registrato: 15/11/05 20:32 Messaggi: 47

sono riuscita ad avviare hijack!
ecco il log

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22.02.04, on 23/01/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16915)
Boot mode: Safe mode with network support

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Evernote\Evernote3\Evernote.exe
C:\Programmi\Evernote\Evernote3\EvernoteTray.exe
C:\Programmi\RegCleaner\RegCleanr.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [Collegamento alla pagina delle proprietà di High Definition Audio] HDAShCut.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
O4 - HKLM\..\Run: [DetectorApp] C:\Programmi\Sonic\DigitalMedia LE v7\MyDVD LE\DetectorApp.exe
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\FILECO~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Programmi\File comuni\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Programmi\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [ArcSoft Connection Service] C:\Programmi\File comuni\ArcSoft\Connection Service\Bin\ACDaemon.exe
O4 - HKCU\..\Run: [SmpcSys] C:\APPS\SMP\SmpSys.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [VeohPlugin] "C:\Programmi\Veoh Networks\VeohWebPlayer\veohwebplayer.exe"
O4 - HKCU\..\Run: [extrac64_cab.exe] C:\DOCUME~1\Utente\IMPOST~1\Temp\extrac64_cab.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: LimeWire On Startup.lnk = C:\Programmi\LimeWire\LimeWire.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programmi\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O8 - Extra context menu item: Add to Evernote - res://C:\Programmi\Evernote\Evernote3\enbar.dll/2000
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Add to Evernote - {E0B8C461-F8FB-49b4-8373-FE32E9252800} - C:\Programmi\Evernote\Evernote3\enbar.dll
O9 - Extra 'Tools' menuitem: Add to Evernote - {E0B8C461-F8FB-49b4-8373-FE32E9252800} - C:\Programmi\Evernote\Evernote3\enbar.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft Inc. - C:\Programmi\File comuni\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programmi\File comuni\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: USBDeviceService - Unknown owner - C:\Programmi\Sonic\DigitalMedia LE v7\MyDVD LE\USBDeviceService.exe

--
End of file - 7365 bytes

Inviato: Sab Gen 23, 2010 10:31 pm

questo è da fixare "Fix Checked" (da fare in modalità provvisoria)

Codice:

O4 - HKCU\..\Run: [extrac64_cab.exe] C:\DOCUME~1\Utente\IMPOST~1\Temp\extrac64_cab.exe

chiudi HijackThis e "pulisci" con CCleaner
fai una scansione con "Malwarebytes Anti-Malware" (ho postato il link in un topic precedente)

Utente grado 1 Registrato: 15/11/05 20:32 Messaggi: 47

ho fixed con hijack e pulito con ccleaner ma malwarebytes non me lo installa...in compenso una scansione online mi ha dato risultato

a variant of Win32/Kryptik.BXQ trojan contained infected files

e non riesco a liberarmi di questo maledetto trojan.

Inviato: Sab Gen 23, 2010 11:33 pm

ma il log che che hai postato è stato fatto in "modalità provvisoria" ?

Utente grado 1 Registrato: 15/11/05 20:32 Messaggi: 47

si, in modalità normale il pc non lavora. si blocca dopo pochi secondi

Inviato: Sab Gen 23, 2010 11:57 pm

HijackThis deve lavorare in modalità normale per poter vedere il trojan ...

prova a farlo manualmente così: "how to delete Trojan"
http://www.411-spyware.com/remove-trojan-downloader-win32-agent-bq#how-to-remove

Utente grado 1 Registrato: 15/11/05 20:32 Messaggi: 47

non mi apre il link!