Valutazione 4.87/ 5 (100.00%) 5838 voti

Condividi:        

ADSL/libero che si autosconnette.

Discussioni e opinioni costruttive sul mondo dell'informatica.
Per la soluzione di problemi specifici fare riferimento alle sezioni di assistenza!

Moderatori: aurelio37, axelrox

Postdi zena » 18/10/05 19:47

certo che ho letto, infatti mi sono anche scaricato il programma, ma è un casino usarlo.... chiedevo se potevate gentilmente darmi una mano visto che non sono molto istruito su ste cose.... grazie
zena
Utente Junior
 
Post: 80
Iscritto il: 18/10/05 18:58

Sponsor
 

Postdi Dylan666 » 18/10/05 19:59

Metti HijackThis in una cartella, avvialo, premi il primo bottone in alto e copia qui il contenuto del file LOG
Avatar utente
Dylan666
Moderatore
 
Post: 38040
Iscritto il: 18/11/03 16:46

Postdi zena » 18/10/05 20:23

questo è quello che mi dice HijackThis:


Logfile of HijackThis v1.99.1
Scan saved at 21.21.54, on 18/10/2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\CARPSERV.EXE
C:\PROGRAMMI\TEXTBRIDGE CLASSIC 2.0\BIN\INSTANTACCESS.EXE
C:\WINDOWS\SYSTEM\E_S10IC2.EXE
C:\KMAESTRO\KMAESTRO.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAMMI\MUSICMATCH\MUSICMATCH JUKEBOX\MM_TRAY.EXE
C:\WINDOWS\SM56HLPR.EXE
C:\WINDOWS\VOLUME.EXE
C:\WINDOWS\MSNCOMM.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\TWAIN_32\600CU\WATCH.EXE
C:\WINDOWS\MSNCOMM.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMMI\WINRAR\WINRAR.EXE
C:\WINDOWS\TEMP\RAR$EX00.505\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: PK IE Plugin - {1E1B2879-88FF-11D3-8D96-D7ACAC95951A} - C:\WINDOWS\SYSTEM\BPKWB.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O3 - Toolbar: @msdxmLC.dll,-1@1040,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [SiSAudio] C:\WINDOWS\SYSTEM\MP_S3.exe
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\BIN\INSTAN~1.EXE /h
O4 - HKLM\..\Run: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.EXE
O4 - HKLM\..\Run: [EPSON Stylus C62 Series] C:\WINDOWS\SYSTEM\E_S10IC2.EXE /P23 "EPSON Stylus C62 Series" /O5 "LPT1:" /M "Stylus C62"
O4 - HKLM\..\Run: [KeyMaestro] C:\KMAESTRO\KMaestro.exe
O4 - HKLM\..\Run: [MMTray] C:\Programmi\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programmi\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [VolControl] C:\WINDOWS\VOLUME.EXE -i
O4 - HKLM\..\Run: [Timer] C:\WINDOWS\msncomm.exe /i
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.EXE
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Regrun2] C:\PROGRA~1\GREATIS\REGRUN~1\WatchDog.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\PROGRAMMI\ICQLITE\ICQLITE.EXE -trayboot
O4 - Startup: Watch.lnk = C:\WINDOWS\TWAIN_32\600CU\WATCH.exe
O4 - Startup: Ulead Photo Express Calendar Checker.lnk = C:\Programmi\Ulead Photo Express 4.0 Trial\CalCheck.exe
O4 - Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programmi\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programmi\ICQLite\ICQLite.exe
O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab
O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab
O16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cab
O16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/Mi ... b31267.cab



grazie
zena
Utente Junior
 
Post: 80
Iscritto il: 18/10/05 18:58

Postdi Dylan666 » 18/10/05 20:28

Riapri il programmma, stavolta premi il SECONDO bottone. Metti il segno vicino a queste righe che ti indico e premi Fix:

C:\WINDOWS\VOLUME.EXE - Sconosciuto
C:\WINDOWS\MSNCOMM.EXE - Sconosciuto
C:\WINDOWS\MSNCOMM.EXE - Sconosciuto
O2 - BHO: PK IE Plugin - {1E1B2879-88FF-11D3-8D96-D7ACAC95951A} - C:\WINDOWS\SYSTEM\BPKWB.DLL - Sospetto
O4 - HKLM\..\Run: [VolControl] C:\WINDOWS\VOLUME.EXE -i - Sconosciuto
O4 - HKLM\..\Run: [Timer] C:\WINDOWS\msncomm.exe /i - Sconosciuto
O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab - Sospetto
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab - Sospetto
O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab - Sospetto
O16 - DPF: {33331111-1111-1111-1111-622221193458} - file://c:\ex.cab - Sospetto
O16 - DPF: {43331111-1111-1111-1111-611111195622} - file://c:\ex.cab - Sospetto
Avatar utente
Dylan666
Moderatore
 
Post: 38040
Iscritto il: 18/11/03 16:46

Postdi zena » 18/10/05 20:36

ok fatto...dovrei essere a posto ora?
zena
Utente Junior
 
Post: 80
Iscritto il: 18/10/05 18:58

Postdi Dylan666 » 18/10/05 21:16

Se il problema è risolto allora prendi i file chiamati in causa da quelle chiavi e cestinali.
Avatar utente
Dylan666
Moderatore
 
Post: 38040
Iscritto il: 18/11/03 16:46

fatto...

Postdi frankt » 19/10/05 08:01

X l'utente che ha problemi con SECVCHOST: leggi con attenzione quanto scritto prima, come ti ha consigliato dilan666...e cerca di trarre spunto per la disinfezione.

X TUTTI DICO CIO' : Ho rimosso dal sistema SNDMEN.EXE e MSNCOMM.EXE sostanzialmente sospetti in quanto "simili" a ben noti file di sistema. Dal momento della rimozione dei due file, non viene più richiamato durante la navigazione il file secvchost.exe....in sostanza non c'è attiva la routine del trojan..e dunque il sottoscritto bastardo non cerca d'entrare!
Adesso non so se affermare al 100% che i due file erano strettissimamente collegati al SECVCHOST.EXE ma di certo questo ora non compare più.
Su un forum di virgilio nel quale ho scritto un ragazzo ha l'identico problema con windows 98, ed ha come antivirus l'ANTIVIR P.E. (freeware) dunque possiamo dire che la vulnerabilità del trojan...è..ad ampio spettro, e non riguarda solo Xp pro.

per l'UTENTE PRECEDENTE, fai una scansione con HAIJACKTHIS e metti qui il file .log creato.
Al resto ci pensano gli altri.
ciao e....
la storia continua....
frankt
Utente Junior
 
Post: 14
Iscritto il: 17/10/05 12:14

PER DILAN

Postdi frankt » 19/10/05 08:03

ops...non avevo visto che gli avevi già corretto il registro con haijack.....

ascolta NON TROVO assolutamente i file msncomm.exe e sndmen.exe, non esistono sulla macchina, come è possibile? grande abilità del trojan..o pura coincidenza? comunque il sistema è pulito (come da post precedente)!

dammi un'idea sulla loro scomparsa dopo il fix!
frankt
Utente Junior
 
Post: 14
Iscritto il: 17/10/05 12:14

Postdi Dylan666 » 19/10/05 11:08

Forse (e dico forse) HijackThis ha rimosso pure i file oltre alle chiavi. Ai tempi in cui scrissi la guida i programmatori specificavano che il loro software agiva solo sul registro, ma magari è cambiato qualcosa dato che sono uscite molte relase da allora.

Ora però possiamo finalmente dire che il file SECVCHOST non entrava nel PC grazie a una falla ma probabilmente veniva creato ciclicamente dai due malware che abbiamo rimosso dopo ;)
Avatar utente
Dylan666
Moderatore
 
Post: 38040
Iscritto il: 18/11/03 16:46

Stesso problema con 56K

Postdi torio » 19/10/05 13:22

Ciao a tutti. è da circa una settimana che questo dialer (o presunto tale, ma spesso a me quando mi disconnette cerca di riconnetersi 1d un 899, anche se da casa li ho disattivati) mi rompe le scatole...

io avevo individuato il file secvchost.exe ma anche dopo che lo elimino manualmente, dopo un pò mi si rigenera di nuovo e mi interrompe la mia connessione.

Ho usato il programma citato prima (dopo aver eliminato il file sospetto) e il file ottenuto è:

Logfile of HijackThis v1.99.1
Scan saved at 14.13.10, on 19/10/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\Programmi\Speed Disk\nopdb.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programmi\Logitech\iTouch\iTouch.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\Launcher.exe
C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\timed.exe
C:\WINDOWS\volume.exe
C:\PROGRA~1\Save\Save.exe
C:\Programmi\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programmi\WIDCOMM\Software Bluetooth\BTTray.exe
C:\Programmi\File comuni\GMT\GMT.exe
C:\PROGRA~1\FILECO~1\PCSuite\Services\SERVIC~1.EXE
C:\PROGRA~1\WIDCOMM\SOFTWA~1\BTSTAC~1.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\timed.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\GetRight\GETRIGHT.EXE
C:\Programmi\GetRight\GETRIGHT.EXE
C:\WINDOWS\slrundll.exe
C:\Documents and Settings\Administrator\Desktop\lavoro\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programmi\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programmi\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [PrimaLauncher] C:\WINDOWS\System32\Launcher.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Timer] C:\WINDOWS\timed.exe /i
O4 - HKLM\..\Run: [VolControl] C:\WINDOWS\volume.exe -i
O4 - HKCU\..\Run: [WhenUSave] C:\PROGRA~1\Save\Save.exe
O4 - Startup: Fantacalcio Manager 2005 - Web Edition Quick Loader.lnk = C:\Programmi\FCM\FCMLoad.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programmi\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: GStartup.lnk = C:\Programmi\File comuni\GMT\GMT.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Windows Update.hta
O8 - Extra context menu item: Download with GetRight - C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programmi\GetRight\GRbrowse.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O17 - HKLM\System\CCS\Services\Tcpip\..\{762FC5F9-B8AE-4572-9555-5F340A12F58A}: NameServer = 213.205.32.70 213.205.36.70
O18 - Filter: text/html - {4F7681E5-6CAF-478D-9CB8-4CA593BEE7FB} - C:\WINDOWS\System32\xplugin.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Programmi\Norton Utilities\NPROTECT.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\Programmi\Speed Disk\nopdb.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


mi sapreste aiutare?

grazie mille
torio
Newbie
 
Post: 9
Iscritto il: 19/10/05 13:16

Postdi torio » 19/10/05 13:41

come al solito dopo una ventina di minuti si è presentato nuovamente il problema...

metto anche il file ottenuto dopo che il pc mi viene disconnesso:

Logfile of HijackThis v1.99.1
Scan saved at 14.35.48, on 19/10/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\Programmi\Speed Disk\nopdb.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Programmi\Logitech\iTouch\iTouch.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\Launcher.exe
C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\timed.exe
C:\WINDOWS\volume.exe
C:\PROGRA~1\Save\Save.exe
C:\Programmi\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programmi\WIDCOMM\Software Bluetooth\BTTray.exe
C:\Programmi\File comuni\GMT\GMT.exe
C:\PROGRA~1\FILECO~1\PCSuite\Services\SERVIC~1.EXE
C:\PROGRA~1\WIDCOMM\SOFTWA~1\BTSTAC~1.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\timed.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\GetRight\GETRIGHT.EXE
C:\Programmi\GetRight\GETRIGHT.EXE
C:\WINDOWS\slrundll.exe
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Administrator\secvchost.exe
C:\Documents and Settings\Administrator\Desktop\lavoro\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programmi\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Programmi\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [PrimaLauncher] C:\WINDOWS\System32\Launcher.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\FILECO~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Timer] C:\WINDOWS\timed.exe /i
O4 - HKLM\..\Run: [VolControl] C:\WINDOWS\volume.exe -i
O4 - HKCU\..\Run: [WhenUSave] C:\PROGRA~1\Save\Save.exe
O4 - Startup: Fantacalcio Manager 2005 - Web Edition Quick Loader.lnk = C:\Programmi\FCM\FCMLoad.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programmi\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: GStartup.lnk = C:\Programmi\File comuni\GMT\GMT.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Windows Update.hta
O8 - Extra context menu item: Download with GetRight - C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Programmi\GetRight\GRbrowse.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O18 - Filter: text/html - {4F7681E5-6CAF-478D-9CB8-4CA593BEE7FB} - C:\WINDOWS\System32\xplugin.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Programmi\Norton Utilities\NPROTECT.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\Programmi\Speed Disk\nopdb.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs Inc. - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

grazie di nuovo
torio
Newbie
 
Post: 9
Iscritto il: 19/10/05 13:16

Postdi Dylan666 » 19/10/05 14:20

Via tutti questi:

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) - Versione probabilmente scaduta
C:\WINDOWS\timed.exe - Sconosciuto
C:\WINDOWS\volume.exe - Sconosciuto
C:\PROGRA~1\Save\Save.exe - Sospetto
C:\Programmi\File comuni\GMT\GMT.exe - Sospetto
C:\WINDOWS\timed.exe - Sconosciuto
C:\Documents and Settings\Administrator\secvchost.exe - Sconosciuto
O4 - HKLM\..\Run: [PrimaLauncher] C:\WINDOWS\System32\Launcher.exe - Sconosciuto
O4 - HKLM\..\Run: [Timer] C:\WINDOWS\timed.exe /i - Sconosciuto
O4 - HKLM\..\Run: [VolControl] C:\WINDOWS\volume.exe -i - Sconosciuto
O4 - HKCU\..\Run: [WhenUSave] C:\PROGRA~1\Save\Save.exe - Sospetto
O4 - Startup: Fantacalcio Manager 2005 - Web Edition Quick Loader.lnk = C:\Programmi\FCM\FCMLoad.exe - Sconosciuto
O4 - Global Startup: BTTray.lnk = ? - Sconosciuto
O4 - Global Startup: GStartup.lnk = C:\Programmi\File comuni\GMT\GMT.exe - Sospetto
O4 - Global Startup: Windows Update.hta - Sospetto
O18 - Filter: text/html - {4F7681E5-6CAF-478D-9CB8-4CA593BEE7FB} - C:\WINDOWS\System32\xplugin.dll - Sospetto
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing) - Sconosciuto
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing) - Sconosciuto


Guarda se conosci GMT.exe altrimenti via pure quello.
Meglio se elimini da modalità provvisoria, altrimenti termina i processi dal Tak Manager (Ctrl+Alt+Canc)
Avatar utente
Dylan666
Moderatore
 
Post: 38040
Iscritto il: 18/11/03 16:46

caSSo...

Postdi frankt » 19/10/05 14:48

e proprio il caso di dire caSSo !!! questo trojan ha più fan di quanto mi aspettassi!

Dilan ma non trovi che MSNCOMM è comune un pò a tutti???

sul fatto che haijckthis cancelli anche il file....buh, non sarei certissimo al 100%...si effettivamente prima l'azione era solo sul registro ma ora addirittura sul file? e secondo te non avrebbe dovuto informarci? non so mi puzza la cosa...cioè se cancellasse anche il file cui fa riferimento la chiave dovrebbero dirlo ...per correttezza...non credi tu?

aspettiamo altre vittime svechost...
frankt
Utente Junior
 
Post: 14
Iscritto il: 17/10/05 12:14

Postdi Dylan666 » 19/10/05 14:52

Che il file si sia auto-cancellato lo escludo. Qualcuno o qualcosa lo ha tolto.
torio magari potrà dirci se dopo aver usato HijackTHis ha ancora i file che erano richiamati da quelle chiavi
Avatar utente
Dylan666
Moderatore
 
Post: 38040
Iscritto il: 18/11/03 16:46

Postdi torio » 19/10/05 14:57

come faccio a cancellarli?

io di solito agivo direttamente da Task Manager terminando i processi, ma poi si ricreavano da soli...

datemi una mano ad usare il programmino poi vi farò un bel resoconto.

Io per ora non faccio niente ed aspetto vostre direttive.

Grazie mille davvero
torio
Newbie
 
Post: 9
Iscritto il: 19/10/05 13:16

Postdi Dylan666 » 19/10/05 15:21

Lo avevo spiegato prima come si cancellano le voci...

Dylan666 ha scritto:Riapri il programmma, stavolta premi il SECONDO bottone. Metti il segno vicino a queste righe che ti indico e premi Fix:
Avatar utente
Dylan666
Moderatore
 
Post: 38040
Iscritto il: 18/11/03 16:46

Postdi zena » 19/10/05 16:18

vedo che allora siamo un po' ad avere questo problema....
io ho fatto come mi ha detto Dylan666 e ho utilizzato HijackThis... dopo che ho fatto fix e niente altro nelle voci che mi ha detto lui non mi è più capitato che mi disconnetta... questo è ciò che mi dice HijackThis ora:


Logfile of HijackThis v1.99.1
Scan saved at 17.10.25, on 19/10/2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\CARPSERV.EXE
C:\PROGRAMMI\TEXTBRIDGE CLASSIC 2.0\BIN\INSTANTACCESS.EXE
C:\WINDOWS\SYSTEM\E_S10IC2.EXE
C:\KMAESTRO\KMAESTRO.EXE
C:\PROGRAMMI\MUSICMATCH\MUSICMATCH JUKEBOX\MM_TRAY.EXE
C:\WINDOWS\SM56HLPR.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\TWAIN_32\600CU\WATCH.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAMMI\MUSICMATCH\MUSICMATCH JUKEBOX\MMJB.EXE
C:\PROGRAMMI\MUSICMATCH\MUSICMATCH JUKEBOX\MMDIAG.EXE
C:\WINDOWS\SNDVOL32.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\PROGRAMMI\WINRAR\WINRAR.EXE
C:\WINDOWS\TEMP\RAR$EX00.367\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 6.0\READER\ACTIVEX\ACROIEHELPER.DLL
O3 - Toolbar: @msdxmLC.dll,-1@1040,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [SiSAudio] C:\WINDOWS\SYSTEM\MP_S3.exe
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\BIN\INSTAN~1.EXE /h
O4 - HKLM\..\Run: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.EXE
O4 - HKLM\..\Run: [EPSON Stylus C62 Series] C:\WINDOWS\SYSTEM\E_S10IC2.EXE /P23 "EPSON Stylus C62 Series" /O5 "LPT1:" /M "Stylus C62"
O4 - HKLM\..\Run: [KeyMaestro] C:\KMAESTRO\KMaestro.exe
O4 - HKLM\..\Run: [MMTray] C:\Programmi\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Programmi\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [RegisterDropHandler] C:\PROGRA~1\TEXTBR~1.0\BIN\REGIST~1.EXE
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Regrun2] C:\PROGRA~1\GREATIS\REGRUN~1\WatchDog.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\PROGRAMMI\ICQLITE\ICQLITE.EXE -trayboot
O4 - Startup: Watch.lnk = C:\WINDOWS\TWAIN_32\600CU\WATCH.exe
O4 - Startup: Ulead Photo Express Calendar Checker.lnk = C:\Programmi\Ulead Photo Express 4.0 Trial\CalCheck.exe
O4 - Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programmi\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programmi\ICQLite\ICQLite.exe
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/Mi ... b31267.cab


se veramente mi avete risolto il problema, siete dei grandi!!
cmq secondo me, nella mia ignoranza MSNCOMM è in relazione con SECVCHOST
zena
Utente Junior
 
Post: 80
Iscritto il: 18/10/05 18:58

Postdi zena » 19/10/05 16:48

sono ormai connesso da 43 minuti e penso che potrei ufficialmente dire di essermene liberato... e questo grazie a voi!!!! grazie Dylan
zena
Utente Junior
 
Post: 80
Iscritto il: 18/10/05 18:58

non sei pulito ancora!

Postdi frankt » 19/10/05 21:55

ad occhio..senza fare il controllo sul sito, direi che devi fixare
TUTTI I RIFERIMENTI a RELATED.HTM,
per avere una banale conferma di ciò che dico puoi scaricare spybot 1.4 (che risponde benissimo sulla key related) completamente gratuito e in italiano, installarlo aggiornarlo ed ottenere la completa pulizia, te lo consiglio, ha anche un discreto "immunizzatore" automatico:

SCARICA DA QUI:

http://www.safer-networking.org/it/download/index.html


SCARICA Alla voce download 1.4, installa e lancia la ricerca degli aggiornamenti, scaricali tutti, chiudi il programma e riavvia:

lancia la scansione e troverai tante voci, comunque eliminabili con haijack,ma di sicuro al 100% spybot ti toglierà anche i file (related.htm è uno di questi)
frankt
Utente Junior
 
Post: 14
Iscritto il: 17/10/05 12:14

Postdi torio » 19/10/05 22:50

riesco a fixare la seconda parte della lista ma la roba che inizia con:

C:\WINDOWS

a me sembrano processi e posso vederli solo nella lista di salvataggio, mentre non appaiono nella lista da fixare.

come devo fare?

io intanto fixo tutti gli altri che sono fixabili marcandoli nella lista che ottengo con il programma
torio
Newbie
 
Post: 9
Iscritto il: 19/10/05 13:16

PrecedenteProssimo

Torna a Discussioni


Topic correlati a "ADSL/libero che si autosconnette.":


Chi c’è in linea

Visitano il forum: Nessuno e 4 ospiti