Cosa si è preso?

di **Uncle Dan** » 28/11/06 12:59

Allego il log di HJT:

Codice: Seleziona tutto: Logfile of HijackThis v1.99.1 Scan saved at 12.47.28, on 28/11/2006 Platform: Windows 2000 SP4 (WinNT 5.00.2195) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINNT\System32\smss.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\services.exe C:\WINNT\system32\lsass.exe C:\WINNT\System32\termsrv.exe C:\WINNT\system32\svchost.exe C:\WINNT\system32\spoolsv.exe C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe C:\PROGRA~1\Grisoft\AVG7\avgemc.exe C:\WINNT\System32\svchost.exe C:\WINNT\System32\llssrv.exe C:\WINNT\system32\regsvc.exe C:\WINNT\system32\MSTask.exe C:\WINNT\System32\lserver.exe C:\WINNT\System32\WBEM\WinMgmt.exe C:\WINNT\system32\svchost.exe C:\WINNT\System32\inetsrv\inetinfo.exe C:\WINNT\System32\msdtc.exe C:\WINNT\system32\Dfssvc.exe C:\WINNT\System32\svchost.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\rdpclip.exe c:\documents and settings\costanza\windows\norton-storage.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\Explorer.EXE C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\Programmi\Cobian Backup 7\cobui.exe C:\WINNT\system32\cmd.exe C:\PROGRA~1\Grisoft\AVG7\avgcc.exe C:\WINNT\system32\ctfmon.exe C:\Programmi\Network Associates\PGPNT\PGPTray.exe E:\sysintc\Costanza\conf_K\bin\swmenu.exe C:\WINNT\system32\wuauclt.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\rdpclip.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\Explorer.EXE C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\PROGRA~1\Grisoft\AVG7\avgcc.exe C:\WINNT\system32\ctfmon.exe C:\Programmi\Network Associates\PGPNT\PGPTray.exe C:\WINNT\system32\winlogon.exe C:\WINNT\system32\rdpclip.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\Explorer.EXE C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\WINNT\system32\cmd.exe C:\PROGRA~1\Grisoft\AVG7\avgcc.exe C:\Programmi\Network Associates\PGPNT\PGPTray.exe E:\ELEA\presenze.exe C:\Programmi\INPS\Emens\INPSEMENS.exe C:\WINNT\System32\tsadmin.exe C:\Programmi\Outlook Express\msimn.exe C:\WINNT\system32\ssflwbox.scr C:\Documents and Settings\Supervisor\Desktop\hijackthis_199\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti R3 - Default URLSearchHook is missing F2 - REG:system.ini: UserInit=c:\winnt\system32\userinit.exe,"c:\winnt\philipsdriver.exe","c:\documents and settings\supervisor\windows\lexmarktool.exe","c:\documents and settings\administrator\windows\cisco-tool.exe","c:\documents and settings\administrator\windows\siemensnetwork.exe","c:\documents and settings\betta\windows\ciscoservice.exe","c:\documents and settings\costanza\windows\lexmarkmonitor.exe","c:\documents and settings\costanza\windows\norton-storage.exe","c:\documents and settings\costanza\windows\nortonmonitor.exe","c:\documents and settings\costanza\windows\compaqnetwork.exe","c:\documents and settings\supervisor\windows\lotus-center.exe","c:\documents and settings\costanza\windows\fujitsu-tool.exe","c:\documents and settings\betta\windows\maxtor-word.exe","c:\documents and settings\betta\windows\seagatechecker.exe","c:\documents and settings\betta\windows\toshibahelper.exe","c:\documents and settings\costanza\windows\toshibatool.exe","c:\documents and settings\costanza\windows\seagate-helper O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file) O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe O4 - HKLM\..\Run: [Cobian Backup 7 Interface] "C:\Programmi\Cobian Backup 7\cobui.exe" -service O4 - HKLM\..\Run: [aeje1.exe] C:\DOCUME~1\Betta\IMPOST~1\Temp\45\aeje1.exe O4 - HKLM\..\Run: [MSKDetectorExe] C:\Programmi\McAfee\SpamKiller\MSKDetct.exe /uninstall O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: PGPtray.lnk = C:\Programmi\Network Associates\PGPNT\PGPTray.exe O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000 O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} - http://download.mcafee.com/molbin/shared/mcinsctl/4,0,0,101/mcinsctl.cab O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} - http://download.mcafee.com/molbin/shared/mcgdmgr/1,0,0,26/mcgdmgr.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{D907CF62-A0F9-408C-9D6B-4B660AA66163}: NameServer = 212.17.192.216,212.17.192.56 O17 - HKLM\System\CCS\Services\Tcpip\..\{E20608B6-B7FE-418B-8DBE-CBCE61582F96}: NameServer = 212.17.192.216,212.17.192.56 O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe O23 - Service: Cobian Backup 7 service (CobBackup7) - Luis Cobian - C:\Programmi\Cobian Backup 7\cbs.exe O23 - Service: Servizio amministrativo di Gestione disco logico (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

Quella serie di cmd.exe mi fa temere il peggio...

Preciso che in Documents and Settings\NomeUtente\WINDOWS ho trovato una serie di file sospetti con nomi tipo: norton-storage.exe, lexmarkmonitor.exe, philipsdriver.exe, e tutta una serie di altri con nomi che richiamano a marche di prodotti che mai ho utilizzato.

Ogni consiglio è il beneaccetto, non so da che parte iniziare!

Grazie.

di **Luke57** » 28/11/06 17:48

Ciao, scarica Avgpfix da qui:
http://www.nod32.it/cgi-bin/mapdl.pl?tool=Agent.VP
e tienilo da parte.

Apri hijackthis, premi "do a system scan only", cerchi e spunti:
LA VOCE F2

Premi fix checked

Rendi visibili file e cartelle nascosti:
da risorse del computer>strumenti>Opzioni Cartella
Seleziona Visualizza
Spunta "mostra file e cartelle nascoste"
Togli la spunta da "nascondi file di sistema protetti (consigliato)"
Click Ok

Esegui Avgpfix , premi Start, individui a uno a uno tutti i seguenti file:
c:\winnt\philipsdriver.exe","c:\documents and settings\supervisor\windows\lexmarktool.exe","c:\documents and settings\administrator\windows\cisco-tool.exe","c:\documents and settings\administrator\windows\siemensnetwork.exe","c:\documents and settings\betta\windows\ciscoservice.exe","c:\documents and settings\costanza\windows\lexmarkmonitor.exe","c:\documents and settings\costanza\windows\norton-storage.exe","c:\documents and settings\costanza\windows\nortonmonitor.exe","c:\documents and settings\costanza\windows\compaqnetwork.exe","c:\documents and settings\supervisor\windows\lotus-center.exe","c:\documents and settings\costanza\windows\fujitsu-tool.exe","c:\documents and settings\betta\windows\maxtor-word.exe","c:\documents and settings\betta\windows\seagatechecker.exe","c:\documents and settings\betta\windows\toshibahelper.exe","c:\documents and settings\costanza\windows\toshibatool.exe","c:\documents and settings\costanza\windows\seagate-helper

e li elimini premendo OK

Poi scarica questi due tools:

http://www.prevx.com/gromozon.asp

Tool di rimozione della Symantec:

http://smallbiz.symantec.com/security_r ... 16-4153-99

Esegui il primo tool e disattiva l'antivirus durante la scansione. Il programma fa riavviare il computer e al riavvio termina la scansione. Rilascia un report che trovi in C:\Gromzon_Removal.log.

Poi, esegui quello della symantec
lo scan di questo tool va eseguito dalla modalità provvisoria (riavvii il computer, premi il tasto F8 ripetutamente all'accensione del computer e prima che si carichi windows, nella schermata che appare scegli modalità provvisoria spostandoti con le freccette e confermi la scelta premendo invio. Segui poi le istruzioni a schermo).
Anch’esso rilascia un report nella stessa cartella dove hai sistemato il file (FixLinkopt.log).

Incolla in un post ambedue i report.

di **Uncle Dan** » 29/11/06 09:31

Grazie, provvedo e posto.

Cosa si è preso?

Cosa si è preso?

Topic correlati a "Cosa si è preso?":

Chi c’è in linea