Possibile dialer

[zena]

Ciao a tutti, sono due giorni che mentre navigo su internet la mia connessione 56K si disconnette automaticamente dopo circa 5 minuti e prova a riconnettersi con un altra connessione che chiama "Internet Connection". ho provato a eliminarla ma si ricrea automaticamente di giorno in giorno.
vi posto il log di hijack:

Logfile of HijackThis v1.99.1
Scan saved at 16.21.35, on 10/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\sm56hlpr.exe
C:\WINDOWS\system32\lsasss.exe
C:\WINDOWS\SYSTEM32\notepad.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\DOCUME~1\Fedo\IMPOST~1\Temp\Rar$EX00.547\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Lexmark_X79-55] C:\WINDOWS\system32\lsasss.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/Mi ... b56986.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\SYSTEM32\ati2sgag.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe

spero possiate darmi una mano. grazie mille. ciao

[Luke57]

Ciao Zena, hai beccato il dialer del momento.

Intanto scarica avenger sul desktop
http://swandog46.geekstogo.com/avenger.zip
scompatta il file.zip
Avvia il file avenger.exe
Seleziona l'opzione "Input Script Manually"
Clicca sulla lente di ingrandimento

Ti si apre una finestra "View/edit script"
All'interno del box bianco,copia e incolla le scritte in neretto:


registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run | Lexmark_X79-55

folders to delete:
C:\WINDOWS\system32\back\lsasss.exe

files to delete:
C:\WINDOWS\system32\lsasss.exe

Clicca sul pulsante Done
Clicca sull'icona del semaforo verde
Rispondi due volte Yes
Il pc dovrebbe riavviarsi da solo,se così non fosse riavvialo manualmente


Il programma rilascia un log con le operazioni eseguite.

Posta il log di Avenger (C:/avenger.txt) con l´esito dello script.


Inoltre scarica systemscan (strumento di diagnosi) da qua:
http://www.suspectfile.com/systemscan
Disattiva antivirus, chiudi le altre applicazioni, decomprimi il file sul desktop, lo avvii, spunti tutte le opzioni, premi scan now. Al termine viene generato un log e salvato con il nome di report.txt nella cartella c:/suspectfile.
Vai su:
http://www.easy-share.com/
premi sfoglia, individui il file suddetto, premi Upload. Ti verrà fornito il link (il primo) per vedere il file. Incollalo in un tuo post.

[zena]

bene, sono contento, le novità non me le perdo mai...
intanto grazie del primo aiuto, ho fatto ciò che mi hai suggerito e ti posto tutto:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\fbgsccwu

*******************

Script file located at: \??\C:\WINDOWS\swdxcntg.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



Could not open folder C:\WINDOWS\system32\back\lsasss.exe for deletion
Deletion of folder C:\WINDOWS\system32\back\lsasss.exe failed!

Could not process line:
C:\WINDOWS\system32\back\lsasss.exe
Status: 0xc000003a

File C:\WINDOWS\system32\lsasss.exe deleted successfully.
Registry value HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Lexmark_X79-55 deleted successfully.

Completed script processing.

*******************

Finished! Terminate.



Download url:
file url: http://w13.easy-share.com/1075774.html

html code <a target="_blank" href="http://w13.easy-share.com/1075774.html">download</a>

bb code download

File delete url: http://w13.easy-share.com/1075774/del_a59xfb0yr5tvd2wm


attendo nuove istruzioni!
grazie mille ciao!

[Luke57]

Ciao, il report di avenger è successivo allo scan con systemscan? Sembrerebbe di sì.

Comunque, utilizza vaneger inswerendo questo script:


files to move:
C:\Programmi\File comuni\Ahead\Lib\bak\NMBgMonitor.exe | C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
C:\Programmi\File comuni\Ahead\Lib\bak\NeroCheck.exe | C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe


Vai nella cartella C:\Windows\Tasks e cancella tutte le operazioni impostate (file .job).

[zena]

questo è il nuovo report di avenger:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\pyysiprw

*******************

Script file located at: \??\C:\Documents and Settings\gixiwddq.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File move operation C:\Programmi\File comuni\Ahead\Lib\bak\NMBgMonitor.exe|C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe completed successfully.
File move operation C:\Programmi\File comuni\Ahead\Lib\bak\NeroCheck.exe|C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe completed successfully.

Completed script processing.

*******************

Finished! Terminate.

sono andato nella cartella C:\Windows\Tasks ma non ho trovato nessun file .job è normale??
per il resto, il dialer del momento è stato rimosso?
grazie ciao

[Luke57]

Ciao, vai sulla cartella Task, sul menu Avanzate, metti la spunta a Visualizza operazioni nascoste.

[zena]

ok perfetto, mi sono usciti 136 file .job e li ho eliminati tutti....