Qualcuno mi può aiutare (genarazione aut. di files strani...

[ilndep]

Ho notato da alcuni giorni che sulla cartella
C:\Documents and Settings\Sandro\Impostazioni locali\Temp degli strani files (allego una copia in quanto non riesco a copiare le immagini)
1.modul32s.exe.conf
8ex1.modul32s.exe
48exinjs31.exe
domains.txt
domains.txt.cab
fnames.txt
fnames.txt.cab
injs31.exe.conf
jusched.log
lnames.txt
lnames.txt.cab
tmp1.tmp
(questo è quello che c'è nella directory tmp questa mattina, ieri sera avevo cancellato tutto!!!)

Vengono generati automaticamente de file con estensione .exe che chiedono la connessione (me ne sono accorto perchè F-Secure mi chiede l'autorizzazione che io non consento in quanto questi sono file a me sconosciuti).
Ho eseguito scan con vari antivirus ed effettivamente hanno trovato ed eliminato virus e spyware, ma questo problema continua a esistere.
Ho provato ad avviare in modalità provvisoria e cancellare tutti i file sulla cartella temporanea ma al successivo riavviamento vengono generati random con nuovi nomi.
Allego log HijackThis
Grazie anticipatamente


Logfile of HijackThis v1.99.1
Scan saved at 8.06.04, on 04/08/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programmi\Apoint\Apoint.exe
C:\Programmi\File comuni\Siemens\S7ubtoox\s7ubtstx.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\Dell\QuickSet\QuickSet.exe
C:\Programmi\Winamp\winampa.exe
C:\Programmi\F-Secure Internet Security\Common\FSM32.EXE
C:\Programmi\ewido anti-spyware 4.0\ewido.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\Programmi\Logitech\MouseWare\system\em_exec.exe
C:\Programmi\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programmi\lotus\organize\easyclip.exe
C:\Programmi\Apoint\Apntex.exe
C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE
C:\Programmi\ewido anti-spyware 4.0\guard.exe
C:\Programmi\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
C:\Programmi\F-Secure Internet Security\Anti-Virus\FSGK32.EXE
C:\Programmi\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe
C:\Programmi\F-Secure Internet Security\Common\FSMA32.EXE
C:\Programmi\F-Secure Internet Security\Anti-Virus\fssm32.exe
C:\Programmi\Dell\NICCONFIGSVC\NICCONFIGSVC.exe
C:\Programmi\F-Secure Internet Security\Common\FSMB32.EXE
C:\Siemens\Step7\S7BIN\s7asysvx.exe
C:\Programmi\File comuni\Siemens\S7IEPG\s7oiehsx.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\F-Secure Internet Security\backweb\4476822\Program\fspex.exe
C:\Programmi\F-Secure Internet Security\Common\FCH32.EXE
C:\Programmi\File comuni\Siemens\sws\almsrv\almsrvx.exe
C:\Programmi\F-Secure Internet Security\Common\FAMEH32.EXE
C:\Programmi\F-Secure Internet Security\Anti-Virus\fsqh.exe
C:\Programmi\F-Secure Internet Security\Anti-Virus\fsrw.exe
C:\Programmi\F-Secure Internet Security\FSPC\fspc.exe
C:\Programmi\F-Secure Internet Security\Anti-Virus\fsav32.exe
C:\Programmi\F-Secure Internet Security\FWES\Program\fsdfwd.exe
C:\PROGRA~1\F-SECU~1\ANTI-S~1\fsaw.exe
C:\Programmi\F-Secure Internet Security\FSGUI\fsguidll.exe
C:\DOCUME~1\Sandro\IMPOST~1\Temp\48exinjs31.exe
C:\WINDOWS\system32\svchost.exe
C:\Documents and Settings\Sandro\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.0.1:4480
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [Apoint] C:\Programmi\Apoint\Apoint.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [S7UB Start] "C:\Programmi\File comuni\Siemens\S7ubtoox\s7ubtstx.exe" -StartDB
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Dell QuickSet] C:\Programmi\Dell\QuickSet\QuickSet.exe
O4 - HKLM\..\Run: [ShowLOMControl]

O4 - HKLM\..\Run: [WinampAgent] C:\Programmi\Winamp\winampa.exe
O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w
O4 - HKLM\..\Run: [F-Secure Manager] "C:\Programmi\F-Secure Internet Security\Common\FSM32.EXE" /splash
O4 - HKLM\..\Run: [F-Secure TNB] "C:\Programmi\F-Secure Internet Security\TNB\TNBUtil.exe" /CHECKALL /WAITFORSW
O4 - HKLM\..\Run: [F-Secure Startup Wizard] "C:\Programmi\F-Secure Internet Security\FSGUI\FSSW.EXE" /reboot
O4 - HKLM\..\Run: [News Service] "C:\Programmi\F-Secure Internet Security\FSGUI\ispnews.exe"
O4 - HKLM\..\Run: [!ewido] "C:\Programmi\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NBJ] "C:\Programmi\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [BackWeb LiteInstaller] C:\DOCUME~1\Sandro\IMPOST~1\Temp\ins1.tmp\fsbw661av.exe /NoIntervention
O4 - Startup: Lotus Organizer EasyClip.lnk = C:\Programmi\lotus\organize\easyclip.exe
O4 - Startup: Tasto di scelta rapida per l'avvio di AutoCAD.lnk = C:\Programmi\File comuni\Autodesk Shared\acstart16.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programmi\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: F-Secure 2006.lnk = C:\Programmi\F-Secure Internet Security\backweb\4476822\Program\fspex.exe
O8 - Extra context menu item: &Blocca questo popup - C:\Programmi\F-Secure Internet Security\Anti-Spyware\blockpopups.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Filtro pagine Web - {200DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programmi\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: (no name) - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Programmi\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra 'Tools' menuitem: Filtro pagine Web - {200DB664-75B5-47c0-8B45-A44ACCF73F01} - C:\Programmi\F-Secure Internet Security\FSPC\fspcmsie.dll
O9 - Extra button: Protezione IE - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programmi\F-Secure Internet Security\Anti-Spyware\ieshield.dll
O9 - Extra 'Tools' menuitem: Protezione IE... - {300DB664-75B5-47c0-8B45-A44ACCF73C00} - C:\Programmi\F-Secure Internet Security\Anti-Spyware\ieshield.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing
O16 - DPF: {9D190AE6-C81E-4039-8061-978EBAD10073} (F-Secure Online Scanner 3.0) - http://support.f-secure.com/ols/fscax.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{48255180-BDFA-4B50-8325-FD8EAE11DE2C}: NameServer = 193.109.46.2,193.20.145.50
O23 - Service: Automation License Manager Service (almservice) - SIEMENS AG - C:\Programmi\File comuni\Siemens\sws\almsrv\almsrvx.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programmi\File comuni\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: F-Secure 2006 (BackWeb Plug-in - 4476822) - F-Secure Internet Security 2005 - C:\PROGRA~1\F-SECU~1\backweb\4476822\Program\SERVIC~1.EXE
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programmi\ewido anti-spyware 4.0\guard.exe
O23 - Service: FSGKHS (F-Secure Gatekeeper Handler Starter) - F-Secure Corporation - C:\Programmi\F-Secure Internet Security\Anti-Virus\fsgk32st.exe
O23 - Service: fsbwsys - F-Secure Corp. - C:\Programmi\F-Secure Internet Security\backweb\4476822\program\fsbwsys.exe
O23 - Service: F-Secure Anti-Virus Firewall Daemon (FSDFWD) - F-Secure Corporation - C:\Programmi\F-Secure Internet Security\FWES\Program\fsdfwd.exe
O23 - Service: F-Secure HTTP Server (fshttps) - F-Secure Corporation - C:\Programmi\F-Secure Internet Security\FSPC\fshttps\fshttps.exe
O23 - Service: F-Secure Management Agent (FSMA) - F-Secure Corporation - C:\Programmi\F-Secure Internet Security\Common\FSMA32.EXE
O23 - Service: NICCONFIGSVC - Dell Inc. - C:\Programmi\Dell\NICCONFIGSVC\NICCONFIGSVC.exe
O23 - Service: OpcEnum - Unknown owner - C:\WINDOWS\system32\OPCEnum.exe
O23 - Service: S7 Global Services (s7asysvx) - SIEMENS AG - C:\Siemens\Step7\S7BIN\s7asysvx.exe
O23 - Service: SIMATIC IEPG Help Service (s7oiehsx) - SIEMENS AG - C:\Programmi\File comuni\Siemens\S7IEPG\s7oiehsx.exe

[andorra24]

Ciao, apri hijackthis, premi su ''open the misc tools section'', poi premi ''open process manager'', individua la voce indicata sotto e premi ''kill process'':

C:\DOCUME~1\Sandro\IMPOST~1\Temp\48exinjs31.exe

Poi vai in basso e premi il tasto back e subito dopo il tasto scan. Metti la spunta nella casellina accanto alle voci indicate sotto e premi ''fix checked'' :

O4 - HKLM\..\Run: [.nvsvc] C:\WINDOWS\system\smss.exe /w
O4 - HKCU\..\Run: [BackWeb LiteInstaller] C:\DOCUME~1\Sandro\IMPOST~1\Temp\ins1.tmp\fsbw661av.exe /NoIntervention

Scarica ATF Cleaner da qui:
http://www.atribune.org/ccount/click.php?id=1
(per eliminare file temporanei di windows e IE)
Avvia ATF cleaner, clicca sul menu "main" e poi seleziona la casella "Select All". Adesso clicca sul pulsante "Empty selected" e aspetta il messaggio "Done Cleaning!"

Vai su start/risorse del computer/strumenti/opzioni cartella/visualizzazione e metti la spunta su ''visualizza cartelle e file nascosti'' e togli la spunta da ''nascondi i file protetti di sistema (consigliato)''.

Assicurati che vengano eliminati questi files:
C:\WINDOWS\system\smss.exe (da non confondere con il legittimo file omonimo che si trova in system32)
C:\DOCUME~1\Sandro\IMPOST~1\Temp\48exinjs31.exe

[andorra24]

Con hijackthis elimina anche questa voce:
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing

[ilndep]

Ho eseguito passo/passo:

- i files sulla tmp sono riuscito a camcellarli solo in modalità provvisoria.

Con hijackthis NON sono riuscito ad eliminare questa voce (Come mai? ):
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing

Ciao

[Luke57]

Ho eseguito passo/passo:

- i files sulla tmp sono riuscito a camcellarli solo in modalità provvisoria.

Con hijackthis NON sono riuscito ad eliminare questa voce (Come mai? ):
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing

Ciao

Ciao, la voce 010 non va fissata, riguarda F-secure che opera a livello di winsock.

[andorra24]

Con hijackthis NON sono riuscito ad eliminare questa voce (Come mai? ):
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing

winsflt.dll si riferisce a PureSight Internet Content Filter integrato in f-secure ma la .dll risulta mancante (missing). Forse hai disinstallato/disattivato il Parental Control?

[ilndep]

E' vero su F-Secure era disattivato il controllo genitori
Ho provato ad attivarlo, ma il file manca sempre.
Cosa devo fare?

[andorra24]

E' vero su F-Secure era disattivato il controllo genitori
Ho provato ad attivarlo, ma il file manca sempre.
Cosa devo fare?

Non riesci ad attivare il parental control di f-secure? Forse disinstallando il programma e reinstallandolo ex novo riusciresti ad attivarlo comunque se quella opzione non ti serve risparmiati la fatica.

[ilndep]

Ok ho installato la versione di prova (30 giorni) poi dovrei acquistare la licenza. Secondo te è un buon antivirus, vale la pena acquistarlo o consigli altro?
Per il resto sembra che le modifiche che mi hai fatto fare siano ok, non sono più usciti files strani su tmp.

Grazie e complimenti per la professionalità e velocità

[andorra24]

Ok ho installato la versione di prova (30 giorni) poi dovrei acquistare la licenza. Secondo te è un buon antivirus, vale la pena acquistarlo o consigli altro?
Per il resto sembra che le modifiche che mi hai fatto fare siano ok, non sono più usciti files strani su tmp.

Grazie e complimenti per la professionalità e velocità

Si, f-secure e' un buon antivirus, usa il motore di scansione del kaspersky il che e' una garanzia. Se ti trovi bene puoi continuare ad usarlo. Sta a te decidere.

[ilndep]

Scusa se ti disturbo ancora ma ho fatto una ricercadel file winsflt.dll
ed esiste in due directory:
C:\WINDOWS\system32
C:\Programmi\F-Secure Internet Security\FSPC

Perchè questo messaggio?
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing

[andorra24]

Scusa se ti disturbo ancora ma ho fatto una ricercadel file winsflt.dll
ed esiste in due directory:
C:\WINDOWS\system32
C:\Programmi\F-Secure Internet Security\FSPC

Perchè questo messaggio?
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing

Guarda, visto che non da' nessun problema direi di non toccarla. Al limite,se ti va, puoi provare a disinstallare il programma, fai un po' di pulizia dei files residui con un programmino tipo CCleaner oppure jv16 powertools e dopo lo installi nuovamente per vedere se quella voce te la da' nuovamente oppure no.

[Luke57]

Scusa se ti disturbo ancora ma ho fatto una ricercadel file winsflt.dll
ed esiste in due directory:
C:\WINDOWS\system32
C:\Programmi\F-Secure Internet Security\FSPC

Perchè questo messaggio?
O10 - Broken Internet access because of LSP provider 'winsflt.dll' missing

Ciao, può essere un bug di hiajckthis che dà mancante un file che invece c'è. Non è la prima volta che succede
Inoltre le voci 010 con hiajckthis non se ne vanno tanto bene.