Google Hearth infettato!

[D4rkNight]

ciao ragazzi,
il famosissimo programma oggi mi ha creato dei problemi...
lo scarico dal sito ufficiale ovvero: http://earth.google.com/downloads.html
e scarico la versione gratuita dopo scarico qualke addons e il programmino per fare le case in 3d....
installo per primo il programma google heart e già il kapersky mi avverte che trova dei trojan io pensando che goggle heart ha bisognop di connettersi ad internet per il suo completo funzionamento ho detto niente di preoccupante allora sono stato costretto a disattivare il kapersky e riavviare l'installazione, errore gravissimo... mi ero beccato SurfSideKick ho penato per cancellarlo e ancora mi ritrovo su msconfig la stringa Ssk nella sezione avvio...
non so come farla sparire dopo tutte le scansione e cose varie fatte...
questo mi ha causato dei danni a msn, mi ha cambiato qualke impostazione di win e poi non so cosa altro....
per esempio msn mi legge l A-Patch, però nn mi riconosce il plus infatti nn vedo i bottoni del plus, e la cosa strana e che senza plus la patch nn dovrebbe funzionare ma sta funzionando...
potete controllare pure voi e dirmi se è stato questo programma a crearmi questi problemi?
ps ho notato che quando facevo partire l'installazione del programma sul task mi appariva un programma in esecuszione di nome projet1 però nn vedevo niente nn caricava nulla anzi rallentava un pò il pc...mi aiutate per favore?
grazie
davide

[D4rkNight]

ecco qui la scansione con HijackThis....
Logfile of HijackThis v1.99.1
Scan saved at 20.35.10, on 15/09/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\878RMTMon.exe
C:\Programmi\ewido anti-spyware 4.0\ewido.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\PowerS.exe
C:\WINDOWS\Mixer.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\878RMT.exe
C:\Programmi\ewido anti-spyware 4.0\guard.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\Windows Media Player\wmplayer.exe
C:\Programmi\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: (no name) - {02EE5B04-F144-47BB-83FB-A60BD91B74A9} - (no file)
F2 - REG:system.ini: UserInit=userinit.exe
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [TV Card Remote Control Device Monitor] C:\WINDOWS\878RMTMon.exe
O4 - HKLM\..\Run: [!ewido] "C:\Programmi\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [ScanRegistry] C:\W
O4 - HKLM\..\Run: [PowerS] C:\WINDOWS\PowerS.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: ATnotes.lnk = C:\Programmi\ATnotes\ATnotes.exe
O4 - Global Startup: Scheduler for OEM.lnk = C:\Programmi\honestech\honestech TVR\scheduleTV.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Scarica con Free Download Manager - file://C:\Programmi\Free Download Manager\dllink.htm
O8 - Extra context menu item: Scarica selezionati con Free Download Manager - file://C:\Programmi\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Scarica sito web con Free Download Manager - file://C:\Programmi\Free Download Manager\dlpage.htm
O8 - Extra context menu item: Scarica tutto con Free Download Manager - file://C:\Programmi\Free Download Manager\dlall.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesit.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesit.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra button: SmartWhois - {FD9DE2B4-C926-4460-81C4-FC58C6F1062E} - C:\PROGRA~1\SMARTW~1\swmsiehlp.exe
O9 - Extra button: (no name) - {FF983118-58C7-4AD4-B5A7-691C39CB7B42} - C:\PROGRA~1\SMARTW~1\swmsiehlp.exe
O9 - Extra 'Tools' menuitem: SmartWhois - {FF983118-58C7-4AD4-B5A7-691C39CB7B42} - C:\PROGRA~1\SMARTW~1\swmsiehlp.exe
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{52BFFB43-9E53-4221-AC3C-E087D2E5ED79}: NameServer = 213.205.32.70,213.205.36.70
O17 - HKLM\System\CCS\Services\Tcpip\..\{63F7D325-6A60-44F4-ABBF-556AC3D4ECD4}: NameServer = 213.205.32.70,213.205.36.70
O17 - HKLM\System\CCS\Services\Tcpip\..\{AB4B4057-8DBC-40AC-94F5-EAB0A4FD1DA3}: NameServer = 213.205.32.70,213.205.36.70
O17 - HKLM\System\CCS\Services\Tcpip\..\{EF38D82B-11B9-421E-95B9-79960C393CB4}: NameServer = 213.205.32.70,213.205.36.70
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\RDRya05pZ2h0\command.exe (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Programmi\ewido anti-spyware 4.0\guard.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

[Dylan666]

Ho capito poco di quello che hai scritto ma posso dirti:

1) che i file di google sono puliti

2) che il log è pulito devi solo levare questa chiave inutile:
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\RDRya05pZ2h0\command.exe (file missing)

3) che il Messenger Plus (se di quello parlavi) installa dei programmi con gli sponsor che vanno rifiutati al momneto dell'installaizone, ma comunque non li hai più sul PC

[D4rkNight]

1)questo problema l'ho riscontrato con il loro sito perkè avevo aperto solo quello più 1 2 pagine di collegamenti inseriti nel loro sito, poi si impallava il pc quando aprivo l'installazione di google earth,quindi si sarà infettato il file di installazione, cmq poi dopo la pulitura di tutto il pc l'ho riscaricato sempre dallo stesso sito e non mi ha dato problemi questa volta... boh nn capisco...

2)si il log è pulito, tranne quella stringa, perché non riesco a levarla ora faccio un'ultimo tentativo...

3)In realtà parlavo di una patch che si chiama A-Patch, quella per i trilli,x le istanze del prog ecc..., queste patch nn si installano se non c'è installato prima il Messanger Plus, il mio problema sta nel fatto che il messanger plus è installato infatti ci sono directory varie riferite a lui e in più come conferma c'è l'A-Patch che funziona solo che su msn non mi spuntano i bottoni del messanger plus come se nn fosse installato, però la patch funziona perfettamente...
spero di essere stato almeno un pò più chiaro...