i miei log "infetti"

[eleivga]

se potete per favore dare un'occhiata ai miei log ve ne sono grata. Volevo segnalare che ho lanciato, per errore, Combofix , spero non avere fatto danni. allego anche questo log.
Ps: è possibile capire da dove sono stati presi i virus ? Anti malware segnala 52 elementi
hijackthis.log
MBAM-log-2013-08-25 (22-56-23).txt
ComboFix.txt

grazie in anticipo

[kyiv]

..riesegui Malwarebytes ed elimina tutti gli 'elementi nocivi rilevati' .
posta un nuovo log di HijackThis.

[eleivga]

Eccomi Kyiv,
ho rifatto Malware e i file infetti sono 72 (ieri erano 52). Ho fatto come hai detto e ti riallego i log
hijackthis.log
mbam-log-2013-08-26 (13-41-53).txt

Volevo dirti che è stato installato Daemon Tools lite, potrebbe essere "lui" la causa ?!?
Attendo tue ulteriori "dritte" grazie tante

[kyiv]

..devi selezionare e cancellare tutte quelle ''voci'' che ha trovato Malwarebytes .

poi, riesegui HijackThis, metti la 'spunta' su queste righe ed eliminale premendo FIX CHECKED :

C:\Programmi\AskPartnerNetwork\Toolbar\apnmcp.exe
C:\Programmi\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www1.delta-search.com/?babsrc=HP ... 5&tsp=4983
O2 - BHO: CrossriderApp0037912 - {11111111-1111-1111-1111-110311791112} - C:\Programmi\Pricora 4.1\Pricora 4.1-bho.dll
O3 - Toolbar: Avira SearchFree Toolbar plus Web Protection - {41564952-412D-5637-00A7-7A786E7484D7} - "C:\Programmi\AskPartnerNetwork\Toolbar\AVIRA-V7\Passport.dll" (file missing)
O4 - HKLM\..\Run: [ApnTBMon] "C:\Programmi\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe"

..e disinstalla questi due programmi : AskPartnerNetwork e Pricora .

[eleivga]

hijackthis.log
Questo è il report nuovo.
L'unica cosa non ho trovato il programma AskPartnerNetwork, o non lo vedo io ?!?!?

[quizface]

se non conosci questo server fissa tutte queste voci
O17 - HKLM\System\CCS\Services\Tcpip\..\{0F06CFE0-D794-4558-BCEB-D15A397E5827}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{5E893583-5398-4CA8-917C-58227C760261}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{8C8DBA40-A34D-47DC-8709-7F196A9BDACD}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{D50B0DF7-0C66-4BA6-8679-CD01E56466A2}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{DA5F11E7-A8F6-4EF8-9924-C1C4E1AA9E65}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{DAE10449-4FF1-4D53-B7A6-218F0026F2DB}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{F764138B-F363-4970-87A9-38873EE4AF5E}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{F7A7E1BE-6449-4014-A705-B7B00A04ABCB}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CS1\Services\Tcpip\..\{0F06CFE0-D794-4558-BCEB-D15A397E5827}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CS2\Services\Tcpip\..\{0F06CFE0-D794-4558-BCEB-D15A397E5827}: NameServer = 8.8.8.8,8.8.4.4

e poi
C:\Programmi\AskPartnerNetwork\Toolbar\apnmcp.exe (e' il 13esimo dall'alto)
C:\Programmi\ExpressFiles\EFUpdater.exe (22esimo)
O23 - Service: Servizio di aggiornamento Ask (APNMCP) - APN LLC. - C:\Programmi\AskPartnerNetwork\Toolbar\apnmcp.exe (27esimo)

[quizface]

Quando installi programmi, soprattutto se free, devi sempre fare installazione personalizzata e togliere la spunta a tutte le toolbar e agli add on che il programma ti vuole installare, altrimenti sarai sempre pieno di questa robaccia.

[kyiv]

se non conosci questo server fissa tutte queste voci
O17 - HKLM\System\CCS\Services\Tcpip\..\{0F06CFE0-D794-4558-BCEB-D15A397E5827}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{5E893583-5398-4CA8-917C-58227C760261}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{8C8DBA40-A34D-47DC-8709-7F196A9BDACD}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{D50B0DF7-0C66-4BA6-8679-CD01E56466A2}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{DA5F11E7-A8F6-4EF8-9924-C1C4E1AA9E65}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{DAE10449-4FF1-4D53-B7A6-218F0026F2DB}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{F764138B-F363-4970-87A9-38873EE4AF5E}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{F7A7E1BE-6449-4014-A705-B7B00A04ABCB}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CS1\Services\Tcpip\..\{0F06CFE0-D794-4558-BCEB-D15A397E5827}: NameServer = 8.8.8.8,8.8.4.4
O17 - HKLM\System\CS2\Services\Tcpip\..\{0F06CFE0-D794-4558-BCEB-D15A397E5827}: NameServer = 8.8.8.8,8.8.4.4

..questi sono di Google, vanno bene

invece fixa anche questa in HijackThis:

O23 - Service: Servizio di aggiornamento Ask (APNMCP) - APN LLC. - C:\Programmi\AskPartnerNetwork\Toolbar\apnmcp.exe

[eleivga]

Ciao QUizface. Scusate pero' non ho capito se devo fixare o no gli 017...

[kyiv]

..quelli in 017 sono i DNS di Google , vanno bene, lasciali stare.
allego articolo >> http://www.webnews.it/2009/12/04/8888-e-8844-google-public-dns/?ref=post

[eleivga]

ho fatto come hai detto e ho rilanciato Malwarebytes... nel frattempo Avira mi segnala un altro Troyan, e ancora 52 elementi infetti... che ho proceduto ad eliminare... ma ora ?!? che faccio ?

[kyiv]

..ma Avira non lo rimuove il trojan ?? .....facciamo un controllo con OTL : http://oldtimer.geekstogo.com/OTL.exe

salvalo sul desktop ;
Metti la spunta su SCAN ALL USERS.
Sotto output spunta minimal output

Clicca sulla freccettina di File Age e seleziona 60 Days
Metti la spunta a LOP Check and Purity Check.

allega i due log (OTL.txt ed Extras.txt)

[kyiv]

..ma Avira non lo rimuove il trojan ?? .....facciamo un controllo con OTL : http://oldtimer.geekstogo.com/OTL.exe

salvalo sul desktop ;
Metti la spunta su SCAN ALL USERS.
Sotto output spunta minimal output

Clicca sulla freccettina di File Age e seleziona 60 Days
Metti la spunta a LOP Check and Purity Check.

..dimenticavo ; premi RUN SCAN e allega i log.

P.S: Per quanto riguarda Malwarebytes, una volta fatta la scansione, devi cliccare su 'mostra i risultati', in basso a destra



poi selezioni i vari elementi e li elimini. (devono avere il segno di ''spunta'')

[eleivga]

ecco OTL.Txt
ma non trovo Extra ?!? cosa ho sbagliato ?
stamani è lentino e molto rumoroso.. c entra qualcosa ?
Scusa se ti richiedo se è meglio che disinstallo Daemont tool lite e un gioco che si chiama Gta San Andreas....

[kyiv]

ma non trovo Extra ?!? cosa ho sbagliato ?

viene generato solo alla prima scansione (questa è la 4)

è meglio che disinstallo Daemont tool lite e un gioco che si chiama Gta San Andreas

devi saperlo tu; perchè hai installato DaemonTool ?
.....a me i giochi sul computer non piacciono ...che sia la causa della lentezza e rumorosità che lamenti oggi ?

ma torniamo a OTL:

aprilo, e copia/incolla nel box bianco quanto segue:

:OTL
PRC - C:\Programmi\AskPartnerNetwork\Toolbar\apnmcp.exe (APN LLC.)
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Default_Page_URL = http://search.certified-toolbar.com?si= ... C9E19CAE5B
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Search Bar = http://search.certified-toolbar.com?si= ... 19CAE5B&q=
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Search Page = http://search.certified-toolbar.com?si= ... 19CAE5B&q=
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Start Default_Page_URL = http://search.certified-toolbar.com?si= ... C9E19CAE5B
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Start Page = http://search.certified-toolbar.com?si= ... C9E19CAE5B
IE - HKU\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.findeer.com
IE - HKU\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.findeer.com
IE - HKU\S-1-5-21-796845957-515967899-682003330-1004\SOFTWARE\Microsoft\Internet Explorer\Main,Start Default_Page_URL = http://search.certified-toolbar.com?si= ... C9E19CAE5B
IE - HKU\S-1-5-21-796845957-515967899-682003330-1004\SOFTWARE\Microsoft\Internet Explorer\Search,Search Bar = http://search.certified-toolbar.com?si= ... 19CAE5B&q=
IE - HKU\S-1-5-21-796845957-515967899-682003330-1004\SOFTWARE\Microsoft\Internet Explorer\Search,Search Page = http://search.certified-toolbar.com?si= ... 19CAE5B&q=
IE - HKU\S-1-5-21-796845957-515967899-682003330-1004\SOFTWARE\Microsoft\Internet Explorer\Search,Start Default_Page_URL = http://search.certified-toolbar.com?si= ... C9E19CAE5B
IE - HKU\S-1-5-21-796845957-515967899-682003330-1004\SOFTWARE\Microsoft\Internet Explorer\Search,Start Page = http://search.certified-toolbar.com?si= ... C9E19CAE5B
IE - HKU\S-1-5-21-796845957-515967899-682003330-1004\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://www1.delta-search.com/?q={searchTerms}&babsrc=SP_ss&mntrId=C45600265A6D429D&affID=123925&tt=200813_245&tsp=4983
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Programmi\Google\Update\1.3.21.153\npGoogleUpdate3.dll (Google Inc.)

:files
C:\Documents and Settings\Elena\Dati applicazioni\Mozilla\Firefox\Profiles\w7spt5zr.default\extensions
C:\Documents and Settings\Elena\Dati applicazioni\Mozilla\Firefox\Profiles\zl1cknuf.ele\extensions
C:\Documents and Settings\Elena\Dati applicazioni\Mozilla\Firefox\Profiles\w7spt5zr.default\searchplugins\delta.xml
C:\Documents and Settings\Elena\Dati applicazioni\Mozilla\Firefox\Profiles\w7spt5zr.default\searchplugins\Web Search.xml

:commands
[purity]
[emptytemp]
[Emptyjava]
[EMPTYFLASH]
[start explorer]
[Reboot]

....premi RUN FIX e posta il log.

poi scarica Adwcleaner sul desktop : http://general-changelog-team.fr/fr/downloads/finish/20-outils-de-xplode/2-adwcleaner
aprilo, clicca su SCAN e poi su REPORT ; allegalo.

P.S: altre possibili cause, o vie d'infezione sono i programmi come Expressfiles, 4kdownload, utorrent etc etc..

[eleivga]

ecco fatto:

OTL.Txt
[url=http://wikisend.com/download/901954/AdwCleaner[R0].txt]AdwCleaner[R0].txt[/url]

che dici ?!?

[kyiv]

..il log di OTL non è quello delle eliminazioni ma quello precedente

invece per Adwcleaner ; se vuoi tenere il programma Express files devi deselezionare le relative voci.

riesegui Adwcleaner cliccando su SCAN, togli la spunta a tutte le voci di Express files (nelle varie schede)
e poi clicca su CLEAN.
(io eliminerei tutto, compreso Express files , possibile veicolo di malware, ma devi vedere tu)

[eleivga]

ma devo rilanciare OTL ?
Ho rifatto adwcleaner, ho cliccato però su "clean", non dovevo ?!? Ho fatto confusione speriamo di no.
Questi sono i 2 report quello prima e quello dopo clean
Ho disinstallato Express files
[url=http://wikisend.com/download/187736/AdwCleaner[R1].txt]AdwCleaner[R1].txt[/url]
[url=http://wikisend.com/download/944800/AdwCleaner[S0].txt]AdwCleaner[S0].txt[/url]

grazie per la tua pazienza

[kyiv]

Ho rifatto adwcleaner, ho cliccato però su "clean", non dovevo ?!?

hai fatto benissimo .

...OTL non serve, ci ha pensato Adwcleaner , disinstallalo pure : aprilo e clicca su CleanUp .

[eleivga]

allora dovremmo essere a posto ?' che faccio rilancio ancora una volta antiMalware ?
una domanda: mi appare all'accensione un avviso che non è stata attivata la toolbar protection (qualcosa di simile) di Avira, che dici la metto ?!?!?