PcPrimiPassi.it - informatica facile per tutti, home page
PcPrimiPassi.it - informatica facile per tutti, home page


  Topic AttiviTopic Attivi  Visualizza lista dei Membri del ForumLista Membri  CalendarioCalendario  Ricerca nel ForumCerca  AiutoAiuto    RegistratiRegistrati  LoginLogin

Infezioni informatiche e Sicurezza informatica in generale

 PcPrimiPassi.it FORUM: SICUREZZA INFORMATICA: Infezioni informatiche e Sicurezza informatica in generale


Icona di Messaggio

Topic: infestato da Win32:Agent-




nyad
Principiante Principiante
nyad
Principiante Principiante
nyad
Principiante
Principiante

Avatar


Iscritto dal : 06/Aprile/2005
Da: Italy
Status: Offline
Posts: 63
Riporta il testo di: nyad Rispondibullet Topic: Post n° 59.022 - Postato: 23/Agosto/2006 alle 22:24


qua mi sono presa un pacchette regalo...avast mi segnala una serie di virus che non riesco a rimuovere, appena vado su qualche sito per avere informazioni come rimuovere pagina di internet si chiude si chiude, ho spesso la clessidra che viaggia per conto suo e il pc che si blocca.. i virus individuati sono questi

 

 Win32:Agent-

win 32 ctx

win 32 aolloader-cg

win 32trojano -p

win 32small-bez

 

fatto scansione in modalitaà provvisoria con tutto ciò che ho.. date un occhiata al mio log e mi aiutate...ho bisogno del mio pc..e soprattutto di voi.

Logfile of HijackThis v1.99.1
Scan saved at 22.50.11, on 20/09/2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\SYSTEM32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINNT\system32\CTSvcCDA.EXE
C:\WINNT\System32\svchost.exe
C:\PROGRA~1\TELECO~1\Alice\app\pppoeservice.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\MsPMSPSv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\SYSTEM32\Ati2evxx.exe
C:\WINNT\system32\msijavaup32.exe
C:\WINNT\Explorer.exe
C:\Programmi\File comuni\Adaptec Shared\CreateCD\CreateCD50.exe
C:\Programmi\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\WINNT\system32\rundll32.exe
C:\Programmi\QuickTime\qttask.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINNT\system32\internat.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Program Files\Vivanco\ScanPanel\ScnPanel.exe
C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
C:\PROGRA~1\YAHOO!\MESSEN~1\ymsgr_tray.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\TELECO~1\Alice\app\EnterNetFolder.Exe
C:\PROGRA~1\TELECO~1\Alice\app\EnterNet.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F2 - REG:system.ini: Shell=Explorer.exe msijavaup32.exe
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,msijavaup32.exe
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn\ycomp5_3_18_0.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn\ycomp5_3_18_0.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [CreateCD50] "C:\Programmi\File comuni\Adaptec Shared\CreateCD\CreateCD50.exe" -r
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programmi\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINNT\System32\NeroCheck.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programmi\File comuni\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\RunServices: [Ms Java for Windows NT] msijavaup32.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [Yahoo! Pager] C:\PROGRA~1\YAHOO!\MESSEN~1\ypager.exe -quiet
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\RunServices: [Ms Java for Windows NT] msijavaup32.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: ScanPanel.lnk = C:\Program Files\Vivanco\ScanPanel\ScnPanel.exe
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\YAHOO!\MESSEN~1\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\YAHOO!\MESSEN~1\YPAGER.EXE
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat .cab
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSn iff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/ cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.tren dmicro.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (ASquaredScanForm Element) - http://www.windowsecurity.com/trojanscan/axscan.cab
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IncrediMail) - http://www2.incredimail.com/contents/setup/downloader/imload er.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/bin/msnchat45.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\system32\CTSvcCDA.EXE
O23 - Service: Servizio amministrativo di Gestione disco logico (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: LEC TranslateDotNet Server - Language Engineering Corporation, LLC - C:\Programmi\Power Translator\LogoMedia TranslateDotNet Server.exe
O23 - Service: PPPoE Service (PPPoEService) - Unknown owner - C:\PROGRA~1\TELECO~1\Alice\app\pppoeservice.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe

grazie




E' avvenuto, quindi può accadere di nuovo. Può accadere, e dappertutto.

P.Levi



prisca85
Senior Senior
prisca85
Senior Senior
prisca85
Senior
Senior

Avatar


Iscritto dal : 19/Aprile/2005
Da: Italy
Status: Offline
Posts: 1.485
Riporta il testo di: prisca85 Rispondibullet Topic: Post n° 59.036 - Postato: 24/Agosto/2006 alle 06:19


Ciao Nyad

1) se non erro hai avast come antivirus ma hai ancora dei processi della symantec attivi(che credo tu abbia disinstallato), assicurati di averli disattivati per non creare conflitti tra i due antivirus(cerca se ne hai uno attivo in start>pannello di controllo>strumenti amministrazione>servizi)

2) se hai solo il firewall di windows installato ti consiglio di metterne un altro perche' cosi sei molto a rischio. ci sono degli ottimi firewall gratis come Jetico (inglese), Kerio(italiano), Zone Alarm, o tanti altri.

3)per terminare il processo msijavaup32.exe:
- vai sul Task manager, localizza il processo e clicca con il tasto di destra del mouse. da li clicca su "arresta processo"(per essere sicuro che il prcesso sia davvero terminato apri e chiudi il task manager e controlla che non ci sia piu' tra i processi attivi).

4)eliminare le chiavi nocive dal registro(potresti non trovarle tutte):
  -vai su start>esegui> e digita REGEDIT
  -nel pannello di sinistra segui questo percorso:   HKEY_CURRENT_USER>Software>Microsoft>Windows>
CurrentVersion>RunServices
  -una volta seguito, sul pannello di destra trova ed elimina il seguente valore:
Ms Java for Windows NT = "msijavaup32.exe"

5) sempre nel registro trova la seguente chiave:
HKEY_CURRENT_USER>Software>Microsoft>Windows
ed elimina questo valore dal pannello di destra:
msijava = "rBot v2 a.k.a. the next generation (working on winXP SP2)"

6)modificare valori cambiati dal malware:
  -trova la seguente chiave: HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>
Windows NT>CurrentVersion>Winlogon
  -nel pannello di destra trova il seguente valore: Shell = "Explorer.exe msijavaup32.exe"
  -clicca col il tasto di destra sul valore> poi su Modifica. Cambia il valore in: Shell = "Explorer.exe"

  -trova la seguente chiave: HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>
Windows NT>CurrentVersion>Winlogon
  -nel pannello di destra trova il seguente valore:Userinit = "C:\WINDOWS\System32\userinit.exe,msijavaup32.exe"
  -clicca col il tasto di destra sul valore> poi su Modifica. Cambia il valore in: Userinit = "C:\WINDOWS\system32\userinit.exe,"

-trova la seguente chiave: HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
Services>SharedAccess
  -nel pannello di destra trova il seguente valore: Start = “dword:00000004”
  -clicca col il tasto di destra sul valore> poi su Modifica. Cambia il valore in:  Start = “dword:00000003”

-trova la seguente chiave:  HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
Services>wuauserv
  -nel pannello di destra trova il seguente valore: Start = “dword:00000004”
  -clicca col il tasto di destra sul valore> poi su Modifica. Cambia il valore in:   Start = “dword:00000002”

-trova la seguente chiave:   HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Ole
  -nel pannello di destra trova il seguente valore: EnableDCOM = "N"
  -clicca col il tasto di destra sul valore> poi su Modifica. Cambia il valore in:   EnableDCOM = "Y"
  -chiudi il registro

-Cerca nel pc (attivando l'opzione cerca anche nei file di sistema e nelle cartelle nascoste) tutte le voci inerenti al processo msijavaup32.exe ed eliminale.
-Svuota il cestino.

7) fai tutti gli aggiornamenti di windows cosi che ti si scaricano tutte le patch sulla sicurezza (start>programmi>windows update) dopo di che riavvia il pc e fai di nuovo un altro log e vediamo se il malware se ne' andato. fai anche una scansione online con Panda o Trend micro e metti nel post il rapporto.





live right now, just be yourself..it doesn't matter if it's good enough for someone else



nyad
Principiante Principiante
nyad
Principiante Principiante
nyad
Principiante
Principiante

Avatar


Iscritto dal : 06/Aprile/2005
Da: Italy
Status: Offline
Posts: 63
Riporta il testo di: nyad Rispondibullet Topic: Post n° 59.080 - Postato: 25/Agosto/2006 alle 17:07


ciao

prisca85

ti ringrazio sto provando a lavorare allora nell'ordine ho fatto ciò che mi dicevi ma ho due problemi

1)

non trovo la chiave  shareacesss e quindi non riesco a modificarla..il percorso è esatto?? o sono io una foca??

2) non riesco a fare gli aggiornamenti di win perchè mi dice eroore 1058 il servizio è disabilitato o non è associato a nessuna periferica attiva

3)

quando mi dici cerca nel pc è usando il rrova del file o cartelle? ma li non ho l'opzione cerca nei file di registro.... oppure anche qui son foca!!!

 

intanto grazie aspetto tue notizie per proseguire.

nyad




E' avvenuto, quindi può accadere di nuovo. Può accadere, e dappertutto.

P.Levi



prisca85
Senior Senior
prisca85
Senior Senior
prisca85
Senior
Senior

Avatar


Iscritto dal : 19/Aprile/2005
Da: Italy
Status: Offline
Posts: 1.485
Riporta il testo di: prisca85 Rispondibullet Topic: Post n° 59.151 - Postato: 27/Agosto/2006 alle 07:35


ciao nyad, allora per le chiavi, non tutte le devi trovare quindi per adesso se quella non la trovi non c'e' problema. quando ho detto di cercare nel pc intendevo di fare una ricerca nel computer, non nel registro...solo che devi cercare anche nei files nascosti a di sistema. per farlo puoi andare sul pannello di controllo>opzioni cartelle>visualizza e da li metti le spunte su "visualizza cartelle di sistema" e "visializza files e cartelle nascoste". poi fai una ricerca nel pc di quel file ed elimina tutto cio' che ne riguarda, e dopo averla fatta toglie le spunte che hai messo in precedenza.

per gli aggiornamente di windows assicurati che il servizio di windows update sia attivo (da avvio>pannello di controllo>strumenti amministrazione>servizi) lo troverai nella lista...non vorrei che il malware lo abbia disattivato o manomesso. cmq postami un nuovo log che controlliamo....fai pero' prima  una scansione online con panda antivirus o trendmicro (trovi i link nella homepage di questo sito: QUI)

fammi sapere come va



live right now, just be yourself..it doesn't matter if it's good enough for someone else





Rispondi con Editor completo Nuova Discussione

Versione stampabile Versione stampabile


TI E' PIACIUTO QUESTO CONTENUTO ?
Suggerisci questa pagina
Suggerisci questa pagina
Supporta il nostro lavoro
Supporta il nostro lavoro
<b>Non perderti nessuno dei nostri contenuti!</b><br><br>Iscriviti alle Newsletters di aggiornamento periodico.
Iscriviti ora alla newsletter!


Vai al Forum
Non puoi postare nuovi topic in questo forum
Non puoi rispondere ai topic in questo forum
Non puoi cancellare i tuoi post in questo forum
Non puoi modificare i tuoi post in questo forum
Non puoi creare sondaggi in questo forum
Non puoi votare i sondaggi in questo forum

Bulletin Board Software by Web Wiz Forums version PcPrimiPassi
Copyright ©2001-2006 Web Wiz Guide

Questa pagina è stata generata in 0,074 secondi.

Sostienici

Versione 5.7 Sviluppata da Stefano Ravagni