Stampa la pagina | Chiudi finestra


Vedi la discussione sul forum

Axfreeporn dialer


Stampato da: PCPRIMIPASSI.IT
Categoria: SICUREZZA INFORMATICA
Nome del Forum: Infezioni informatiche e Sicurezza informatica in generale
Descrizione del forum: Per chi è stato infettato o ha problemi con virus o cavalli di Troia, Rootkits, Adware, Spyware e Malwares in generale o per discutere di tematiche relative alla sicurezza informatica.
URL: Vedi discussione
Data di Stampa: 19/Aprile/2024 alle 18:02

Topic: Axfreeporn dialer
Postato da: Aurora
Soggetto: Axfreeporn dialer
Postato in data: 08/Marzo/2007 alle 20:51

 Nonostante i vari programmi che ho nel mio pc (C-cleaner, Norton Antivirus, Spybot, Ad-aware) mi sono ritrovata questa mattina con un fastidiosissimo dialer.

Praticamente mi si è staccata  la connessione del mio adsl, e subito c'è stata una richiesta di connessione da parte di "Axfreeporn", e sul mio desktop è apparso un collegamento "istant access"sotto forma di icona con i seni.

Dopo il primo shock, ho cercato e ho cancellato l'icona, sono andata nella cartella preftech ed ho cancellato il # di riferimento, ho eliminato la connessione da "opzioni internet", ho cancellato l'altra icona su impostazioni locali\temp, poi ho messo come connessione remota predefinita il mio fastrate ed ho eseguito tutti i programmi sopra citati ed è sembrato andare tutto ok...ma dopo un ora si è ripresentato di nuovo il problema .

Ho cercato e trovato sul sito Symantec il mio caso "instant access dialer" ma nel registro del sistema non ho trovato niente che era scritto in quel caso.

Disperata (ho pc di nuovo da appena 10 giorni) ho anche eseguito il ripristino di una configurazione precedente, ma niente.

Potete aiutarmi per favore? .

 

Logfile of HijackThis v1.99.1
Scan saved at 20.20.57, on 08/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\pctspk.exe
C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe
C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe
C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Programmi\Trust\250S Series\lwbwheel.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Programmi\Netropa\Onscreen Display\OSD.exe
C:\Programmi\Google\Google Updater\GoogleUpdater.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/ - http://www.libero.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [RemoteControl] "C:\Programmi\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [InCD] C:\Programmi\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [etMonitor] C:\WINDOWS\etMon.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programmi\Trust\250S Series\lwbwheel.exe
O4 - HKLM\..\Run: [PCPitstop Registration Reminder] C:\Programmi\PCPitstop\Exterminate\Reminder.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Google Updater.lnk = C:\Programmi\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {0E5F0222-96B9-11D3-8997-00104BD12D94} (PCPitstop Utility) - http://pcpitstop.com/pcpitstop/PCPitStop.CAB - http://pcpitstop.com/pcpitstop/PCPitStop.CAB
O17 - HKLM\System\CCS\Services\Tcpip\..\{8824EEA7-9AF6-4320-A930-4 F1312E2D5F1}: NameServer = 85.37.17.17 85.38.28.72
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programmi\Ahead\InCD\InCDsrv.exe
O23 - Service: Servizio Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmi\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe

 


Risposte:



Postato da: RAVEN
Postato in data: 09/Marzo/2007 alle 06:57

come primo intervento , se hai un modem analogico oltre a quello ADSL, disattivalo al più presto

Vai su Pannello di controllo-->Sistema-->Hardware-->Gestione periferiche...

...individua la voce MODEM, quindi espandila e seleziona il tuo modem specifico....clicca col tasto destro sopra di esso e scegli DISATTIVA

A quel punto non avendo più cio' che ti fa la chiamata ad un 'altro numero , cioè quello del dialer, stai sicura che non riceverai spiacevoli sorprese

Poi risolveremo anche il problema della sua eliminazione

Fatti una scansione da qui intanto

http://www.ewido.net/en/onlinescan/ - http://www.ewido.net/en/onlinescan/

Non hai trovato niente perchè dovevi cercare Axfreeporn e non Istant Access

 



-------------
Stefano Ravagni - <strong>'tanto prima o poi ti buco!'...disse il baco alla noce</strong> <br /> <br /><a href="https://www.pcprimipassi.it/d&#111;nazi&#111;ni.asp" target="_blank">SOSTIENICI</a>


Postato da: lucas
Postato in data: 09/Marzo/2007 alle 10:34

Ciao una solo domanda, dato che è un problema riscontrato da molti ultimamente, hai attivo il modem analogico? poi qual'è il sito specifico dove si conette?

Grazie

Ciao


-------------



Postato da: Aurora
Postato in data: 09/Marzo/2007 alle 11:42

Buongiorno,

X Lucas.

Ho un modem analogico, ma l'ho disattivato*. Quando si crea la nuova connessione è indirizzata credo a "Axfreeporn";  tra le proprietà ho solo visto il # telefonico, con il quale tenta di connettersi....3660222.

Comunque non lo usavo, non era nemmeno collegato al telefono, credo sia un modem integrato con il pc, io sto usando il modem Alice Fastrate USB 100 ADSL.

X Raven...

*Ho disattivato il modem come mi hai detto, ma dopo un pò si è verificato di nuovo il problema, ma questa volta nella finestra mi si ricordava che il mio modem non era funzionante e non poteva collegarsi!!!! poverino

Comunque ha sempre creato l'icona, una nuova connessione, la sua presenza nelle varie cartelle...ho proceduto come ho spiegato nel mio primo post ed adesso sto aspettado la prossima .

Ho eseguito ewido ed ha rilevato 13 trojan, ma io non mi sono fidata a cancellarli perchè volevo prima sapere da voi se era il caso di farlo o no...>>>>
__________________________________________________
ewido anti-spyware online scanner
  http://www.ewido.net - http://www.ewido.net
__________________________________________________


Name: Trojan.Obfuscated.dr
Path: [1152] C:\Programmi\File comuni\Symantec Shared\ccApp.exe
Risk: High

Name: Trojan.ClassLoader.f
Path: C:\Documents and Settings\xp\Dati applicazioni\Sun\Java\Deployment\cache\javapi\v1.0\jar\crtdc ghcn.jar-6148173-4feb0b91.zip/VaaaaaaaBaa.class
Risk: High

Name: Trojan.ClassLoader.g
Path: C:\Documents and Settings\xp\Dati applicazioni\Sun\Java\Deployment\cache\javapi\v1.0\jar\crtdc ghcn.jar-6148173-4feb0b91.zip/Dex.class
Risk: High

Name: Trojan.ClassLoader.g
Path: C:\Documents and Settings\xp\Dati applicazioni\Sun\Java\Deployment\cache\javapi\v1.0\jar\crtdc ghcn.jar-6148173-4feb0b91.zip/Dix.class
Risk: High

Name: Trojan.ClassLoader.g
Path: C:\Documents and Settings\xp\Dati applicazioni\Sun\Java\Deployment\cache\javapi\v1.0\jar\crtdc ghcn.jar-6148173-4feb0b91.zip/Dux.class
Risk: High

Name: Trojan.Obfuscated.dr
Path: C:\Programmi\Ahead\InCD\InCD.exe
Risk: High

Name: Trojan.Obfuscated.dr
Path: C:\Programmi\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
Risk: High

Name: Trojan.Obfuscated.dr
Path: C:\Programmi\File comuni\Symantec Shared\ccApp.exe
Risk: High

Name: Trojan.Obfuscated.dr
Path: C:\Programmi\SymNetDrv\SNDMon.exe
Risk: High

Name: Trojan.Obfuscated.dr
Path: C:\System Volume Information\_restore{17F996F8-42C9-4014-AF20-3F206227EB16}\R P32\A0001552.exe
Risk: High

Name: Trojan.Obfuscated.dr
Path: C:\System Volume Information\_restore{17F996F8-42C9-4014-AF20-3F206227EB16}\R P33\A0001622.exe
Risk: High

Name: Trojan.Obfuscated.dr
Path: C:\WINDOWS\etMon.exe
Risk: High

Name: Trojan.Obfuscated.dr
Path: C:\WINDOWS\system32\NeroCheck.exe
Risk: High

Cosa devo fare? Grazie

Ho notato che appena entro in internet tra la cronologia c'è sempre per primo un indirizzo IP (88.80.5.21 )ed ho scoperto essere svedese...potrebbe essere questa la causa? L'unico programma svedese che ho è Lavasoft adaware, potrebbe essere lui?...*sigh*
Questo è quello che appare quando ci clicco sopra>>>>>

156&fw=2048&&v=82&m=1&vm=0

**** Link infetto e pericoloso eliminato ****
 
Grazie per l'aiuto

 



-------------



Postato da: Aurora
Postato in data: 10/Marzo/2007 alle 13:56

Update on me...

Ancora ho il problema in oggetto, ma con il passare dei giorni ho notato una cosa...

Il problema con "Axfreeporn" si sta verificando ciclicamente....ogni 24 ore...praticamente alle stesse ore di ieri e l'altro ieri, oggi si è verificato di nuovo, ora sto aspettando per la terza volta che accada intorno alle 14:30...

E' questa una caratteristica dei dialer o è solo un caso? 

In attesa che qualcosa accada durante la prossima ora....vi ringrazio in anticipo




Postato da: lucas
Postato in data: 10/Marzo/2007 alle 15:21

Ciao, vai su questo sito http://www.virustotal.com/en/indexf.html - http://www.virustotal.com/en/indexf.html clicca sul tasto sfoglia, ti si apre una finestra, nello spazio nome file, inserisci questo percorso
C:\WINDOWS\system32\NeroCheck.exe
Clicca sul pulsante Apri
Clicca sul pulsante Send
Attendi che il file venga scansionato a fine scansione, riceverai i risultati, gentilmente, riporta i risultati nella tua risposta

Ciao


-------------



Postato da: Aurora
Postato in data: 10/Marzo/2007 alle 16:56

Ciao , ho eseguito quello che hai richiesto, questo è il risultato (spero funzioni) :

http://www.virustotal.com/vt/en/resultadof?e19d96fc77b06f6a5ba60cf5f865157a - http://www.virustotal.com/vt/en/resultadof?e19d96fc77b06f6a5 ba60cf5f865157a

Grazie.




Postato da: lucas
Postato in data: 10/Marzo/2007 alle 19:41

Purtroppo non funziona, oltre ad ewido altri lo segnalavano come infetto?

Ciao


-------------



Postato da: Aurora
Postato in data: 10/Marzo/2007 alle 22:10

Ciao

Ecco cosa c'era scritto:

">

">

Posso eventualmente cancellare tutti i file (14) che ha trovato ewido e AVG?

Grazie




Postato da: lucas
Postato in data: 10/Marzo/2007 alle 23:21

Ciao, il problema è che si sono infettati alcuni files appartenenti a software legittimi quali norton o nero, se non ricordo male(spero di no) questo malware esegue una copia dei files puliti per poi inserire quelli infetti.
Scarica questo file sul desktop
http://noahdfear.geekstogo.com/FindAWF.exe - http://noahdfear.geekstogo.com/FindAWF.exe
Esegui il file, si apre una finestra dos, premi invio per continuare, finito tutto si aprirà il block notes, seleziona tutto il contenuto e fai un copia e incolla nella tua risposta

Ciao


-------------



Postato da: Aurora
Postato in data: 10/Marzo/2007 alle 23:45

Ciao ,
detto...fatto:


  Find AWF report by noahdfear ©2006


  21504 byte files found
  ~~~~~~~~~~~~~

 

  21504 byte files sorted with strings
  ~~~~~~~~~~~~~~~~~~~~~

 

  25600 byte files found
  ~~~~~~~~~~~~~

 

  25600 byte files sorted with strings
  ~~~~~~~~~~~~~~~~~~~~~

 

  26450 byte files found
  ~~~~~~~~~~~~~

 

  26450 byte files sorted with strings
  ~~~~~~~~~~~~~~~~~~~~~

 

  bak folders found
  ~~~~~~~~~~~

 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\WINDOWS\BAK

26/07/2005  19.45         & nbsp;  40.960 etMon.exe
                1 File         40.960 byte
                2 Directory  62.253.662.208 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\SYMNET~1\BAK

28/02/2007  20.16         & nbsp;  95.960 SNDMon.exe
                1 File         95.960 byte
                2 Directory  62.253.662.208 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\WINDOWS\SYSTEM32\BAK

19/08/2004  14.39         & nbsp;  15.360 ctfmon.exe
09/07/2001  11.50         & nbsp; 155.648 NeroCheck.exe
                2 File        171.008 byte
                2 Directory  62.253.658.112 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\AHEAD\INCD\BAK

10/03/2007  10.09         & nbsp; 131.057 Error.log
06/04/2004  18.36         1.298.542 InCD.exe
                2 File      1.429.599 byte
                2 Directory  62.253.658.112 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\CYBERL~1\POWERDVD\BAK

08/12/2003  17.35         & nbsp;  32.768 PDVDServ.exe
                1 File         32.768 byte
                2 Directory  62.253.658.112 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\FILECO~1\SYMANT~1\BAK

04/04/2006  12.02         & nbsp;  71.304 ccApp.exe
                1 File         71.304 byte
                2 Directory  62.253.658.112 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\TRUST\250SSE~1\BAK

20/04/2001  12.42         & nbsp; 429.568 lwbwheel.exe
                1 File        429.568 byte
                2 Directory  62.253.658.112 byte disponibili


  Duplicate files of bak directory contents
  ~~~~~~~~~~~~~~~~~~~~~~~

     40960 26 Jul 2005 "C:\Programmi\ETUSB2.0\etMon.exe"
     40960 26 Jul 2005 "C:\WINDOWS\bak\etMon.exe"
    100048 10 Mar 2007 "C:\Programmi\SymNetDrv\SNDMon.exe"
     95960 28 Feb 2007 "C:\Programmi\SymNetDrv\bak\SNDMon.exe"
     15360 19 Aug 2004 "C:\WINDOWS\system32\ctfmon.exe"
     15360 19 Aug 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
    155648  9 Jul 2001 "C:\WINDOWS\system32\bak\NeroCheck.exe"
    127746 28 Feb 2007 "C:\Programmi\Ahead\InCD\Error.log"
    131057 10 Mar 2007 "C:\Programmi\Ahead\InCD\bak\Error.log"
     23564 28 Feb 2007 "C:\Programmi\Ahead\InCD\InCD.exe"
   1298542  6 Apr 2004 "C:\Programmi\Ahead\InCD\bak\InCD.exe"
     23564 28 Feb 2007 "C:\Programmi\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
     32768  8 Dec 2003 "C:\Programmi\CyberLink DVD Solution\PowerDVD\bak\PDVDServ.exe"
     58984 21 Feb 2007 "C:\Programmi\File comuni\Symantec Shared\CCAPP.EXE"
     71304  4 Apr 2006 "C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe"
    429568 20 Apr 2001 "C:\Programmi\Trust\250S Series\LwbWheel.exe"
    429568 20 Apr 2001 "C:\Programmi\Trust\250S Series\bak\lwbwheel.exe"


  end of report

*****************************************

Prima di fare questa operazione avevo messo in quarantena su AVG i seguenti file :

C:\WINDOWS\etMon.exe -> Trojan.Obfuscated.dr : Ripulito con backup (in quarantena)
C:\WINDOWS\system32\NeroCheck.exe -> Trojan.Obfuscated.dr : Ripulito con backup (in quarantena)

Spero di non aver peggiorato la cosa!!!

Ciao, grazie ancora e...buonanotte 


 




Postato da: lucas
Postato in data: 11/Marzo/2007 alle 12:14

Ciao cercherò di essere il + chiaro possibile.
Vedi:
C:\Programmi\Trust\250S Series\LwbWheel.exe
C:\Programmi\Trust\250S Series\bak\lwbwheel.exe
c'è una cartella bak, quella cartella contiene il file pulito, dovresti aprire la cartella bak è ripristinare il file pulito(LwbWheel.exe) copiandolo nella cartella
C:\Programmi\Trust\250S Series <-------

devi eseguire la stessa operazione per queste cartelle
C:\WINDOWS\bak\etMon.exe
C:\Programmi\ETUSB2.0\etMon.exe
Copia il file etMon.exe presente nella cartella bak nella cartella
C:\Programmi\ETUSB2.0 <-------

C:\Programmi\SymNetDrv\SNDMon.exe
C:\Programmi\SymNetDrv\bak\SNDMon.exe
Copia il file SNDMon.exe presente nella cartella bak nella cartella
C:\Programmi\SymNetDrv <-------

C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\bak\ctfmon.exe
Copia il file ctfmon.exe presente nella cartella bak nella cartella
C:\WINDOWS\system32 <-------

C:\WINDOWS\system32\bak\NeroCheck.exe
Copia il file nerocheck.exe presente nella cartella bak nella cartella
C:\WINDOWS\system32 <-----


C:\Programmi\Ahead\InCD\Error.log
C:\Programmi\Ahead\InCD\bak\Error.log
C:\Programmi\Ahead\InCD\InCD.exe
C:\Programmi\Ahead\InCD\bak\InCD.exe
Copia i files Error.log e InCD.exe presenti nella cartella bak nella cartella
C:\Programmi\Ahead\InCD <-------

C:\Programmi\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\Programmi\CyberLink DVD Solution\PowerDVD\bak\PDVDServ.exe
Copia il file PDVDServ.exe presente nella cartella bak nella cartella
C:\Programmi\CyberLink DVD Solution\PowerDVD <-------

C:\Programmi\File comuni\Symantec Shared\CCAPP.EXE
C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe
Copia il file ccApp.exe presente nella cartella bak nella cartella
C:\Programmi\File comuni\Symantec Shared <-------

Ciao


-------------



Postato da: Aurora
Postato in data: 11/Marzo/2007 alle 12:49

Buongiorno...

Ho potuto eseguire questa operazione solo per alcuni file, per altri era impossibile continuare perchè secondo il pc tramite una finestra windows "il file era in uso da un altro utente o programma".

I programmi per i quali NON è stato possibile effettuare la copia sono: 

C:\Programmi\Trust\250S Series\LwbWheel.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\Programmi\File comuni\Symantec Shared\CCAPP.EXE

Grazie e Buona Domenica




Postato da: lucas
Postato in data: 11/Marzo/2007 alle 12:59

Ciao, disattiva norton,disconnetti da internet
Apri il task manager(control+alt+canc)
nella lista individua i processi
LwbWheel.exe
ctfmon.exe
PDVDServ.exe
CCAPP.EXE
Selezionali una alla volta, clicca con il destro del mouse e scegli l'opzione "termina processo" adesso non dovresti aver problemi nel copiare i files, finito, riavvia il pc e riattiva norton

Buona domenica anche a te


-------------



Postato da: Aurora
Postato in data: 11/Marzo/2007 alle 13:59

Ciao...

Ho fatto come hai suggerito, ma è stato possibile fare l'operazione solo per : LwbWheel.exe e ctfmon.exe
              

Per quanto riguarda gli altri 2 files:

- PDVDServ.exe >>>> tutto ok con Task Manager ma ancora impossibile fare la copia da bak (esce sempre la solita finestra di errore).

- CCAPP.EXE >>>> impossibile chiudere il processo con Task Manager conseguentemente impossibile copiare il file da bak.

Grazie

                             




Postato da: lucas
Postato in data: 11/Marzo/2007 alle 16:01

Ciao, prova ad eseguire la copia dei files in modalità provvisoria con norton disattivato, ciao

-------------



Postato da: Aurora
Postato in data: 11/Marzo/2007 alle 19:33

Ciao...

tutto ok in modalità provvisoria, ho copiato i files senza problema.

Spero di aver risolto il problema

Devo postare il nuovo log o no?

Buona serata




Postato da: lucas
Postato in data: 12/Marzo/2007 alle 13:15

Ciao, riesegui una scansione con avg e vedi cosa rileva

Ciao


-------------



Postato da: Aurora
Postato in data: 12/Marzo/2007 alle 16:28

Ho quasi paura a dirlo ma....

sembra sia tutto ok!!!

Da questa mattina ancora non si è verificato nessun problema con "Axfreeporn",  e facendo la scansione, AVG ha  solo rilevato dei trojan nei files C:\System Volume information seguito da parentesi graffe con molti numeri e lettere, che ho provveduto a mettere in quarantena in compagnia di quelli di ieri (Oddio spero di aver fatto bene!!! ).

Continuando ad incrociare le dita per il resto della giornata.....vi ringrazio anticipatamente per tutto l'aiuto.

Ciao




Postato da: lucas
Postato in data: 12/Marzo/2007 alle 18:09

Ciao, si, hai fatto bene a mettere in quarantena quei files
Prego, è stato un piacere

Ciao


-------------



Postato da: Aurora
Postato in data: 13/Marzo/2007 alle 10:13

ore 10:10 del 13 Marzo 2007

Sono esattamente 24h che il mio pc non ha subito invasioni da parte di Axfreeporn dialer!!!

   

GRAZIE 




Postato da: andyduraz
Postato in data: 15/Marzo/2007 alle 23:37

Ciao ragazzi. Ho avuto lo stesso problema di Aurora con axefreeporn, ho effettuato tutte le operazioni di backup, e sembra che il problema sia risolto (la connessione per la Lituania..non avviene più). Tuttavia nelle risorse di rete, è rimasta una connessione dal nome appunto axefreeporn e non riesco a cancellarla, inoltre nel firewall di windows la stessa connessione compare nelle "eccezioni" (che ho opportunamente smarcato). Come devo fare ad eliminare questi dati? Perchè non cancella la connessione dalle "risorse di rete"? Qualcuno può indicarmi una soluzione?




Postato da: Aurora
Postato in data: 16/Marzo/2007 alle 11:25

Ciao...

anche per me era lo stesso... infatti, io potevo cancellare la connessione di Axfreeporn solo attraverso le opzioni di internet...

 

 

 




Postato da: andyduraz
Postato in data: 16/Marzo/2007 alle 22:59

Ciao Aurora. Come sei riuscita ad eliminare del tutto la voce "axefreeporn" dalle connessioni? Io non riesco proprio a cancellarla..




Postato da: jakomo
Postato in data: 17/Marzo/2007 alle 00:13

Salve,anche io ho il problema di axfreeporn.Ho provato in tutti i modi,sia con hijackthis che con spybot,ccleaner,prevx1 e tutto quello che c'è da provare,uff :( come fare?sempre il solito problema,se qualcuno riesce a risolverlo,please dite come fare.Ciao e aspetto risposte risolutive,spero:D

seguendo il consiglio di Lucas per Aurora ho copiato il report di findAWF:


  Find AWF report by noahdfear ©2006


  bak folders found
  ~~~~~~~~~~~

 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 0417-D745

 Directory di C:\PROGRA~1\MESSEN~1\BAK

                0 File         &n bsp;    0 byte
                2 Directory   9.862.356.992 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 0417-D745

 Directory di C:\PROGRA~1\MSNMES~1\BAK

29/07/2006  19.33         5.354.792 msnmsgr.exe
                1 File      5.354.792 byte
                2 Directory   9.862.356.992 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 0417-D745

 Directory di C:\WINDOWS\SYSTEM32\BAK

19/08/2004  15.39         & nbsp;  15.360 ctfmon.exe
17/02/2007  00.53         & nbsp;  37.222 lsasss.exe
09/07/2001  11.50         & nbsp; 155.648 NeroCheck.exe
                3 File        208.230 byte
                2 Directory   9.862.352.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 0417-D745

 Directory di C:\PROGRA~1\ALWILS~1\AVAST4\BAK

15/01/2007  18.28         & nbsp; 108.160 ashDisp.exe
                1 File        108.160 byte
                2 Directory   9.862.352.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 0417-D745

 Directory di C:\PROGRA~1\FILECO~1\AHEAD\LIB\BAK

03/09/2005  15.18         & nbsp;  94.208 NMBgMonitor.exe
                1 File         94.208 byte
                2 Directory   9.862.352.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: 0417-D745

 Directory di C:\PROGRA~1\GOOGLE\GOOGLE~1\12908~1.500\BAK

15/11/2006  17.55         & nbsp; 163.576 GoogleToolbarNotifier.exe
                1 File        163.576 byte
                2 Directory   9.862.352.896 byte disponibili


  Duplicate files of bak directory contents
  ~~~~~~~~~~~~~~~~~~~~~~~

   5674352 19 Jan 2007 "C:\Programmi\MSN Messenger\msnmsgr.exe"
   5354792 29 Jul 2006 "C:\Programmi\MSN Messenger\bak\msnmsgr.exe"
     15360 19 Aug 2004 "C:\WINDOWS\system32\ctfmon.exe"
     15360 19 Aug 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
     23564 20 Feb 2007 "C:\WINDOWS\system32\lsasss.exe"
     37222 17 Feb 2007 "C:\WINDOWS\system32\bak\lsasss.exe"
     23564 20 Feb 2007 "C:\WINDOWS\system32\NeroCheck.exe"
    155648  9 Jul 2001 "C:\WINDOWS\system32\bak\NeroCheck.exe"
    108160 15 Jan 2007 "C:\Programmi\Alwil Software\Avast4\ashDisp.exe"
    108160 15 Jan 2007 "C:\Programmi\Alwil Software\Avast4\bak\ashDisp.exe"
     94208  3 Sep 2005 "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe198"
     94208  3 Sep 2005 "C:\Programmi\File comuni\Ahead\Lib\bak\NMBgMonitor.exe"
     52272 25 Feb 2007 "C:\Programmi\Google\googletoolbar2user.exe"
     69632 15 Dec 2006 "C:\Programmi\Google\Google Earth\googleearth.exe"
  15001752 24 Dec 2006 "C:\Documents and Settings\Lorena\Documenti\programmi vari\GoogleEarthWin.exe"
    138168 25 Feb 2007 "C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe"
    171448 25 Feb 2007 "C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\Goo gleToolbarNotifier.exe"
    163576 15 Nov 2006 "C:\Programmi\Google\GoogleToolbarNotifier\1.2.908.5008\bak\ GoogleToolbarNotifier.exe"


  end of report




Postato da: Aurora
Postato in data: 17/Marzo/2007 alle 07:59

Postato originariamente da andyduraz

Ciao Aurora. Come sei riuscita ad eliminare del tutto la voce "axefreeporn" dalle connessioni? Io non riesco proprio a cancellarla..

Ciao andy, io ho potuto cancellare la connessione solo attraverso opzioni internet.

START>>>Pannello di controllo>>>opzioni internet>>>connessioni>>>clicca su Axfreeporn>>>poi su rimuovi>>>applica>>>ok.

Per me ha funzionato in questo modo, spero lo stesso per te




Postato da: andyduraz
Postato in data: 17/Marzo/2007 alle 09:19

No, per me non va, ci provo ma nono lo cancella, sembra blindato!!! La connessione automatica non avviene più fortunatamente, ma è sempre lì presente. Come fare? Aiutooooo


Postato da: notwen
Postato in data: 17/Marzo/2007 alle 11:51

Prova a farlo entrando nel Pc in modalità provvisoria.

-------------
<a href="http://www.flickr.com/photos/danifeb" target="_blank">Le mie foto su Flickr!!!</a> <br />


Postato da: jakomo
Postato in data: 17/Marzo/2007 alle 13:39

Postato originariamente da Aurora

Postato originariamente da andyduraz

Ciao Aurora. Come sei riuscita ad eliminare del tutto la voce "axefreeporn" dalle connessioni? Io non riesco proprio a cancellarla..

Ciao andy, io ho potuto cancellare la connessione solo attraverso opzioni internet.

START>>>Pannello di controllo>>>opzioni internet>>>connessioni>>>clicca su Axfreeporn>>>poi su rimuovi>>>applica>>>ok.

Per me ha funzionato in questo modo, spero lo stesso per te

io ho provato un sacco di volte a cancellarla da qui...però ogni volta che ricompare l'icona sul desktop di "instant access" ricompare pure la connessione tra quelle remote.Non c'è nulla da fare :( devo per forza formattare il PC? :( sigh!




Postato da: notwen
Postato in data: 17/Marzo/2007 alle 14:11

no no! hai provato a usare Spybot?
il problema è che il malware ha inserito nel registro di sistema una chiave che ad ogni riavvio ti ripristina il dialer.


-------------
<a href="http://www.flickr.com/photos/danifeb" target="_blank">Le mie foto su Flickr!!!</a> <br />


Postato da: jakomo
Postato in data: 17/Marzo/2007 alle 14:56

Si,ho provato anche spybot,ha eliminato 3 malware ma il problema sussiste.Anzi,ultimamente ho notato una cosa ma non so se è stato un caso: ho avviato windows in modalità provvisoria e copiati tutti i files di C:\windows\system32\bak\   in    c:\windows\system32,ma ho notato che compare sempre l'icona di "instant access" sul desktop ma è scomparsa la connessione remota di axfreeporn...almeno stavolta la connessione non è caduta.Se al prossimo "istant access"  la connessione non cade diciamo allora che il problema si è risolto almeno parzialmente...:)    Vi terrò informati,ciaoooo


Postato da: jakomo
Postato in data: 17/Marzo/2007 alle 19:11

Postato originariamente da notwen

no no! hai provato a usare Spybot?
il problema è che il malware ha inserito nel registro di sistema una chiave che ad ogni riavvio ti ripristina il dialer.

Già,però non è detto che sia al riavvio,ma ogni volta che ricompare l'icone sul desktop di "instant access".




Postato da: notwen
Postato in data: 17/Marzo/2007 alle 21:09

CERCA QUESTA CARTELLA DI CHIAVI ED ELIMINALA [DA REGEDIT]
HKEY_LOCAL_MACHINE \ Software \ Instant Access

E CANCELLA QUESTA DIRECTORY
C: \ Program Files \ Instant Access


-------------
<a href="http://www.flickr.com/photos/danifeb" target="_blank">Le mie foto su Flickr!!!</a> <br />


Postato da: jakomo
Postato in data: 17/Marzo/2007 alle 22:37

Postato originariamente da notwen

CERCA QUESTA CARTELLA DI CHIAVI ED ELIMINALA [DA REGEDIT]
HKEY_LOCAL_MACHINE \ Software \ Instant Access

E CANCELLA QUESTA DIRECTORY
C: \ Program Files \ Instant Access

Scusa,ma se ti riferivi a me...non sono riuscito ne a trovare instant access nel registro e neanche in c:\program files\instant access

:(

Ed ho anche notato che il problema della disconnessione ce l'ho ancora,uffi:(




Postato da: lucas
Postato in data: 18/Marzo/2007 alle 11:14

Devi ripristinare tutti i files infetti con quelli puliti, la cartella bak contiene i files puliti, quindi avvi in modalità provvisoria e copi i files presenti nella cartella bak nella cartella del programma
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\Programmi\MSN Messenger\bak\msnmsgr.exe
Per esempio qui, apri la cartella bak e copi il file msnmsgr.exe nella cartella MSN Messenger.

C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\bak\ctfmon.exe

C:\WINDOWS\system32\NeroCheck.exe
C:\WINDOWS\system32\bak\NeroCheck.exe

C:\Programmi\Alwil Software\Avast4\ashDisp.exe
C:\Programmi\Alwil Software\Avast4\bak\ashDisp.exe

C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe198
C:\Programmi\File comuni\Ahead\Lib\bak\NMBgMonitor.exe

C:\Programmi\Google\GoogleToolbarNotifier\1.2.1128.5462\Goog leToolbarNotifier.exe
C:\Programmi\Google\GoogleToolbarNotifier\1.2.908.5008\bak\G oogleToolbarNotifier.exe

Ciao

PS:Per prima cosa elimina il file C:\WINDOWS\system32\lsasss.exe <---
non confonderlo con lsass.exe


-------------



Postato da: andyduraz
Postato in data: 18/Marzo/2007 alle 11:29

Ciao, io ho fatto tutte le operazioni di copia-incolla dei file bak, e il problema è risolto (la connessione automatica non avviene più). Tuttavia mi resta sempre la connessione a "axefreeporn" nelle connessioni di rete e nelle opzioni internet, che non riesco ad eliminare (neanche in modalità provvisoria in quanto in tale modo le connessioni non vengono caricate). Sai mica come si può fare?


Postato da: lucas
Postato in data: 18/Marzo/2007 alle 11:40

scarica Systemscan da qua http://www.suspectfile.com/systemscan - http://www.suspectfile.com/systemscan
Avvialo, spunta tutte le caselle e premi su "Scan now".
Alla fine della scansione, ti verrà salvato un file chiamato report.txt in c:\suspectfile
Carica questo report su http://www.sendmefile.com/ - www.sendmefile.com (premi Sfoglia, seleziona il file report.txt e poi clicca su Upload file) e poi posta qui il link in modo che possa prelevare il file.

Grazie

Ciao

-------------



Postato da: andyduraz
Postato in data: 18/Marzo/2007 alle 20:17

Ciao,scusami ma il programma systemscan.exe non me lo scarica, arriva a 85 kb e si interrompe, non hai mica un altro programma da farmi usare?


Postato da: lucas
Postato in data: 18/Marzo/2007 alle 20:52

Ok, nessun problema ne proviamo un altro
Scarica questo file sul desktop
http://download.bleepingcomputer.com/oldtimer/winpfind3u.exe - http://download.bleepingcomputer.com/oldtimer/winpfind3u.exe
Estrai il file in una nuova cartella
Avvia in modalità provvisoria
Apri la cartella dove hai estratto il file ed esegui il file WinPFind3U.exe
Nel box "Additional Scan" scorri la lista e metti la spunta nella casella "File-Additional Folders Scan"
Clicca sul pulsante "Run scan"
Aspetta che la scansione sia finita e vedrai il block notes aprirsi, salva il file ed allegalo al sito citato nel topic precedente.

Ciao

-------------



Postato da: jakomo
Postato in data: 19/Marzo/2007 alle 12:05

Ciao a tutti :-)     (per Lucas): ho fatto come hai detto tu.Ho copiato i files delle cartelle "bak" nelle cartelle superiori e fino ad ora non ho avuto problemi.Spero che non ce ne siano più ;-) Grazie Lucas,in caso se il problema è risolto definitivamente o se avrò qualche problema(spero di no) mi farò sentire.Grazie ancora e ciao a tutti;-)


Postato da: lucas
Postato in data: 19/Marzo/2007 alle 12:31

@jakomo
Perfetto, casomai effettua una scansione completa con avg antispyware oppure una scansione on-line con kaspersky

Ciao


-------------



Postato da: andyduraz
Postato in data: 19/Marzo/2007 alle 16:05

Ciao, ho fatto come richiesto e il report è scaricabile a questo link:

http://www.sendmefile.com/00514523 - http://www.sendmefile.com/00514523

Potresti dargli un occhiata?

PS:mi sono accorto di un'altra cosa, non riesco più a modificare le altre connessioni, se vado per esempio a modificare il numero di una delle connessioni che uso, esce una finestrella con scritto:

Errore 624: impossibile aggiornare il file della rubrica telefonica.

Cosa può significare?




Postato da: lucas
Postato in data: 19/Marzo/2007 alle 20:03

Ciao, ho visto dal log che alcuni files sono stati modificati oggi, gentilmente, riesegui questo tool
http://noahdfear.geekstogo.com/FindAWF.exe - http://noahdfear.geekstogo.com/FindAWF.exe
Esegui il file, si apre una finestra dos, premi invio per continuare, finito tutto si aprirà il block notes, seleziona tutto il contenuto e fai un copia e incolla nella tua risposta

Ciao

PS:Per l'errore, prova a leggere qui


-------------



Postato da: andyduraz
Postato in data: 19/Marzo/2007 alle 20:34

Ecco il risultato:

Find AWF report by noahdfear ©2006


  bak folders found
  ~~~~~~~~~~~

 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 2629-16F0

 Directory di C:\WINDOWS\BAK

10/05/2004  17.37         & nbsp; 286.720 vsnpstd.exe
                1 File        286.720 byte
                2 Directory  60.448.505.856 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 2629-16F0

 Directory di C:\WINDOWS\SYSTEM32\BAK

19/08/2004  15.39         & nbsp;  15.360 ctfmon.exe
07/02/2006  08.36         & nbsp;  77.824 hkcmd.exe
07/02/2006  08.40         & nbsp; 118.784 igfxpers.exe
07/02/2006  08.39         & nbsp;  94.208 igfxtray.exe
09/07/2001  10.50         & nbsp; 155.648 NeroCheck.exe
                5 File        461.824 byte
                2 Directory  60.448.505.856 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 2629-16F0

 Directory di C:\PROGRA~1\APOINT2K\BAK

23/06/2003  10.35         & nbsp; 147.456 Apoint.exe
                1 File        147.456 byte
                2 Directory  60.448.505.856 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 2629-16F0

 Directory di C:\PROGRA~1\LAUNCH~1\BAK

27/06/2003  17.01         & nbsp; 155.648 CPLBCL53.EXE
                1 File        155.648 byte
                2 Directory  60.448.505.856 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 2629-16F0

 Directory di C:\PROGRA~1\ALWILS~1\AVAST4\BAK

15/01/2007  18.28         & nbsp; 108.160 ashDisp.exe
                1 File        108.160 byte
                2 Directory  60.448.505.856 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 2629-16F0

 Directory di C:\PROGRA~1\NOKIA\NOKIAD~1\BAK

28/08/2002  12.05         & nbsp;  24.576 D211STRT.EXE
                1 File         24.576 byte
                2 Directory  60.448.505.856 byte disponibili


  Duplicate files of bak directory contents
  ~~~~~~~~~~~~~~~~~~~~~~~

    286720 10 May 2004 "C:\WINDOWS\bak\vsnpstd.exe"
    286720 10 May 2004 "C:\Programmi\File comuni\snpstd\vsnpstd.exe"
     15360 19 Aug 2004 "C:\WINDOWS\system32\ctfmon.exe"
     15360 19 Aug 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
    155648  9 Jul 2001 "C:\WINDOWS\system32\NeroCheck.exe"
    155648  9 Jul 2001 "C:\WINDOWS\system32\bak\NeroCheck.exe"
     94208  7 Feb 2006 "C:\WINDOWS\system32\igfxtray.exe"
     94208  7 Feb 2006 "C:\WINDOWS\system32\bak\igfxtray.exe"
    155648 23 Jun 2003 "C:\WINDOWS\system32\ReinstallBackups\0014\DriverFiles\igfxt ray.exe"
    155648 23 Jun 2003 "C:\WINDOWS\system32\ReinstallBackups\0011\DriverFiles\igfxt ray.exe"
     77824  7 Feb 2006 "C:\WINDOWS\system32\hkcmd.exe"
     77824  7 Feb 2006 "C:\WINDOWS\system32\bak\hkcmd.exe"
    114688 23 Jun 2003 "C:\WINDOWS\system32\ReinstallBackups\0014\DriverFiles\hkcmd .exe"
    114688 23 Jun 2003 "C:\WINDOWS\system32\ReinstallBackups\0011\DriverFiles\hkcmd .exe"
    118784  7 Feb 2006 "C:\WINDOWS\system32\igfxpers.exe"
    118784  7 Feb 2006 "C:\WINDOWS\system32\bak\igfxpers.exe"
    147456 23 Jun 2003 "C:\Programmi\Apoint2K\Apoint.exe"
    147456 23 Jun 2003 "C:\Programmi\Apoint2K\bak\Apoint.exe"
    155648 27 Jun 2003 "C:\Programmi\Launch Manager\bak\CPLBCL53.EXE"
    108160 15 Jan 2007 "C:\Programmi\Alwil Software\Avast4\ashDisp.exe"
    108160 15 Jan 2007 "C:\Programmi\Alwil Software\Avast4\bak\ashDisp.exe"
     24576 28 Aug 2002 "C:\Programmi\Nokia\Nokia D211\D211STRT.EXE"
     24576 28 Aug 2002 "C:\Programmi\Nokia\Nokia D211\bak\D211STRT.EXE"


  end of report




Postato da: lucas
Postato in data: 19/Marzo/2007 alle 20:45

Ok, hai ancora problemi?
Potresti effettuare una http://www.pandasoftware.com/activescan/it/activescan_principal.htm - -
Clicca su "Analizza pc"
Inserisci i dati richiesti
Scarica l'active x per consentire la scansione
Attendi il caricamento dei dati,una volta finito ti si aprirà una schermata,da li puoi scegliere cosa scansionare,scegli tutto il computer,attendi la fine della scansione e salva il rapporto sul pc,apri il rapporto e fai una copia e incolla nella tua risposta

Ciao


-------------



Postato da: andyduraz
Postato in data: 19/Marzo/2007 alle 20:52

OK OK OK! Sei un mito, il problema l'ho risolto tramite il link che mi hai indicato su openPC. Sei un mito! Grazie mille




Postato da: notwen
Postato in data: 19/Marzo/2007 alle 20:54

un applauso a Lucas 

-------------
<a href="http://www.flickr.com/photos/danifeb" target="_blank">Le mie foto su Flickr!!!</a> <br />


Postato da: notwen
Postato in data: 20/Marzo/2007 alle 12:21

Scaricati http://ftp.html.it/index.php?softname=spybotsd14.exe&code=1174389684&q=MTQ3N3xzcHlib3Qtc2VhcmNoLWFuZC1kZXN0cm95 - Chiedo ad un moderatore di eliminare il link dal post poichè si tratta di un download pericoloso.


La scansione con Spybot falla accedendo a windows in modalità provvisoria.



-------------
<a href="http://www.flickr.com/photos/danifeb" target="_blank">Le mie foto su Flickr!!!</a> <br />


Postato da: RAVEN
Postato in data: 20/Marzo/2007 alle 14:15

Grazie della segnalazione Notwen..il link è stato eliminato

-------------
Stefano Ravagni - <strong>'tanto prima o poi ti buco!'...disse il baco alla noce</strong> <br /> <br /><a href="https://www.pcprimipassi.it/d&#111;nazi&#111;ni.asp" target="_blank">SOSTIENICI</a>


Postato da: jakomo
Postato in data: 20/Marzo/2007 alle 16:09

Salve a tutti :)   Credo di aver risolto il problema di Axfreeporn.Sono quasi due giorni che non mi si disconnette più e non compare ne l'icona di "instant access" e ne la connessione remota axfreeporn.Grazie Lucas ;) Se dovessi avere ancora problemi vi terrò informati ma ormai credo che il problema sia risolto :) Ciaoooo e buon proseguimento di giornata.


Postato da: jakomo
Postato in data: 20/Marzo/2007 alle 19:28

Postato originariamente da Herman_Toshiba

scusa jacomo,

potresti ricapitolare il modo con cui sei riuscito a debellarlo?

Ciao Herman,non vorrei essere l'uccello del malaugurio ma non sottovalutare il dialer:)   Aspetta almeno 24 ore per avere almeno una piccola certezza di averlo eliminato. Io,anche in precedenza, ho avuto la sensazione di essermene sbarazzato ed invece...eccolo ricomparire puntualmente.Adesso,dopo quasi 48 ore di totale assenza di questo problema,comincio a sentirmi meglio:)

Comunque,mi auguro che tu l'abbia già risolto ma in caso,come mi ha giustamente consigliato Lucas, scarica FindAWF e controlla il report della scansione.Ci saranno delle cartelle "bak" che contengono i files non infetti.Avvia Windows in modalità provvisoria e copia i files buoni delle cartelle bak nelle loro cartelle immediatamente superiori indicate dalla scansione fatta con findAWF.Dopo di ciò riavvia windows normalmente e ...come per magia tutto risolto:-) Per sicurezza fai qualche altra scansione online con AVG antispyware o con kaspersky ma non credo che ci dovrebbero essere problemi.Ciaoooo:)




Postato da: jakomo
Postato in data: 20/Marzo/2007 alle 21:25

Herman,copia il report e postalo qui nel forum,magari se c'è qualcosa che non va e qualcuno che se ne intende molto più di me del problema potrebbe darti una risposta. ;)


Postato da: prisca85
Postato in data: 21/Marzo/2007 alle 19:53

ciao herman,

nel log vedo due voci che dovresti eliminare.

segui queste istruzioni:
-apri hijackthis, clicca su "do a system scan only" e metti la spunta accanto alle seguenti voci:
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE (e' collegato alla Realtek ma da molti e' considerato uno spyware perche' e' un processo che manda informazioni sui clienti alla realtek, se lo elimini cmq non ci saranno malfunzionamenti con i componenti realtek che hai installato)
O20 - Winlogon Notify: winghy32 - C:\WINDOWS\SYSTEM32\winghy32.dll (nettamente nocivo, da eliminare!!)

-clicca in fondo su "fix checked" e chiudi il programma.

-adesso riapri hijackthis e clicca sul bottone "Open Misc Tools Section"
-da li clicca su "Delete a file on reboot.."
-sotto "nome file" copia e incolla questo:
C:\WINDOWS\SYSTEM32\winghy32.dll (se lo trovi, se no salta questo passaggio, si vede che e' stato gia eliminato ma c'era rimasta la voce nel log)
-seleziona il file e hijackthis ti chiedera' di riavviare, tu clicca su "yes" o riavvia tu se non lo fa in automatico.

-al riavvio fai una scansione con hijackthis e controlla che il file winghy32.dll non ci sia piu', dopo di che non vedo altre minacce

-------------
live right now, just be yourself..it doesn't matter if it's good enough for someone else


Postato da: Aurora
Postato in data: 23/Marzo/2007 alle 22:05

E' accaduto di nuovo!!!

Ma questa volta l'icona è una "D" verde con sfondo bianco e la connessione è "Instant Access Dialer".

La cattiva notizia è che ho lo stesso problema con il pc e anche con il laptop!!!

Non appena avrò entrambi i log di Hijack e AWF li posterò.

Lucassssssss.....HELP ME!!!!




Postato da: notwen
Postato in data: 23/Marzo/2007 alle 22:09

Questo Axfreeporn è tremendo! Posta in fretta i Log, cerchiamo di imbavagliarlo!

-------------
<a href="http://www.flickr.com/photos/danifeb" target="_blank">Le mie foto su Flickr!!!</a> <br />


Postato da: Aurora
Postato in data: 23/Marzo/2007 alle 22:20

....Questi sono i logs del laptop, posterò subito anche quelli del pc

 

Logfile of HijackThis v1.99.1
Scan saved at 22.13.14, on 23/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
c:\programmi\file comuni\logitech\lvmvfm\LVPrcSrv.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programmi\Synaptics\SynTP\bak\SynTPLpr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\Programmi\Google\Google Updater\GoogleUpdater.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Programmi\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/ - http://www.libero.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com - http://global.acer.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [AzMixerSel] C:\Programmi\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [ntiMUI] C:\Programmi\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe 0
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [LogitechCameraAssistant] C:\Programmi\Acer\OrbiCam\CameraAssistant.exe
O4 - HKLM\..\Run: [LogitechVideo[inspector]] C:\Programmi\Acer\OrbiCam\InstallHelper.exe /inspect
O4 - HKLM\..\Run: [LogitechCameraService(E)] C:\WINDOWS\system32\ElkCtrl.exe /automation
O4 - HKLM\..\Run: [ImageItEncrypt] C:\WINDOWS\system32\ImageItEncrypt.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programmi\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Acer Empowering Technology.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Google Updater.lnk = C:\Programmi\Google\Google Updater\GoogleUpdater.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab - http://downloads.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Unknown owner - C:\Programmi\File comuni\Symantec Shared\ccSvcHst.exe" /h ccCommon (file missing)
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: Logitech Process Monitor (LVPrcSrv) - Logitech - c:\programmi\file comuni\logitech\lvmvfm\LVPrcSrv.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Unknown owner - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe (file missing)

*****************************************++


  Find AWF report by noahdfear ©2006


  bak folders found
  ~~~~~~~~~~~

 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\WINDOWS\SYSTEM32\BAK

19/08/2004  05.00         & nbsp;  15.360 ctfmon.exe
01/11/2004  18.22         & nbsp; 262.144 ElkCtrl.exe
28/11/2005  13.52         & nbsp;  77.824 hkcmd.exe
28/11/2005  13.55         & nbsp; 118.784 igfxpers.exe
28/11/2005  13.55         & nbsp;  98.304 igfxtray.exe
30/12/2005  14.02         & nbsp;  40.960 ImageItEncrypt.exe
06/04/2006  19.22         & nbsp; 225.280 LVCOMSX.EXE
                7 File        838.656 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\LAUNCH~1\BAK

30/03/2006  13.56         & nbsp; 471.040 QtZgAcer.EXE
                1 File        471.040 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\MICROS~3\BAK

24/03/2005  00.26         & nbsp; 217.088 point32.exe
                1 File        217.088 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\SYMNET~1\BAK

07/03/2007  18.10         & nbsp; 100.048 SNDMon.exe
                1 File        100.048 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\WINDOWS\IME\IMJP8_1\BAK

19/08/2004  05.00         & nbsp; 208.952 IMJPMIG.EXE
                1 File        208.952 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\REALTEK\INSTAL~1\BAK

25/08/2005  14.21         & nbsp;  53.248 AzMixerSel.exe
                1 File         53.248 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\SYNAPT~1\SYNTP\BAK

08/01/2005  07.16         & nbsp; 692.315 SynTPEnh.exe
08/01/2005  07.17         & nbsp; 102.491 SynTPLpr.exe
                2 File        794.806 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\CYBERL~1\POWERDVD\BAK

02/11/2004  20.24         & nbsp;  32.768 PDVDServ.exe
                1 File         32.768 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\NEWTEC~1\NTICD&~1\BAK

11/05/2005  17.15         & nbsp;  45.056 ntiMUI.exe
                1 File         45.056 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\ACER\ORBICAM\BAK

06/04/2006  19.00         & nbsp; 331.776 CameraAssistant.exe
06/04/2006  19.06         & nbsp;  73.728 InstallHelper.exe
                2 File        405.504 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\ACER\EMPOWE~1\EDATAS~1\BAK

17/03/2006  15.00         & nbsp; 345.088 eDSloader.exe
                1 File        345.088 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\ACER\EMPOWE~1\EPRESE~1\BAK

31/03/2006  16.39         & nbsp; 204.800 ePresentation.exe
                1 File        204.800 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\ACER\EMPOWE~1\EPOWER\BAK

15/03/2006  22.12         & nbsp; 579.584 Boot.exe
04/04/2006  18.08         & nbsp; 421.888 ePower_DMC.exe
                2 File      1.001.472 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\ACER\EMPOWE~1\ERECOV~1\BAK

28/04/2006  16.43         & nbsp; 401.408 eRAgent.exe
                1 File        401.408 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\WINDOWS\SYSTEM32\IME\PINTLGNT\BAK

19/08/2004  05.00         & nbsp;  59.392 ImScInst.exe
                1 File         59.392 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\WINDOWS\SYSTEM32\IME\TINTLGNT\BAK

19/08/2004  05.00         & nbsp; 455.168 TINTSETP.EXE
                1 File        455.168 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\FILECO~1\REAL\UPDATE~1\BAK

13/11/2006  10.23         & nbsp; 180.269 realsched.exe
                1 File        180.269 byte
                2 Directory  22.119.776.256 byte disponibili
 Il volume nell'unit… C Š ACER
 Numero di serie del volume: 4968-4959

 Directory di C:\PROGRA~1\JAVA\JRE15~1.0_0\BIN\BAK

12/10/2006  03.10         & nbsp;  49.263 jusched.exe
                1 File         49.263 byte
                2 Directory  22.119.776.256 byte disponibili


  Duplicate files of bak directory contents
  ~~~~~~~~~~~~~~~~~~~~~~~

     15360 19 Aug 2004 "C:\WINDOWS\system32\ctfmon.exe"
     15360 19 Aug 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
     24076 23 Mar 2007 "C:\WINDOWS\system32\igfxtray.exe"
     98304 28 Nov 2005 "C:\WINDOWS\system32\bak\igfxtray.exe"
     24076 23 Mar 2007 "C:\WINDOWS\system32\hkcmd.exe"
     77824 28 Nov 2005 "C:\WINDOWS\system32\bak\hkcmd.exe"
     24076 23 Mar 2007 "C:\WINDOWS\system32\igfxpers.exe"
    118784 28 Nov 2005 "C:\WINDOWS\system32\bak\igfxpers.exe"
     24076 23 Mar 2007 "C:\WINDOWS\system32\LVCOMSX.EXE"
    225280  6 Apr 2006 "C:\WINDOWS\system32\bak\LVCOMSX.EXE"
     24076 23 Mar 2007 "C:\WINDOWS\system32\ElkCtrl.exe"
    262144  1 Nov 2004 "C:\WINDOWS\system32\bak\ElkCtrl.exe"
     24076 23 Mar 2007 "C:\WINDOWS\system32\ImageItEncrypt.exe"
     40960 30 Dec 2005 "C:\WINDOWS\system32\bak\ImageItEncrypt.exe"
     40960 30 Dec 2005 "C:\Acer\Empowering Technology\eRecovery\ImageItEncrypt.exe"
     24076 23 Mar 2007 "C:\Programmi\Launch Manager\QtZgAcer.EXE"
    471040 30 Mar 2006 "C:\Programmi\Launch Manager\bak\QtZgAcer.EXE"
     24076 23 Mar 2007 "C:\Programmi\Microsoft IntelliPoint\point32.exe"
    217088 24 Mar 2005 "C:\Programmi\Microsoft IntelliPoint\bak\point32.exe"
     95456 23 Mar 2007 "C:\Programmi\SymNetDrv\SNDMon.exe"
    100048  7 Mar 2007 "C:\Programmi\SymNetDrv\bak\SNDMon.exe"
    208952 19 Aug 2004 "C:\WINDOWS\ime\imjp8_1\imjpmig.exe"
    208952 19 Aug 2004 "C:\WINDOWS\ime\imjp8_1\bak\IMJPMIG.EXE"
     24076 23 Mar 2007 "C:\Programmi\Realtek\InstallShield\AzMixerSel.exe"
     53248 25 Aug 2005 "C:\Programmi\Realtek\InstallShield\bak\AzMixerSel.exe"
     24076 23 Mar 2007 "C:\Programmi\Synaptics\SynTP\SynTPLpr.exe"
    102491  8 Jan 2005 "C:\Programmi\Synaptics\SynTP\bak\SynTPLpr.exe"
     24076 23 Mar 2007 "C:\Programmi\Synaptics\SynTP\SynTPEnh.exe"
    692315  8 Jan 2005 "C:\Programmi\Synaptics\SynTP\bak\SynTPEnh.exe"
     24076 23 Mar 2007 "C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe"
     32768  2 Nov 2004 "C:\Programmi\CyberLink\PowerDVD\bak\PDVDServ.exe"
     24076 23 Mar 2007 "C:\Programmi\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe"
     45056 11 May 2005 "C:\Programmi\NewTech Infosystems\NTI CD & DVD-Maker 7\bak\ntiMUI.exe"
     24076 23 Mar 2007 "C:\Programmi\Acer\OrbiCam\CameraAssistant.exe"
    331776  6 Apr 2006 "C:\Programmi\Acer\OrbiCam\bak\CameraAssistant.exe"
     24076 23 Mar 2007 "C:\Programmi\Acer\OrbiCam\InstallHelper.exe"
     15872 21 Feb 2003 "C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\InstallUtil.ex e"
     28672 23 Sep 2005 "C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\InstallUtil.e xe"
     73728  6 Apr 2006 "C:\Programmi\Acer\OrbiCam\bak\InstallHelper.exe"
   5420864  7 Mar 2007 "C:\Documents and Settings\All Users\Dati applicazioni\Google Updater\cache\installers_ci_picasa_en_2.6.35.92.35.97_setup_ 2006.12.18_16.28.16.exe"
     24076 23 Mar 2007 "C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe"
    345088 17 Mar 2006 "C:\Acer\Empowering Technology\eDataSecurity\bak\eDSloader.exe"
     81920 26 Jan 2006 "C:\Acer\Empowering Technology\ePresentation\ePresentationLauncher.exe"
    204800 31 Mar 2006 "C:\Acer\Empowering Technology\ePresentation\bak\ePresentation.exe"
     24076 23 Mar 2007 "C:\Acer\Empowering Technology\ePower\ePower_DMC.exe"
    421888  4 Apr 2006 "C:\Acer\Empowering Technology\ePower\bak\ePower_DMC.exe"
     24076 23 Mar 2007 "C:\Acer\Empowering Technology\ePower\Boot.exe"
    579584 15 Mar 2006 "C:\Acer\Empowering Technology\ePower\bak\Boot.exe"
     24076 23 Mar 2007 "C:\Acer\Empowering Technology\eRecovery\eRAgent.exe"
    401408 28 Apr 2006 "C:\Acer\Empowering Technology\eRecovery\bak\eRAgent.exe"
     59392 19 Aug 2004 "C:\WINDOWS\system32\IME\PINTLGNT\imscinst.exe"
     59392 19 Aug 2004 "C:\WINDOWS\system32\IME\PINTLGNT\bak\ImScInst.exe"
    455168 19 Aug 2004 "C:\WINDOWS\system32\IME\TINTLGNT\tintsetp.exe"
    455168 19 Aug 2004 "C:\WINDOWS\system32\IME\TINTLGNT\bak\TINTSETP.EXE"
     24076 23 Mar 2007 "C:\Programmi\File comuni\Real\Update_OB\realsched.exe"
    180269 13 Nov 2006 "C:\Programmi\File comuni\Real\Update_OB\bak\realsched.exe"
     24076 23 Mar 2007 "C:\Programmi\Java\jre1.5.0_09\bin\jusched.exe"
     49263 12 Oct 2006 "C:\Programmi\Java\jre1.5.0_09\bin\bak\jusched.exe"


  end of report




Postato da: Aurora
Postato in data: 23/Marzo/2007 alle 22:37

Questi sono i logs del pc

Logfile of HijackThis v1.99.1
Scan saved at 22.29.20, on 23/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Ahead\InCD\InCDsrv.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programmi\Ahead\InCD\InCD.exe
C:\WINDOWS\system32\pctspk.exe
C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe
C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Programmi\Trust\250S Series\lwbwheel.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Google\Google Updater\GoogleUpdater.exe
C:\Programmi\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Programmi\Netropa\Onscreen Display\OSD.exe
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\explorer.exe
C:\DOCUME~1\xp\IMPOST~1\Temp\11745932864kKMa.exe
C:\Programmi\Shareaza\Shareaza.exe
C:\DOCUME~1\xp\IMPOST~1\Temp\1174593417xkxSa.exe
C:\Programmi\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/ - http://www.libero.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [InCD] C:\Programmi\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programmi\Trust\250S Series\lwbwheel.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Google Updater.lnk = C:\Programmi\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab - http://downloads.ewido.net/ewidoOnlineScan.cab
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programmi\Ahead\InCD\InCDsrv.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Servizio Auto-Protect di Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmi\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Utilità di pianificazione di LiveUpdate automatico - Symantec Corporation - C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe

**********************************


  Find AWF report by noahdfear ©2006


  21504 byte files found
  ~~~~~~~~~~~~~

 

  21504 byte files sorted with strings
  ~~~~~~~~~~~~~~~~~~~~~

 

  25600 byte files found
  ~~~~~~~~~~~~~

 

  25600 byte files sorted with strings
  ~~~~~~~~~~~~~~~~~~~~~

 

  26450 byte files found
  ~~~~~~~~~~~~~

 

  26450 byte files sorted with strings
  ~~~~~~~~~~~~~~~~~~~~~

 

  bak folders found
  ~~~~~~~~~~~

 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\WINDOWS\BAK

26/07/2005  19.45         & nbsp;  40.960 etMon.exe
                1 File         40.960 byte
                2 Directory  50.398.932.992 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\SYMNET~1\BAK

28/02/2007  20.16         & nbsp;  95.960 SNDMon.exe
                1 File         95.960 byte
                2 Directory  50.398.932.992 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\WINDOWS\SYSTEM32\BAK

19/08/2004  14.39         & nbsp;  15.360 ctfmon.exe
09/07/2001  11.50         & nbsp; 155.648 NeroCheck.exe
                2 File        171.008 byte
                2 Directory  50.398.928.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\AHEAD\INCD\BAK

10/03/2007  10.09         & nbsp; 131.057 Error.log
06/04/2004  18.36         1.298.542 InCD.exe
                2 File      1.429.599 byte
                2 Directory  50.398.928.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\CYBERL~1\POWERDVD\BAK

08/12/2003  17.35         & nbsp;  32.768 PDVDServ.exe
                1 File         32.768 byte
                2 Directory  50.398.928.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\FILECO~1\SYMANT~1\BAK

04/04/2006  12.02         & nbsp;  71.304 ccApp.exe
                1 File         71.304 byte
                2 Directory  50.398.928.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\NETROPA\MULTIM~1\BAK

19/06/2002  11.50         & nbsp; 180.224 MMKeybd.exe
                1 File        180.224 byte
                2 Directory  50.398.928.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\TRUST\250SSE~1\BAK

20/04/2001  12.42         & nbsp; 429.568 lwbwheel.exe
                1 File        429.568 byte
                2 Directory  50.398.928.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\FILECO~1\REAL\UPDATE~1\BAK

10/03/2007  08.57         & nbsp; 180.269 realsched.exe
                1 File        180.269 byte
                2 Directory  50.398.928.896 byte disponibili
 Il volume nell'unit… C non ha etichetta.
 Numero di serie del volume: BCE3-5462

 Directory di C:\PROGRA~1\JAVA\JRE15~1.0_1\BIN\BAK

15/12/2006  03.23         & nbsp;  75.520 jusched.exe
                1 File         75.520 byte
                2 Directory  50.398.928.896 byte disponibili


  Duplicate files of bak directory contents
  ~~~~~~~~~~~~~~~~~~~~~~~

     40960 26 Jul 2005 "C:\Programmi\ETUSB2.0\etMon.exe"
     40960 26 Jul 2005 "C:\WINDOWS\bak\etMon.exe"
     24076 22 Mar 2007 "C:\Programmi\SymNetDrv\SNDMon.exe"
     95960 28 Feb 2007 "C:\Programmi\SymNetDrv\bak\SNDMon.exe"
     15360 19 Aug 2004 "C:\WINDOWS\system32\ctfmon.exe"
     15360 19 Aug 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
    155648  9 Jul 2001 "C:\WINDOWS\system32\NeroCheck.exe"
    155648  9 Jul 2001 "C:\WINDOWS\system32\bak\NeroCheck.exe"
    131057 21 Mar 2007 "C:\Programmi\Ahead\InCD\Error.log"
    131057 10 Mar 2007 "C:\Programmi\Ahead\InCD\bak\Error.log"
     24076 22 Mar 2007 "C:\Programmi\Ahead\InCD\InCD.exe"
   1298542  6 Apr 2004 "C:\Programmi\Ahead\InCD\bak\InCD.exe"
     32768  8 Dec 2003 "C:\Programmi\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
     32768  8 Dec 2003 "C:\Programmi\CyberLink DVD Solution\PowerDVD\bak\PDVDServ.exe"
     24076 22 Mar 2007 "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
     71304  4 Apr 2006 "C:\Programmi\File comuni\Symantec Shared\bak\ccApp.exe"
     24076 22 Mar 2007 "C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe"
    180224 19 Jun 2002 "C:\Programmi\Netropa\Multimedia Keyboard\bak\MMKeybd.exe"
     24076 22 Mar 2007 "C:\Programmi\Trust\250S Series\lwbwheel.exe"
    429568 20 Apr 2001 "C:\Programmi\Trust\250S Series\bak\lwbwheel.exe"
     24076 22 Mar 2007 "C:\Programmi\File comuni\Real\Update_OB\realsched.exe"
    180269 10 Mar 2007 "C:\Programmi\File comuni\Real\Update_OB\bak\realsched.exe"
     24076 22 Mar 2007 "C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe"
     75520 15 Dec 2006 "C:\Programmi\Java\jre1.5.0_11\bin\bak\jusched.exe"


  end of report
***********************************

GRAZIE....ancora




Postato da: notwen
Postato in data: 23/Marzo/2007 alle 23:00

Questi 2 processi a me fanno pensare molto! non riesco ad identificarli. sono comunque nella cartella temp, potresti provare a svuotare la cache con ccleaner da modalità provvisoria.

11745932864kKMa.exe
1174593417xkxSa.exe

poi non capisco perchè questa chiave è ripetuta 2 volte!

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll


-------------
<a href="http://www.flickr.com/photos/danifeb" target="_blank">Le mie foto su Flickr!!!</a> <br />


Postato da: Aurora
Postato in data: 23/Marzo/2007 alle 23:18

Postato originariamente da notwen

Questi 2 processi a me fanno pensare molto! non riesco ad identificarli. sono comunque nella cartella temp, potresti provare a svuotare la cache con ccleaner da modalità provvisoria.

11745932864kKMa.exe
1174593417xkxSa.exe

poi non capisco perchè questa chiave è ripetuta 2 volte!

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll

Le due voci .exe sono riferite al dialer (ho fatto L'hijack con loro ancora dentro) e  le ho potuto eliminare nella cartella temp solo attarverso Task manager.

Per quanto riguarda Sun Java, non so... .

Comunque ecco i nuovi logs dopo l'eliminazione:

Logfile of HijackThis v1.99.1
Scan saved at 23.07.47, on 23/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Ahead\InCD\InCDsrv.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programmi\Ahead\InCD\InCD.exe
C:\WINDOWS\system32\pctspk.exe
C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe
C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Programmi\Trust\250S Series\lwbwheel.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Google\Google Updater\GoogleUpdater.exe
C:\Programmi\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Programmi\Netropa\Onscreen Display\OSD.exe
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\explorer.exe
C:\Programmi\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/ - http://www.libero.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [InCD] C:\Programmi\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.5.0_11\bin\jusched.exe"
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programmi\Trust\250S Series\lwbwheel.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Google Updater.lnk = C:\Programmi\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab - http://downloads.ewido.net/ewidoOnlineScan.cab
O23 - Service: AVG Anti-Spyware Guard - Anti-Malware Development a.s. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programmi\Ahead\InCD\InCDsrv.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Servizio Auto-Protect di Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmi\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Utilità di pianificazione di LiveUpdate automatico - Symantec Corporation - C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe

*******************************


  Find AWF report by

noahdfear ©2006


  21504 byte files found
  ~~~~~~~~~~~~~

 

  21504 byte files sorted

with strings
  ~~~~~~~~~~~~~~~~~~~~~

 

  25600 byte files found
  ~~~~~~~~~~~~~

 

  25600 byte files sorted

with strings
  ~~~~~~~~~~~~~~~~~~~~~

 

  26450 byte files found
  ~~~~~~~~~~~~~

 

  26450 byte files sorted

with strings
  ~~~~~~~~~~~~~~~~~~~~~

 

  bak folders found
  ~~~~~~~~~~~

 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\WINDOWS\BAK

26/07/2005  19.45         & nbsp;

 40.960 etMon.exe
                1 File      

  40.960 byte
                2 Directory 

55.166.066.688 byte

disponibili
 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\PROGRA~1\SYMNET~1\BAK

28/02/2007  20.16         & nbsp;

 95.960 SNDMon.exe
                1 File      

  95.960 byte
                2 Directory 

55.166.066.688 byte

disponibili
 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\WINDOWS\SYSTEM32\BAK

19/08/2004  14.39         & nbsp;

 15.360 ctfmon.exe
09/07/2001  11.50         & nbsp;

155.648 NeroCheck.exe
                2 File      

 171.008 byte
                2 Directory 

55.166.062.592 byte

disponibili
 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\PROGRA~1\AHEAD\INCD\BAK

10/03/2007  10.09         & nbsp;

131.057 Error.log
06/04/2004  18.36        

1.298.542 InCD.exe
                2 File     

1.429.599 byte
                2 Directory 

55.166.062.592 byte

disponibili
 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\PROGRA~1\CYBERL~1\POWERD

VD\BAK

08/12/2003  17.35         & nbsp;

 32.768 PDVDServ.exe
                1 File      

  32.768 byte
                2 Directory 

55.166.062.592 byte

disponibili
 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\PROGRA~1\FILECO~1\SYMANT

~1\BAK

04/04/2006  12.02         & nbsp;

 71.304 ccApp.exe
                1 File      

  71.304 byte
                2 Directory 

55.166.062.592 byte

disponibili
 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\PROGRA~1\NETROPA\MULTIM~

1\BAK

19/06/2002  11.50         & nbsp;

180.224 MMKeybd.exe
                1 File      

 180.224 byte
                2 Directory 

55.166.062.592 byte

disponibili
 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\PROGRA~1\TRUST\250SSE~1\

BAK

20/04/2001  12.42         & nbsp;

429.568 lwbwheel.exe
                1 File      

 429.568 byte
                2 Directory 

55.166.062.592 byte

disponibili
 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\PROGRA~1\FILECO~1\REAL\U

PDATE~1\BAK

10/03/2007  08.57         & nbsp;

180.269 realsched.exe
                1 File      

 180.269 byte
                2 Directory 

55.166.062.592 byte

disponibili
 Il volume nell'unit… C non

ha etichetta.
 Numero di serie del

volume: BCE3-5462

 Directory di

C:\PROGRA~1\JAVA\JRE15~1.0_

1\BIN\BAK

15/12/2006  03.23         & nbsp;

 75.520 jusched.exe
                1 File      

  75.520 byte
                2 Directory 

55.166.062.592 byte

disponibili


  Duplicate files of bak

directory contents
  ~~~~~~~~~~~~~~~~~~~~~~~

     40960 26 Jul 2005

"C:\Programmi\ETUSB2.0\etMo

n.exe"
     40960 26 Jul 2005

"C:\WINDOWS\bak\etMon.exe"
     24076 22 Mar 2007

"C:\Programmi\SymNetDrv\SND

Mon.exe"
     95960 28 Feb 2007

"C:\Programmi\SymNetDrv\bak

\SNDMon.exe"
     15360 19 Aug 2004

"C:\WINDOWS\system32\ctfmon

.exe"
     15360 19 Aug 2004

"C:\WINDOWS\system32\bak\ct

fmon.exe"
    155648  9 Jul 2001

"C:\WINDOWS\system32\NeroCh

eck.exe"
    155648  9 Jul 2001

"C:\WINDOWS\system32\bak\Ne

roCheck.exe"
    131057 21 Mar 2007

"C:\Programmi\Ahead\InCD\Er

ror.log"
    131057 10 Mar 2007

"C:\Programmi\Ahead\InCD\ba

k\Error.log"
     24076 22 Mar 2007

"C:\Programmi\Ahead\InCD\In

CD.exe"
   1298542  6 Apr 2004

"C:\Programmi\Ahead\InCD\ba

k\InCD.exe"
     32768  8 Dec 2003

"C:\Programmi\CyberLink DVD

Solution\PowerDVD\PDVDServ.

exe"
     32768  8 Dec 2003

"C:\Programmi\CyberLink DVD

Solution\PowerDVD\bak\PDVDS

erv.exe"
     24076 22 Mar 2007

"C:\Programmi\File

comuni\Symantec

Shared\ccApp.exe"
     71304  4 Apr 2006

"C:\Programmi\File

comuni\Symantec

Shared\bak\ccApp.exe"
     24076 22 Mar 2007

"C:\Programmi\Netropa\Multi

media Keyboard\MMKeybd.exe"
    180224 19 Jun 2002

"C:\Programmi\Netropa\Multi

media

Keyboard\bak\MMKeybd.exe"
     24076 22 Mar 2007

"C:\Programmi\Trust\250S

Series\lwbwheel.exe"
    429568 20 Apr 2001

"C:\Programmi\Trust\250S

Series\bak\lwbwheel.exe"
     24076 22 Mar 2007

"C:\Programmi\File

comuni\Real\Update_OB\reals

ched.exe"
    180269 10 Mar 2007

"C:\Programmi\File

comuni\Real\Update_OB\bak\r

ealsched.exe"
     24076 22 Mar 2007

"C:\Programmi\Java\jre1.5.0

_11\bin\jusched.exe"
     75520 15 Dec 2006

"C:\Programmi\Java\jre1.5.0

_11\bin\bak\jusched.exe"


  end of report

L'unica cosa che mi viene da fare è sostituire i files  con quelli nelle cartelle bak, ma non sono sicura se devo farlo con tutti oppure solo con alcuni.




Postato da: notwen
Postato in data: 23/Marzo/2007 alle 23:27

Postato originariamente da AURORA

Le due voci .exe sono riferite al dialer (ho fatto L'hijack con loro ancora dentro) e  le ho potuto eliminare nella cartella temp solo attarverso Task manager.


Cioè? le hai terminate in task manager?
Sembra che tu dopo aver eliminato il dialer te lo sia ribeccato di nuovo!
Deve esserci un problema nel registro di sistema!
Comunque il Log che hai postato è pulito adesso.

-------------
<a href="http://www.flickr.com/photos/danifeb" target="_blank">Le mie foto su Flickr!!!</a> <br />


Postato da: Aurora
Postato in data: 24/Marzo/2007 alle 09:01

Buongiorno...

UPDATE on  MAIN PC.

Ho appena sostituito tutti i files delle cartelle bak nelle rispettive originali cartelle, come ho fatto praticamente la prima volta, adesso non mi resta che aspettare e sperare che sia andato tutto bene .

UPDATE on LAPTOP

Volevo fare la stessa cosa per il laptop ma sono troppe voci nella cartella WINDOWS\System32 ed alcune  mi sembravano strane.
Ho utilizzato VIRUSTOTAL online ed infatti alcuni antivirus segnalano questi come Trojan or Malware...
Ho ritenuto opportuno non cominciare per niente la sostituzione delle cartelle bak.
Non so cosa fare, decisamente per me il laptop è più complicato del pc, quindi mi rimetto alla vostra esperienza ed alla vostra bravura per risolvere il problema di questi odiosi dialer!!!

PS: Io usavo il modem ADSL, il modem dial up era disattivato + avevo la spunta su "solo lettura" su Pbk\rasphone...come è stato possibile allora che si è verificato questo? Grazie in anticipo per l'aiuto.




Postato da: jakomo
Postato in data: 24/Marzo/2007 alle 12:15

Ciao Aurora,per esperienza personale ti consiglio di copiare TUTTI i files delle cartelle bak nelle rispettive superiori,basta che è infetto anche un solo file ti darà problemi come era successo a me.
Io cmq il problema l'ho risolto perchè è già 4 o 5 giorni che non si presenta;)
Ti consiglio pure di fare una scansione con AVG antivirus,è l'unico che ha trovato i file infetti.Avevo prima avast antivirus ma da quanto uso solo AVG mi trovo moooolto meglio;)




Postato da: Aurora
Postato in data: 24/Marzo/2007 alle 12:50

Postato originariamente da jakomo

Ciao Aurora,per esperienza personale ti consiglio di copiare TUTTI i files delle cartelle bak nelle rispettive superiori,basta che è infetto anche un solo file ti darà problemi come era successo a me.

Ciao J. L'ho già fatto per il pc, e sembra andare bene. Solo non mi fido a farlo per il laptop perchè non sono sicura che tutti i files presenti nella casella Windows\sistem32 siano in regola.


Io cmq il problema l'ho risolto perchè è già 4 o 5 giorni che non si presenta;)

Dopo Axfreeporn è andato tutto bene anche a me, solo che  adesso al posto del prorompente seno, come icona è una bella "D" verde maiuscola, ma il # telefonico è lo stesso di Axfreeporn, quindi penso sia sempre la stessa provenienza.

Ti consiglio pure di fare una scansione con AVG antivirus,è l'unico che ha trovato i file infetti.Avevo prima avast antivirus ma da quanto uso solo AVG mi trovo moooolto meglio;)

Io uso AVG per il pc, ma avevo Norton sul laptop. Adesso (anche se in ritardo) l'ho scaricato e finiti i 30 giorni di trial lo acquisterò.


 




Postato da: jakomo
Postato in data: 25/Marzo/2007 alle 04:09

Per quanto riguarda la "D" non so che dire perchè non ho riscontrato il problema e spero di non averlo,perchè ormai penso che di quel dialer mi è rimasto solo un brutto ricordo. Fortunatamente dopo aver fatto la scansione e copiati i files buoni dalle cartelle bak a quelle superiori non ho più avuto problemi. Per quanto riguarda la connessione prova invece a fare una scansione con spybot e con AVG (quest'ultimo sembra un buon antivirus e mi ha salvato in più occasioni;) ).
Per il resto vedi un pò se si ripresenta il problema e ci fai sapere,così più sappiamo come eliminare questi dialer e meglio è.Ciao ;)



Postato da: Aurora
Postato in data: 25/Marzo/2007 alle 16:01

Update laptop

Questa mattina mi sono decisa ed ho seguito tutto l'iter per ripristinare i files delle cartelle "bak" anche nel laptop.

Vedremo l'evolversi nel corso delle ore .

Cross Everything!!!

 

 

 

 




Postato da: Aurora
Postato in data: 26/Marzo/2007 alle 16:42

 E' successo di nuovo ieri sera ed ho ripetuto di nuovo l'iter dei files delle cartelle bak,...

                                                  MA 

...a differenza di "Axfreeporn", con "D" ho dovuto anche eliminare tutti i files.EXE relativi al numero del file-dialer (praticamente uno per ogni cartella bak).

Ho potuto rilevare queste cartelle mettendo il numero del file-dialer in Start>>>Cerca....

+ ho cancellato alcune voci nel registro del sistema (regedit) con lo stesso numero del file-dialer ( ho potuto vedere questi con C-cleaner).

Il pc e il laptop per adesso funzionano...

Adesso non mi resta che aspettare.



-------------



Postato da: prgn
Postato in data: 29/Marzo/2007 alle 03:29

Salve..., ...attenti ad andare sul sito di libero con i controlli e plug-in
ActiveX e script attivati, se si usa Explorer...
...si possono fare brutti incontri...Angry
E' dal 14 di febbraio che gli sto segnalando che dalle
loro pagine ci si piglia un rootkit...
...loro mi rispondono di segnalare ad abuse@libero.it
...ed abuse@libero.it mi fa uno sproloquio su come si
interpretano gli indirizzi IP...
...e poi, se non bastasse, pubblicizzano un antivirus
a canone mensile (?!?)Angry
...ma problemi come il contagio da rootkit (spece se vengono dal
loro sito) sembra non interessarli...
...un contagio da rootkit è un qualcosa di molto grave...
...un pc così infettato è alla totale mercé di chi ha procurato
il contagio, e loro...... meglio non pensarci....Angry

Cmq per evitare ulteriori ri-contaggi usate Firefox come browser
e Thunderbird come client di posta...e speriamo  bene...
Buona fortuna a tutti Smile

-------------
<em><strong>SALVIAMO I NEUTRINI DAL TUNNEL!</strong> Sottoscrivi anche tu la petizione...</em> <img src="http://pcprimipassi.it/servizifree/forum/smileys/smiley17.gif" border="0" />


Postato da: prgn
Postato in data: 29/Marzo/2007 alle 03:45

...sono inoltre indignato perchè non si fa niente contro
l'IP 88.80.5.21............

    Angry Perché non dichiariamo guerra alla Svezia!!! Angry

Scherzo!LOL

Ciao!


-------------
<em><strong>SALVIAMO I NEUTRINI DAL TUNNEL!</strong> Sottoscrivi anche tu la petizione...</em> <img src="http://pcprimipassi.it/servizifree/forum/smileys/smiley17.gif" border="0" />


Postato da: Aurora
Postato in data: 29/Marzo/2007 alle 12:57

Postato originariamente da prgn

...sono inoltre indignato perchè non si fa niente contro
l'IP 88.80.5.21............

    Angry Perché non dichiariamo guerra alla Svezia!!! Angry

Scherzo!LOL

Ciao!

Con il nuovo dialer "D" l'IP è 83.149.65.117 e indovina un pò....

è olandese!!!!

just wondering why!!!!

Edit: avevo inserito una cifra sbagliata



-------------



Postato da: lucas
Postato in data: 29/Marzo/2007 alle 13:11

Postato originariamente da prgn

Salve..., ...attenti ad andare sul sito di libero con i controlli e plug-in
ActiveX e script attivati, se si usa Explorer...
...si possono fare brutti incontri...Angry
E' dal 14 di febbraio che gli sto segnalando che dalle
loro pagine ci si piglia un rootkit...
...loro mi rispondono di segnalare ad abuse@libero.it
...ed abuse@libero.it mi fa uno sproloquio su come si
interpretano gli indirizzi IP...
...e poi, se non bastasse, pubblicizzano un antivirus
a canone mensile (?!?)Angry
...ma problemi come il contagio da rootkit (spece se vengono dal
loro sito) sembra non interessarli...
...un contagio da rootkit è un qualcosa di molto grave...
...un pc così infettato è alla totale mercé di chi ha procurato
il contagio, e loro...... meglio non pensarci....Angry

Cmq per evitare ulteriori ri-contaggi usate Firefox come browser
e Thunderbird come client di posta...e speriamo  bene...
Buona fortuna a tutti Smile

Ciao, sinceramente il sito di libero mi sembra pulito, non ho riscontrato anomalie, magari se hai altri dettagli tipo il link preciso riportali, grazie

Ciao


-------------



Postato da: prgn
Postato in data: 29/Marzo/2007 alle 13:39

Salve..., il link preciso non sono riuscito ad individuarlo

io mi sono contagiato più volte (volutamente e su pc

appena re-installati) e su varie pagine di Libero, quindi ...,

non ti so dire..., ultimamente un pc di un mio conoscente

si è contagiato il 27 marzo su le pagine di Affari Italiani

di libero..., ...è abbastanza difficile stabilire la pagina

precisa ..., il contagio nasconde i files temporanei di

internet (in poche parole ci sono ma non si vedono),

se ne vedono solo alcuni...Angry


...prova anche tu..., pure io sono stupito

del fatto che Libero possa aver...

...figurati che ho cambiato Virgilio per Libero

per motivi di sicurezza...


...io penso che il link incriminato venga cambiato

spesso..., non ti so dire altro...



-------------
<em><strong>SALVIAMO I NEUTRINI DAL TUNNEL!</strong> Sottoscrivi anche tu la petizione...</em> <img src="http://pcprimipassi.it/servizifree/forum/smileys/smiley17.gif" border="0" />


Postato da: lucas
Postato in data: 29/Marzo/2007 alle 14:07

Ciao, sto provando ma non trovo niente forse sono stati rimossi i collegamenti pericolosi, non penso che libero sia il responsabile, magari gli url nocivi vengono inserite durante i numerosi attachi che un sito come libero riceve, avvolte vengono eliminati subito avvolte non se ne accorgono, ciao

-------------



Postato da: prgn
Postato in data: 29/Marzo/2007 alle 14:55

Ciao, ...io non ho la presunzione di aver ragione...
...però  l'effetto che ho avuto da metà di febbraio
a qualche giorno fa è questo..., prima di contagiarmi
io stesso, usavo Explorer solo per la posta di Libero...
...e ho avuto sempre una condotta esemplare...
(preferisco prevenire e non curare...Wink)...
...per altri collegamenti ho usato sempre Firefox...

...nelle mie prove (fatte dopo il primo contagio...)
ho usato pc appena ripristinati (con disco originale,
...in poche parole pc “vergini”), dove unica mia
“manomissione” era la connessione a internet e
la scritta dell'indirizzo di Libero...

... di sicuro qualcuno provvede a mettere...Angry
... e qualcuno provvede a togliere...Clap
infatti, a volte il pc non rimaneva contagiato...
...per poi rimaner contagiato dopo qualche
giorno...(...ripeto, usavo solo pagine di Libero, e
non scaricavo posta...)...
... ormai è più di un mese che ci sbatto la testa...
... e non so che dire..., ...non vorrei trovarmi a
curar solo l'effetto..., e la causa...?
Per questo mi sono iscritto al vostro forum...
...cercavo qualche conferma...

Però sul mio pc personale ho risolto...
non andando su Libero con Explorer...
Ciao.

-------------
<em><strong>SALVIAMO I NEUTRINI DAL TUNNEL!</strong> Sottoscrivi anche tu la petizione...</em> <img src="http://pcprimipassi.it/servizifree/forum/smileys/smiley17.gif" border="0" />


Postato da: prgn
Postato in data: 29/Marzo/2007 alle 23:15

...Ciao..., stasera ho avuto modo di controllare
un altro pc infetto dal Angry“nostro”Angry rootkit..., ...vi avevo
detto che non riuscivo a trovare tutti i files temporanei
di internet (alcuni cerano ma non si vedevano)? Bene.
Allora sono andato nelle impostazioni internet è
ho cancellato tutto il contenuto non il linea, sono
andato della cartella dei temporanei di internet
e non ho trovato niente..., allora ho fatto partire
il prog. Acdsee, ho copiato l'indirizzo della
cartella dei temporanei nella barra del percorso
di Acdsee, e cosa ho trovato...? Ho trovato,
nemmeno a farlo a posta, due files html, uno
relativo all Home page di libero e l'altro relativo
a una pagina contenente vari URL a Double Click...Wink
...allora mi sono ricordato che PeerGuardian bloccava
questo IP ..., ho fatto partire PeerGardian e ho aperto
la pagina di libero..., ...e cosa ha bloccato PeerGardian?
Ha bloccato due tentativi di accesso, uno da Double
ClickAngry e l'altro da Provider lirAngry (il nostro amato
RedSheriffAngry, ...con sede a Milano...). In poche
parole stanno raccogliendo (...o cercano di raccogliereWink)
informazioni sulla nostra navigazione...(?!?!)Angry

...adesso continuo ad indagare su quei temporanei
e vi faccio sapere...Wink

(...una domanda nasce spontanea...:
    Se il contagio non viene da Libero...
        come mai quei due temporanei
            erano “sapientemente” nascosti...?)Wink

Ciao Smile



-------------
<em><strong>SALVIAMO I NEUTRINI DAL TUNNEL!</strong> Sottoscrivi anche tu la petizione...</em> <img src="http://pcprimipassi.it/servizifree/forum/smileys/smiley17.gif" border="0" />


Postato da: lucas
Postato in data: 29/Marzo/2007 alle 23:53

ehehe rootkit mi sembra esagerato, purtroppo i file temporanei individuati da te per natura non possono contenere un rootkit, un eventuale rootkit può nascondere quei files ma deve essere un file eseguibile ed eventualmente installare un driver per agganciarsi alle api che servono per nascondere i vari processi, files, chiavi, connession ecc ecc, tutti i siti raccolgono informazioni sulla nostra navigazione, poi, come vengono sfruttati è un altro conto

Ciao


-------------



Postato da: prgn
Postato in data: 29/Marzo/2007 alle 23:59

...ciao, non ho mica detto che quei files fossero rootkit...
...ho detto solo che erano sospetti...Wink
Ciao.



-------------
<em><strong>SALVIAMO I NEUTRINI DAL TUNNEL!</strong> Sottoscrivi anche tu la petizione...</em> <img src="http://pcprimipassi.it/servizifree/forum/smileys/smiley17.gif" border="0" />


Postato da: lucas
Postato in data: 30/Marzo/2007 alle 00:02

Hai scritto infetto dal nostro rootkit, comunque come ho detto in precedenza senza un file senza niente contattare libero non ne vale la pena, magari conoscendo questa famigerata pagina ed avendo dei files a disposizione la cosa cambia, ciao

-------------



Postato da: prgn
Postato in data: 30/Marzo/2007 alle 11:26

Postato originariamente da lucas

Hai scritto infetto dal nostro rootkit, comunque come ho detto in precedenza senza un file senza niente contattare libero non ne vale la pena, magari conoscendo questa famigerata pagina ed avendo dei files a disposizione la cosa cambia, ciao


Ciao, lo so..., hai ragione..., senza uno straccio
di file non si "cantano messe..."
...e poi lo so che non è corretto da parte mia
creare allarmismi (...anzi in questi casi, prima
di parlare bisogna essere più che sicuri...).
Ciao.

PS: il pc di cui ti dicevo è stato contagiato
da: Trojan.Zonebac...




-------------
<em><strong>SALVIAMO I NEUTRINI DAL TUNNEL!</strong> Sottoscrivi anche tu la petizione...</em> <img src="http://pcprimipassi.it/servizifree/forum/smileys/smiley17.gif" border="0" />


Postato da: Aurora
Postato in data: 30/Marzo/2007 alle 11:32

Buongiorno...

Ogni sera prima di spegnere il pc faccio le dovute pulizie (C-cleaner, Spybot, Adaware e AVG, e l'ultima cosa che eseguo è Find AWF e tutto sembra ok...

Quando al mattino riaccendo il pc, quando eseguo di nuovo FindAWF scopro sempre che il file Error.log di InCD è cambiato ...modificato.

                                       

131057 24 Mar 2007 "C:\Programmi\Ahead\InCD\Error.log
131057 24 Mar 2007 "C:\Programmi\Ahead\InCD\bak\Error.log"

131057 28 Mar 2007 "C:\Programmi\Ahead\InCD\Error.log"
131057 24 Mar 2007 "C:\Programmi\Ahead\InCD\bak\Error.log"

131057 29 Mar 2007 "C:\Programmi\Ahead\InCD\Error.log"
131057 24 Mar 2007 "C:\Programmi\Ahead\InCD\bak\Error.log"

e se io lascio correre e non lo sostituisco con il file della cartella bak...piano piano mi si modificano anche gli altri files fino ad avere la solita situazione con il dialer...(ho eseguito la prova 2 volte).

Quello che mi chiedo....posso cancellare il file Error.log?

O comunque cosa posso fare???

Se necessario posterò il contenuto del file Error.log

Adesso mi sembro una maniaca - pazza, contro i dialer e contro ogni forma di invasione....hehehehe



-------------




Vedi la discussione sul forum

Stampa la pagina | Chiudi finestra