Come eliminare Activex RdxIE Class

[Max_to]

Ho un problema con un Activex che non riesco a eliminare:

Il Log di HijackThis era il seguente:

Logfile of HijackThis v1.99.1
Scan saved at 19.26.59, on 30/08/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tele2.it/redirect/dial_up
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.sygate.com/free/spf_upg_download.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer - TELE2Internet
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [RemoteControl] C:\WINDOWS\System32\rmctrl.exe
O4 - HKLM\..\Run: [EPSON Stylus C44 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C44 Series" /O6 "USB001" /M "Stylus C44"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "D:\Programmi\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [SmcService] D:\PROGRA~1\Sygate\smc.exe -startgui
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [VIRIT LITE MONITOR] C:\VEXPLITE\MONLITE.EXE
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = D:\Programmi\Digisoft AntiDialer\AntiDialer.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programmi\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/25b4b8a526c ... 601_it.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resourc ... oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 7414009187
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Backbone Service (BBDemon) - Dassault Systemes - d:\programmi\Dassault Systemes\B12\intel_a\code\bin\CATSysDemon.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - D:\Programmi\DiskProfessional\DkService.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - D:\Programmi\Sygate\smc.exe
O23 - Service: Virit eXplorer Lite (viritsvclite) - TG Soft Sas www.tgsoft.it - C:\VEXPLITE\viritsvc.ex

La prima delle voci O16 (indicata come {56336BCB-3D8A-11D6-A00B-0050DA18DE71}) era segnalata anche da Spybot come Malaware:
RdxIE Class
Path: C:\WINDOWS\DOWNLOADED PROGRAM FILES
Long name: RdxIE.dll
Description: Netster
Classification: Confirmed as malware.

Ha questo punto ho cercato di fixare il problema con HJT con Windows in modalità normale: apparentemente il problema sembrava risolto e
l'Activex era sparito ma riavviando il computer esso è ricomporso anche se apparentemente privo di alcune informazioni.
Infatti il log di HijackThis adesso è il seguente:

Logfile of HijackThis v1.99.1
Scan saved at 23.08.31, on 31/08/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tele2.it/redirect/dial_up
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dl ... r=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.sygate.com/free/spf_upg_download.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer - TELE2Internet
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [RemoteControl] C:\WINDOWS\System32\rmctrl.exe
O4 - HKLM\..\Run: [EPSON Stylus C44 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C44 Series" /O6 "USB001" /M "Stylus C44"
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "D:\Programmi\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [SmcService] D:\PROGRA~1\Sygate\smc.exe -startgui
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [VIRIT LITE MONITOR] C:\VEXPLITE\MONLITE.EXE
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = D:\Programmi\Digisoft AntiDialer\AntiDialer.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programmi\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} -
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resourc ... oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 7414009187
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Backbone Service (BBDemon) - Dassault Systemes - d:\programmi\Dassault Systemes\B12\intel_a\code\bin\CATSysDemon.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - D:\Programmi\DiskProfessional\DkService.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - D:\Programmi\Sygate\smc.exe
O23 - Service: Virit eXplorer Lite (viritsvclite) - TG Soft Sas www.tgsoft.it - C:\VEXPLITE\viritsvc.exe

La voce O16 individuata da {56336BCB-3D8A-11D6-A00B-0050DA18DE71} c'è ancora anche se è priva di una serie di informazioni

Anche Spybot rileva ancora il controllo activex malevolo ma senza informazioni:

{56336BCB-3D8A-11D6-A00B-0050DA18DE71} ()
DPF name:
CLSID name:
Installer:
Codebase:
description: Netster
classification: Confirmed as malware
known filename:
info link:
info source:

A questo punto ho fatto uno scan della cartella C:\WINDOWS\Downloaded Program Files\ Con l'antivirus NOD32
Senza individuare nessun virus ma nel log è chiaramente visibile la dll RdxIE.dll che è alla base dell'Activex
Tempo di controllo: 30/08/2006 19.54.06
Rapporto di scansione
Versione NOD32: 1.1727 (20060826) NT
C:\Programmi\Eset\nod32.exe - è OK
è OK nella memoria operativa.
Settore MBR di 1. Disco fisico - è OK
Settore di boot attivo di 1. Disco fisico - è OK

data: 30.8.2006 tempo: 19:54:43
Dischi, cartelle e file controllati: C:\WINDOWS\Downloaded Program Files\
C:\WINDOWS\Downloaded Program Files\bdcore.dll - è OK
C:\WINDOWS\Downloaded Program Files\bdupd.dll - è OK
C:\WINDOWS\Downloaded Program Files\desktop.ini - è OK
C:\WINDOWS\Downloaded Program Files\DPF.LST - è OK
C:\WINDOWS\Downloaded Program Files\ipsupd.dll - è OK
C:\WINDOWS\Downloaded Program Files\lang.ini - è OK
C:\WINDOWS\Downloaded Program Files\libfn.dll - è OK
C:\WINDOWS\Downloaded Program Files\live.ini - è OK
C:\WINDOWS\Downloaded Program Files\Microsoft XML Parser for Java.osd - è OK
C:\WINDOWS\Downloaded Program Files\opuc.inf - è OK
C:\WINDOWS\Downloaded Program Files\oscan8.inf - è OK
C:\WINDOWS\Downloaded Program Files\oscan8.ocx - è OK
C:\WINDOWS\Downloaded Program Files\oscan81.ocx_x - è OK
C:\WINDOWS\Downloaded Program Files\RdxIE.dll - è OK
C:\WINDOWS\Downloaded Program Files\scanoptions.tsi - è OK
C:\WINDOWS\Downloaded Program Files\swflash.inf - è OK
C:\WINDOWS\Downloaded Program Files\wuweb.inf - è OK
Numero di file controllati: 17
Numero di virus trovati: 0
Scansione terminata alle: 19:54:43 Tempo impiegato: 0 sec (00:00:00)

Ho provato a eliminare l'Activex sia con HijackThis che con Spybot entrambi anche
con Windows in modalità provvisoria ma sfortunatamente al riavvio del sistema la situazione era immutata.
Ovviamente tutto questo è stato fatto dopo aver disattivato il ripristino configurazioni di sistema.

Chiedo scusa per essere andato così per le lunghe, ma spero che qualcuno possa aiutarmi a capire:
Che cos'è questo Activex?
Come posso eliminarlo?

Grazie mille

[crazy.cat]

Se prendi l'inizio dell'indirizzo
http://software-dl.real.com/
ti rimanda al sito di realplayer.
Non mi chiedere perché te lo segnalino come un malware, forse un bug o ci somiglia soltanto, ma per me quello è il plugin di real player per i browser.

[Max_to]

OK. Questo mi tranquillizza un po' sul fatto di averlo sul PC.

Ma quello che non capisco è come mai dopo il primo tentativo di rimozione se creato questo casotto e perché ora non riesco più a rimuoverlo.

Come faccio a toglierlo da lì se non lo volessi anche se arriva da Real Player?

Grazie ancora

[crazy.cat]

Se riprovi a fixare la riga adesso, non si cancella?

Altrimenti apri il registro di configurazione e cerchi la stringa 56336BCB, vedi che corrisponda a quella che stai cercando, e poi la cancelli a mano.

[Max_to]

No se provo a fixare adesso lo riga (sia con HJT che con Spybot) il problema non si risolve, infatti l'activex scompare in un primo momento ma non appena faccio un reboot del sistema tutto ritorna come nei log che ho riportato.
Ho provato anche in modalità provvisoria e ho verificato di avere il ripristino della configurazione di sistema disattivato.
Appena torno a casa provo a cancellare manualmente la key.

[Max_to]

Grazie per l'informazione...
anch se sfortunatamente, per altri motivi, ho dovuto reinstallare completamente Windows risolvendo il problema (magra consolazione ).
A causa di questi problemi non ho potuto rispondere e ringraziare prima.
Ciao