Virus diffuso via msn o NTkrnl Secure Suite

[crazy.cat]

Potreste dare un'occhiata anche a questi log files di un mio amico?
Attendo vostre risposte.

Da eliminare, file exe compresi.
C:\WINDOWS\Fonts\Taskmgr.exe
C:\WINDOWS\Fonts\msimn.exe

O4 - HKLM\..\RunOnce: [TaskEng] C:\WINDOWS\Fonts\TaskEng.exe
O15 - Trusted Zone: *.eros-porno.com
O15 - Trusted Zone: www.hastalavista.it
O15 - Trusted Zone: www.pornoaccesso.com
O15 - Trusted Zone: *.videopornazzi.com

[angelateani]

Ciao a tutti ho terminato la seconda fase della procedura di eliminazione del virus malefico di msn.... vi allego il log di MSNFix anche perché mi dà una lunga lista di files sospetti che pare nn abbia eliminato, che devo fare a questo punto? posso procedere alla terza fase?

Grazie mille!!!!

PS Mi scuso per avere fatto un nuovo topic prima ma... sono nuova!

[crazy.cat]

vi allego il log di MSNFix

Quale log?
Fai copia e incolla e metti qui il testo del txt che è uscito.

[angelateani]

scusa, non mi ero accorta che non lo aveva allegato, ho modificato il messaggio di prima e adesso dovrebbe esserci il log!

scusa ancora abbi pazienza!

[crazy.cat]

tranne l'ultima riga, direi che tutto il resto sono schifezze.
puoi provare a caricare qualche file sul sito www.virustotal.com e vedere di cosa si tratta.
poi cancelli tutto a mano.

[angelateani]

Virustotal non rileva nulla di sospetto, ma io adesso che devo fare, devo avviare la terza parte della procedura prime o dopo avere eliminato i file sospetti?

[crazy.cat]

Virustotal non rileva nulla di sospetto, ma io adesso che devo fare, devo avviare la terza parte della procedura prime o dopo avere eliminato i file sospetti?

Penso che non cambi molto, cancellali prima.

[angelateani]

Ok ho terminato anche la terza fase della procedura, allego il log di hijackthis....

[crazy.cat]

Rifai la scansione con hijackthis, selezioni le caselle di queste righe e premi fix checked per eliminarle.

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://yoursearch.ws/browser/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://yoursearch.ws/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yoursearch.ws/browser/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yoursearch.ws/browser/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yoursearch.ws/browser/
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\Run: [DXM6Patch_981116] C:\WINDOWS\p_981116.exe /Q:A
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} -
O16 - DPF: {FFFF0001-0001-101A-A3C9-08002B2F49FC} - http://download.energyfactor.com/dialer ... 451_it.exe
O21 - SSODL: BSteSRZN - {262916F1-8C83-BC5B-CA18-B3B25CAA8E4A} - (no file)
O21 - SSODL: Version3 - {B7E41874-8D8E-4EFC-A936-803FBCE1F3C6} - (no file)

[angelateani]

ok ho fatto, adesso posso provare a riavviare msn?

[choco571]

Da eliminare, file exe compresi.
C:\WINDOWS\Fonts\Taskmgr.exe
C:\WINDOWS\Fonts\msimn.exe

Allora, i 2 file citati gli hanno dato un po' di problemi per essere cancellati, comunque dovrebbe averlo fatto attraverso la modalità provvisoria ma, per sicurezza, vi posto qui un log aggiornato di hijackthis.
Aspetto una vostra risposta.

Grazie ancora.

[angelateani]

grazie mille! il problema è risolto e messenger non mi dà più problemi1

questa procedura è stata utilissima!

[crazy.cat]

Aspetto una vostra risposta.
Grazie ancora.

Pulito.

[blemio]

Sono nuovo e prima cosa vorrei salutare tutti gli utenti,
poi inserisco iserisco il log che ho ottenuto da msnfix (o Almeno penso che sia questo) visto che ho finito la seconda parte.
Grazie x la disponibilità e buona giornata a tutti.


MSNFix 1.499

C:\Documents and Settings\Proprietario\Desktop\MSNFix\MSNFix
Fix effettuato il 14/09/2007 - 17.23.13,01 By Proprietario
modalità normale

************************ Cercare i files presenti

Nessun files trovato

************************ Ricerca le cartelle presenti

Nessuna cartella trovata


************************ Files sospetti

Nessun files trovato



------------------------------------------------------------------------
Auteur : !aur3n7 Contact: http://changelog.fr
------------------------------------------------------------------------

--------------------------------------------- END ---------------------------------------------

[choco571]

Pulito.

Grazie per tutto!!!

[marketto]

Ecco il mio log di hijackthis...vi prego aiutatemi.
Vi ringrazio anticipatamente!!!
Il log di msnfix era pulito!!

[crazy.cat]

Ecco il mio log di hijackthis...vi prego aiutatemi.
Il log di msnfix era pulito!!

Anche quello di Hijackthis.
ci fai vedere anche quello di Msnfix?
Perché pensi di avere questo virus?

[marketto]

Ecco il mio log di hijackthis...vi prego aiutatemi.
Il log di msnfix era pulito!!

Anche quello di Hijackthis.
ci fai vedere anche quello di Msnfix?
Perché pensi di avere questo virus?

Ho preso quel virus da un messaggio su msn.
Ho seguito la vostra guida senza però pubblicare i log...è ricomparso il virus.
Ora ho riseguito la vostra guida, ma il log di msnfix mi diceva che nn c'era nulla, per questo motivo ho postato solo il log di hijackthis.
Devo rifare la scansione con msnfix e farvi vedere il log?
Il problema è che il pc è lentissimo, dopo 5 minuti di utilizzo si blocca tutto ed oltretutto spesso non mi fa accendere il wireless...soluzioni?
Grazie mille!!!

[blemio]

Potete x favore controllare il mio log di hijackthis.
Vi prego il messanger mi da problemi perché è mi ha infettato il virus img0012.rar.
Grazie in anticipo.

[Epson49]

Ciao a tutti.
Purtroppo anche il mio msn è stato infettato.
Ho seguito attentamente i consigli del primo post

Questo è il log di MSNFIX:

MSNFix 1.505
C:\Documents and Settings\WindowsXP\Documenti\Video\MSNFix
Fix effettuato il 15/09/2007 - 19.08.01,92 By WindowsXP
modalità normale
************************ Cercare i files presenti
Nessun files trovato
************************ Ricerca le cartelle presenti
Nessuna cartella trovata
************************ Files sospetti
Nessun files trovato
------------------------------------------------------------------------
Auteur : !aur3n7 Contact: http://changelog.fr
------------------------------------------------------------------------
--------------------------------------------- END ---------------------------------------------


Mentre questo è il log di HijackThis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20.06.51, on 15/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0T1.EXE
C:\Programmi\HP\hpcoretech\hpcmpmgr.exe
C:\Programmi\MessengerPlus! 3\MsgPlus.exe
C:\Programmi\HP\HP Software Update\HPWuSchd2.exe
C:\Programmi\QuickTime\qttask.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
C:\Programmi\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe
C:\WINDOWS\system32\sistray.exe
C:\Programmi\HP\Digital Imaging\bin\hpqgalry.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\WindowsXP\Documenti\Video\a-squared Free\a2service.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe
O4 - HKLM\..\Run: [EPSON Stylus C46 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0T1.EXE /P23 "EPSON Stylus C46 Series" /O6 "USB001" /M "Stylus C46"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programmi\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Programmi\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [InstantTray] C:\Programmi\Pinnacle\Shared Files\InstantCDDVD\PCLETray.exe
O4 - HKCU\..\Run: [IW_Drop_Icon] C:\Programmi\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe /dropdisc
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe
O4 - Global Startup: Avvio rapido di HP Image Zone.lnk = C:\Programmi\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} - http://www.xblock.com/download/xclean_micro.exe
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 9163009812
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0644D9FD-C816-496D-A04B-77A94982DF8F}: NameServer = 192.168.0.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0644D9FD-C816-496D-A04B-77A94982DF8F}: NameServer = 192.168.0.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{0644D9FD-C816-496D-A04B-77A94982DF8F}: NameServer = 192.168.0.1
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Documents and Settings\WindowsXP\Documenti\Video\a-squared Free\a2service.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe

--
End of file - 6228 bytes

Per favore, potete darci un'occhiata e dirmi cosa devo cancellare?
Grazie mille!