virus

[cerbiatta64]

Salve, vorrei sottoporre a qualcuno di voi il mio problema che mi assilla da diverse settimane...Il mio sistema operativo è Windows XP e da alcune settimane come vi dicevo mi sta dando dei problemi in quanto all'avvio mi compare un virus chiamato: CAVALLO DI TROIA- GWMGEUP.TMP- HTML:SKINTRIM-A (TRI). L'antivirus mi avvisa sempre quando compare ed ogni volta lo cancello ma al nuovo riavvio ecco che rispunta sempre, vorrei sapere se tra di voi c'è qualcuno che lo conosce e magari sa dirmi come fare per eliminarlo definitivamente. Grazie

[crazy.cat]

In quale cartella ti viene visto?
quale antivirus usi?
Puoi fare una scansione con combofix e postarne il log che ne risulta?

[cerbiatta64]

Ciao grazie per avermi risposto, la cartella solita dove si annida questo virus è quella dei documenti. Uso avast come antivirus e mi trovo abbastanza bene, ora provo a fare una scansione con questo combofix come mi suggerisci e poi posto il risultato.

[Roberto88]

Uso avast come antivirus e mi trovo abbastanza bene

se ti interessa potresti sfruttare questa promozione accessibile fino al 24 di questo mese
ti consiglio di scansionare anche con quest'antivirus http://www.MegaLab.it/2349/trend-micro-sysclean leggi l'articolo per capire dove spacchettare e come scaricare gli aggiornamenti

[crazy.cat]

se ti interessa potresti sfruttare questa promozione accessibile fino al 24 di questo mese

E il link???

[Roberto88]

se ti interessa potresti sfruttare questa promozione accessibile fino al 24 di questo mese

E il link???

l'ho dimenticato eccolo qui http://www.MegaLab.it/4457/avira-premiu ... per-6-mesi

[cerbiatta64]

In quale cartella ti viene visto?
quale antivirus usi?
Puoi fare una scansione con combofix e postarne il log che ne risulta?

Ciao, ho seguito il tuo consiglio facendo la scansione con combofix ed ecco il risultato del log:

ComboFix 09-07-14.08 - Pullerio 17/07/2009 12.45.44.1.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.39.1040.18.224.94 [GMT 2:00]
Eseguito da: H:\ComboFix.exe
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\Pullerio\Impostazioni locali\Dati applicazioni\gwmge.dat
c:\documents and settings\Pullerio\Impostazioni locali\Dati applicazioni\gwmge.exe
c:\documents and settings\Pullerio\Impostazioni locali\Dati applicazioni\gwmge_nav.dat
c:\documents and settings\Pullerio\Impostazioni locali\Dati applicazioni\gwmge_navps.dat
c:\programmi\FunWebProducts
c:\programmi\FunWebProducts\ScreenSaver\Images\003FB61E.urr
c:\programmi\FunWebProducts\ScreenSaver\Images\0072CD38.urr
c:\programmi\FunWebProducts\ScreenSaver\Images\00739432.urr
c:\programmi\FunWebProducts\ScreenSaver\Images\0073AAF6.dat
c:\programmi\FunWebProducts\ScreenSaver\Images\0076B8F1.dat
c:\programmi\FunWebProducts\ScreenSaver\Images\101x135\0073AAF6.jpg
c:\programmi\FunWebProducts\ScreenSaver\Images\101x135\0076B8F1.jpg
c:\programmi\FunWebProducts\ScreenSaver\Images\wrkparam.lst
c:\programmi\MyWebSearch
c:\programmi\MyWebSearch\bar\History\search
c:\programmi\MyWebSearch\bar\Settings\s_pid.dat
c:\programmi\MyWebSearch\bar\Settings\settings.dat
c:\programmi\MyWebSearch\bar\Settings\settings.dat.bak
c:\programmi\MyWebSearch\bar\Settings\settings.htm
c:\programmi\MyWebSearch\bar\Settings\settings.htm.bak
c:\recycler\S-1-5-21-2598764266-3672900835-93158262-1008
c:\windows\Installer\1164d1.msi
c:\windows\Installer\11a55a.msi
c:\windows\Installer\12edf8.msi
c:\windows\Installer\1476a5.msp
c:\windows\Installer\1de179.msp
c:\windows\Installer\1f1b12.msp
c:\windows\Installer\3266cb.msi
c:\windows\Installer\3266d2.msi
c:\windows\Installer\335eb2.msp
c:\windows\Installer\335ecb.msp
c:\windows\Installer\392a95.msp
c:\windows\Installer\46e6e1.msp
c:\windows\Installer\4d47b4.msp
c:\windows\Installer\4e83ee.msp
c:\windows\Installer\50aa25.msi
c:\windows\Installer\518a92.msp
c:\windows\Installer\6ea159.msi
c:\windows\Installer\77b5a1.msp
c:\windows\Installer\77b5a7.msp
c:\windows\Installer\83bd0b.msi
c:\windows\Installer\9160c.msp
c:\windows\Installer\93b4fd.msp
c:\windows\Installer\96cf6.msp
c:\windows\Installer\9a3ba8.msp
c:\windows\Installer\9c056.msp
c:\windows\Installer\b3320.msi
c:\windows\Installer\befbc8.msp
c:\windows\Installer\c075e5.msp
c:\windows\Installer\d5852.msp
c:\windows\system32\twain32
c:\windows\system32\twain32\local.ds
c:\windows\system32\twain32\user.ds
c:\windows\system32\twain32\user.ds.lll
c:\windows\system32\uacinit.dll

.
((((((((((((((((((((((((((((((((((((((( Driver/Servizi )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_UACD.SYS
-------\Service_UACd.sys


((((((((((((((((((((((((( Files Creati Da 2009-06-17 al 2009-07-17 )))))))))))))))))))))))))))))))))))
.

2009-07-16 10:00 . 2009-07-16 10:00 -------- dc----w- c:\documents and settings\All Users\Modelli
2009-06-26 09:06 . 2009-06-26 09:06 -------- d-----w- c:\windows\system32\wbem\Repository
2009-06-26 09:03 . 2009-06-26 09:03 -------- d-----w- c:\programmi\Microsoft Office Outlook Connector
2009-06-26 09:02 . 2009-06-26 09:02 -------- d-----w- c:\documents and settings\Pullerio\Impostazioni locali\Dati applicazioni\Adobe
2009-06-26 09:02 . 2009-06-26 09:02 -------- d-----w- c:\documents and settings\Pullerio\Impostazioni locali\Dati applicazioni\Skype
2009-06-26 09:02 . 2009-06-26 09:02 -------- d-----w- c:\documents and settings\Pullerio\Impostazioni locali\Dati applicazioni\Coolstreaming_Tool-Bar_v1.0
2009-06-26 09:02 . 2009-06-26 09:02 -------- d-----w- c:\documents and settings\Pullerio\Impostazioni locali\Dati applicazioni\Mozilla
2009-06-26 08:59 . 2009-06-26 08:59 -------- d-----w- c:\programmi\File comuni\Symantec Shared
2009-06-26 08:59 . 2009-07-11 13:09 -------- d-----w- c:\documents and settings\Pullerio\Tracing
2009-06-26 08:59 . 2009-06-26 08:59 -------- d-----w- c:\documents and settings\Pullerio\Contacts
2009-06-22 11:10 . 2009-06-26 08:59 -------- dc----w- c:\documents and settings\Pullerio\Tracing(2)

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-06-30 07:04 . 2002-10-04 17:03 501426 ----a-w- c:\windows\system32\perfh010.dat
2009-06-30 07:04 . 2002-10-04 17:03 90300 ----a-w- c:\windows\system32\perfc010.dat
2009-06-26 09:02 . 2007-10-13 07:42 -------- dc----w- c:\documents and settings\All Users\Dati applicazioni\Yahoo!
2009-06-26 09:02 . 2007-06-24 11:47 -------- dc----w- c:\documents and settings\All Users\Dati applicazioni\Yahoo! Companion
2009-06-26 09:01 . 2005-01-03 16:51 -------- dc----w- c:\documents and settings\Pullerio\Dati applicazioni\Yahoo!
2009-06-26 08:59 . 2004-08-07 17:48 -------- d-----w- c:\programmi\CyberLink
2009-06-26 08:59 . 2004-08-07 16:44 -------- d--h--w- c:\programmi\InstallShield Installation Information
2009-06-16 14:53 . 2004-10-11 06:24 119808 ----a-w- c:\windows\system32\t2embed.dll
2009-06-16 14:53 . 2002-10-04 17:02 82432 ----a-w- c:\windows\system32\fontsub.dll
2009-06-03 19:25 . 2004-10-11 06:25 1295872 ----a-w- c:\windows\system32\quartz.dll
2009-06-01 10:06 . 2004-08-13 18:18 -------- d-----w- c:\programmi\Yahoo!
2009-05-07 15:41 . 2004-10-11 06:24 346112 ----a-w- c:\windows\system32\localspl.dll
2009-05-03 13:26 . 2004-08-12 13:22 73400 -c--a-w- c:\documents and settings\Pullerio\Impostazioni locali\Dati applicazioni\GDIPFONTCACHEV1.DAT
2009-05-02 11:22 . 2009-05-02 11:22 152576 -c--a-w- c:\documents and settings\Pullerio\Dati applicazioni\Sun\Java\jre1.6.0_13\lzma.dll
2009-05-01 08:59 . 2009-05-01 08:59 0 -c--a-w- c:\windows\nsreg.dat
2009-04-29 11:32 . 2004-08-07 22:25 90112 -c--a-w- c:\windows\DUMP925c.tmp
2009-04-29 04:45 . 2004-12-07 18:18 827392 ----a-w- c:\windows\system32\wininet.dll
2009-04-29 04:44 . 2009-03-21 10:59 78336 ----a-w- c:\windows\system32\ieencode.dll
2009-04-19 20:08 . 2004-10-11 06:24 1846656 ----a-w- c:\windows\system32\win32k.sys
.

((((((((((((((((((((((((((((((((((((((((((((( AWF ))))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-08-12 09:02 . 2007-08-12 09:02 103712 c:\programmi\Macrogaming\SweetIM\bak\SweetIM.exe

2006-05-10 01:18 . 2006-11-02 21:56 204288 c:\programmi\Windows Media Player\bak\WMPNSCFG.exe
2006-05-10 01:18 . 2006-11-02 21:56 204288 c:\programmi\Windows Media Player\WMPNSCFG.exe

2004-10-11 06:26 . 2004-08-19 22:39 15360 c:\windows\system32\bak\ctfmon.exe
2004-10-11 06:26 . 2004-08-19 22:39 15360 c:\windows\system32\ctfmon.exe

.
((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-19 15360]
"VideoCall"="c:\programmi\Tin.it\VideoCall\VideoCall.exe" [N/A]
"ccleaner"="d:\programmi\CCleaner\CCleaner.exe" [N/A]
"updateMgr"="c:\programmi\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" [N/A]
"WMPNSCFG"="c:\programmi\Windows Media Player\WMPNSCFG.exe" [2006-11-02 204288]
"swg"="c:\programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-02-22 39408]
"gwmge"="c:\documents and settings\pullerio\impostazioni locali\dati applicazioni\gwmge.exe" [N/A]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Hcontrol"="c:\windows\ATK0100\Hcontrol.exe" [2004-01-18 65536]
"Power_Gear"="c:\progra~1\ASUS\Power4 Gear\BatteryLife.exe" [2002-11-29 73728]
"SiS Tray"="c:\windows\System32\sistray.EXE" [2006-03-09 262144]
"InCD"="c:\programmi\Ahead\InCD\InCD.exe" [2003-10-14 1224754]
"NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"iTunesHelper"="d:\programmi\iTunes\iTunesHelper.exe" [2006-02-23 278528]
"DSLSTATEXE"="c:\program files\GlobespanVirata\Adsl\dslstat.exe" [2003-06-10 299008]
"DSLAGENTEXE"="c:\program files\GlobespanVirata\Adsl\dslagent.exe" [2003-08-19 16384]
"SunJavaUpdateSched"="c:\programmi\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"avast!"="d:\progra~1\ashDisp.exe" [2009-02-05 81000]
"SoundMan"="SOUNDMAN.EXE" - c:\windows\SOUNDMAN.EXE [2004-02-26 55296]
"AdslTaskBar"="stmctrl.dll" - c:\windows\system32\stmctrl.dll [2003-05-20 151552]
"AGRSMMSG"="AGRSMMSG.exe" - c:\windows\AGRSMMSG.exe [2003-11-19 88363]
"SiSPower"="SiSPower.dll" - c:\windows\system32\SiSPower.dll [2006-03-09 49152]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-19 15360]
"msnmsgr"="c:\programmi\MSN Messenger\msnmsgr.exe" [N/A]
"DWQueuedReporting"="c:\progra~1\FILECO~1\MICROS~1\DW\dwtrig20.exe" [2007-02-25 437160]

c:\documents and settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\
Utility Tray.lnk - c:\windows\system32\sistray.exe [2004-8-7 262144]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programmi\\Asus\\ASUS Live Update\\LiveUpdt.exe"=
"c:\\WINDOWS\\system32\\rtcshare.exe"=
"c:\\Programmi\\NetMeeting\\conf.exe"=
"c:\\Documents and Settings\\K-Lite Codec Pack\\Media Player Classic\\mplayerc.exe"=
"c:\\WINDOWS\\PCHealth\\HelpCtr\\Binaries\\helpctr.exe"=
"d:\\Programmi\\iTunes\\iTunes.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programmi\\Yahoo!\\Messenger\\YahooMessenger.exe"=
"c:\\Programmi\\Yahoo!\\Messenger\\YServer.exe"=
"c:\\Programmi\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Programmi\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programmi\\Windows Live\\Sync\\WindowsLiveSync.exe"=

R3 fsssvc;Windows Live Family Safety;c:\programmi\Windows Live\Family Safety\fsssvc.exe [2009-02-06 533360]
R3 TaurusUsb;ADSL Modem USB Service;c:\windows\system32\DRIVERS\torususb.sys [2003-01-09 538925]
S1 aswSP;avast! Self Protection; [x]
S2 aswFsBlk;aswFsBlk;c:\windows\system32\DRIVERS\aswFsBlk.sys [2009-02-05 20560]
S2 fssfltr;fssfltr;c:\windows\system32\DRIVERS\fssfltr_tdi.sys [2009-02-06 55152]
S3 Stmatm;ATM/ADSL miniport;c:\windows\system32\DRIVERS\stmatm.sys [2002-09-25 59466]
S3 WBMS;Winbond Memory Stick Storage (MS) Device Driver;c:\windows\system32\Drivers\WBMS.SYS [2003-05-07 30208]
S3 WBSD;Winbond Secure Digital Storage (SD/MMC) Device Driver;c:\windows\system32\Drivers\WBSD.SYS [2003-05-07 25600]

.
Contenuto della cartella 'Scheduled Tasks'

2009-07-17 c:\windows\Tasks\User_Feed_Synchronization-{382B73A1-B6D1-4F48-8C0A-9538EA3F86C3}.job
- c:\windows\system32\msfeedssync.exe [2006-10-17 10:58]
.
.
------- Scansione supplementare -------
.
uStart Page = hxxp://www.google.it/
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
mStart Page = hxxp://home.sweetim.com
mSearch Bar = hxxp://us.rd.yahoo.com/customize/ie/def ... earch.html
uInternet Connection Wizard,ShellNext = iexplore
uSearchURL,(Default) = hxxp://us.rd.yahoo.com/customize/ie/def ... .yahoo.com
IE: E&sporta in Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
DPF: DirectAnimation Java Classes
DPF: Microsoft XML Parser for Java
DPF: {5DA9D8E0-5A57-11CF-9E36-00C0930198C0} - hxxp://andrea.eurika.net:952/LNetCam.cab
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-07-17 13:14
Windows 5.1.2600 Service Pack 2 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
--------------------- CHIAVI DI REGISTRO BLOCCATE ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\Ø•€|ÿÿÿÿ•€|ù•9~*]
"0140110900063D11C8EF10054038389C"="C?\\WINDOWS\\System32\\FM20ENU.DLL"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\ð•€|ÿÿÿÿ.•€|ù•9~*]
"0140110900063D11C8EF10054038389C"="C?\\WINDOWS\\System32\\FM20ENU.DLL"
.
--------------------- Dlls caricate dai processi in esecuzione ---------------------

- - - - - - - > 'explorer.exe'(188)
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
c:\windows\system32\wpdshext.dll
c:\windows\system32\Audiodev.dll
c:\windows\system32\WMVCore.DLL
c:\windows\system32\WMASF.DLL
.
------------------------ Altri processi in esecuzione ------------------------
.
d:\programmi\aswUpdSv.exe
c:\windows\system32\WGATray.exe
d:\programmi\ashServ.exe
c:\windows\system32\rundll32.exe
c:\windows\ATK0100\ATKOSD.exe
c:\programmi\Ahead\InCD\incdsrv.exe
c:\programmi\Java\jre6\bin\jqs.exe
c:\programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\programmi\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
c:\programmi\Windows Media Player\wmpnetwk.exe
d:\programmi\ashMaiSv.exe
d:\programmi\ashWebSv.exe
c:\programmi\iPod\bin\iPodService.exe
c:\windows\system32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Ora fine scansione: 2009-07-17 15.32.50 - Il pc è stato riavviato
ComboFix-quarantined-files.txt 2009-07-17 13:32

Pre-Run: 2.478.188.032 byte disponibili
Post-Run: 5.763.143.680 byte disponibili

WindowsXP-KB310994-SP2-Home-BootDisk-ITA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /NoExecute=OptIn

245 --- E O F --- 2009-07-16 10:03

[ste_95]

Hai ancora problemi?

[cerbiatta64]

Hai ancora problemi?

Ciao, dal log che ti ho inviato cosa ne è venuto fuori? Dopo aver fatto il controllo con combofix il disco c si è svuotato di 3/4 quindi mi ha eliminato eventuali file inutili penso... per il momento pare non ci siano problemi eccessivi, ma vorrei sapere da te se posso sempre fare una scansione con combofix pur avendo avast, e come devo avviarla...Scusami e grazie per la pazienza...

[ste_95]

ComboFix ha cancellato tutta una serie di file infetti.

vorrei sapere da te se posso sempre fare una scansione con combofix pur avendo avast, e come devo avviarla...

Non l'hai appena fatta?

[cerbiatta64]

Certo che l'ho appena fatta, ma se volessi ripeterla posso?

[ste_95]

Non vedo perché no!

[cerbiatta64]

[b]Ciao, ti faccio sapere che da quando ho fatto il controllo con combofix non ho preso più lo stesso virus nè altri, l'ultimo risale al 22/07. Ti ringrazio tantissimo per avermelo segnalato...Buona domenica e buone vacanze [/b]

[ste_95]

Figurati!