MegaLab.it

Buongiorno a tutti, premetto che con il pc non sono affatto un genio.
Chiedo il Vs aiuto in quanto ho un problema:
ieri il mio antivirus (avast 4.8) ha riscontrato un infezione in C:\WINDOWS\SYSTEM32\DRIVERS\SVCHOST.EXE e mi ha consigliato di riavviare il pc e far partire una scansione all'avvio. Così ho fatto ma AVAST non ha trovato niente di strano. Facendo poi una scansione con SPYWARE TERMINATOR ho trovato che il file BACKDOOR.W32.DELF.SCV ha intaccato il file citato (SVCHOST.EXE) così ho provato a rimuoverlo, ma non me lo permetteva in quanto il processo era in corso
(facendo una scansione in mod.provvisoria il file non lo trovava affatto).
Allora ho rifatto la scansione chiudendo manualmente i processi con il TaskManager. Spyware terminator mi dice di aver eliminato il file, ma ad ogni accensione si ricrea, e chiaramente Avast lo ritrova.
Ieri non riuscivo più ad entrare in rete (Errore 678, il computer remoto non risponde), mentre oggi come potete vedere entro in internet ma non vorrei ci fosse qualcosa che non va.
Inoltre mi si è creata un'applicazione FACEBOOKHACKER.exe (è un virus???) in C: non so se le cose possono essere legate.
Posto il log di Hijack in modo che qualcuno può controllare e magari darmi qualche consiglio. Mi fido della Vs precisione in quanto già altre volte Vi ho chiesto aiuto e so che siete molto precisi e gentili.
Grazie mille anticipatamente, saluti
[Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18.33.35, on 31/01/2011
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16945)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe
C:\Programmi\Creative\Creative Live! Cam\VideoFX\StartFX.exe
C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\DNA\btdna.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\DOCUME~1\ADMINI~1\DATIAP~1\winlogon.exe
C:\WINDOWS\system32\drivers\svchost.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
C:\Programmi\File comuni\Ahead\Lib\NMIndexStoreSvr.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libero.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe //ICWLaunch
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programmi\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\5.6.5805.1910\swg.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programmi\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programmi\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [SpywareTerminator] "C:\Programmi\Spyware Terminator\SpywareTerminatorShield.exe"
O4 - HKLM\..\Run: [AVFX Engine] C:\Programmi\Creative\Creative Live! Cam\VideoFX\StartFX.exe
O4 - HKLM\..\Run: [StartCCC] "C:\Programmi\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [swg] "C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programmi\DNA\btdna.exe"
O4 - HKCU\..\Run: [System32] "C:\Documents and Settings\Administrator\Dati applicazioni\logon.exe"
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [Nokia.PCSync] C:\Programmi\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Programmi\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_E11712C84EA7E12B.dll/cmsidewiki.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/200 ... oader5.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/IT-IT/a-U ... E_UNO1.cab
O16 - DPF: {8100D56A-5661-482C-BEE8-AFECE305D968} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/200 ... ader55.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{53264E87-8AB5-4277-A61D-40C4F2405240}: NameServer = 88.149.128.22 88.149.128.12
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: c:\windows\system32\
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Servizio di Google Update (gupdate) (gupdate) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Spyware Terminator Clam Service (sp_clamsrv) - Crawler.com - C:\Programmi\WinClamAVShield\sp_clamsrv.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programmi\Spyware Terminator\sp_rsser.exe

--
End of file - 8704 bytes
]

la prossima volta usa il tasto Memo ..
comunque mi sembra che il logo presenti qualche defezione..

O4 - HKCU\..\Run: [System32] "C:\Documents and Settings\Administrator\Dati applicazioni\logon.exe
C:\WINDOWS\system32\drivers\svchost.exe mi sembra sospetta

fai una scansione con Malwarebytes, ma prima aggiornalo..
poi posta il log

CRY >< PAX ha scritto:la prossima volta usa il tasto Memo ..
comunque mi sembra che il logo presenti qualche defezione..

O4 - HKCU\..\Run: [System32] "C:\Documents and Settings\Administrator\Dati applicazioni\logon.exe
C:\WINDOWS\system32\drivers\svchost.exe mi sembra sospetta

fai una scansione con Malwarebytes, ma prima aggiornalo..
poi posta il log

Bisogna fixare anche questa:

Codice: Seleziona tutto

C:\DOCUME~1\ADMINI~1\DATIAP~1\winlogon.exe

Ok scusate non ricordavo come si inseriva il MEMO
intanto devo fixare quella voce con Hijackthis?(C:\DOCUME~1\ADMINI~1\DATIAP~1\winlogon.exe)

questo è il mio log di MalwareBytes


Aiuto mi ha trovato ben 8 voci dannose! Gazie

Or4colo ha scritto:Ok scusate non ricordavo come si inseriva il MEMO
intanto devo fixare quella voce con Hijackthis?(C:\DOCUME~1\ADMINI~1\DATIAP~1\winlogon.exe)

questo è il mio log di MalwareBytes

Malwarebytes' Anti-Malware 1.50.1.1100
http://www.malwarebytes.org

Versione database: 5649

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

31/01/2011 19.14.18
mbam-log

Tipo di scansione: Scansione veloce
Elementi esaminati: 154730
Tempo trascorso: 4 minuti, 32 secondi

Processi infetti in memoria: 1
Moduli di memoria infetti: 0
Chiavi di registro infette: 2
Valori di registro infetti: 1
Voci infette nei dati di registro: 0
Cartelle infette: 0
File infetti: 4

Processi infetti in memoria:
c:\WINDOWS\system32\drivers\svchost.exe (Trojan.Downloader) -> 2348 -> No action taken.

Moduli di memoria infetti:
(Non sono stati rilevati elementi nocivi)

Chiavi di registro infette:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\affri (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affri (Malware.Trace) -> No action taken.

Valori di registro infetti:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\System32 (Trojan.Agent) -> Value: System32 -> No action taken.

Voci infette nei dati di registro:
(Non sono stati rilevati elementi nocivi)

Cartelle infette:
(Non sono stati rilevati elementi nocivi)

File infetti:
c:\documents and settings\administrator\dati applicazioni\dapp2.exe (Heuristics.Shuriken) -> No action taken.
c:\documents and settings\administrator\dati applicazioni\logon.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\administrator\dati applicazioni\winlogon.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\drivers\svchost.exe (Trojan.Downloader) -> No action taken.

Aiuto mi ha trovato ben 8 voci dannose! Gazie

Scarica The Avenger, eseguilo inserisci il seguente script all'interno e al termine riavvia il computer:

Poi esegui una scansione completa con malwarebytes, al termine metti tutto in quarantena e posti il log.

No scusate forse ho detto una cavolata delle mie, probabilmente non serve che fixo il file con Hijackthis perché posso eliminarlo anche con malwarebytes giusto?
Quindi procedo a rimuovere i file con Malwareb?

Or4colo ha scritto:No scusate forse ho detto una cavolata delle mie, probabilmente non serve che fixo il file con Hijackthis perché posso eliminarlo anche con malwarebytes giusto?
Quindi procedo a rimuovere i file con Malwareb?

hashcat ha scritto:

Or4colo ha scritto:Scarica The Avenger, eseguilo inserisci il seguente script all'interno, clicchi su "Execute" e al termine riavvia il computer:

Codice: Seleziona tutto

Files to delete:
c:\documents and settings\administrator\dati applicazioni\dapp2.exe
c:\documents and settings\administrator\dati applicazioni\logon.exe
c:\documents and settings\administrator\dati applicazioni\winlogon.exe
c:\WINDOWS\system32\drivers\svchost.exe

Registry keys to delete:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\affri

Poi esegui una scansione completa con malwarebytes, al termine metti tutto in quarantena e posti il log.

Esegui prima la procedura che ti ho consigliato con The Avenger, poi fai una scansione completa con malwarebytes e metti in quarantena tutto quello che trova, poi posti il log.

N.B.: The avenger richiede un riavvio per eseguire lo script quindi fai anche questo prima di malwarebytes

Ok ho fatto tutto, in effetti sembra migliorato qualcosa, questo è il log di Malware


Come faccio a mettere le 2 voci in quarantena, clicco su rimuovi selezionati?
Un'ultima domanda se posso:
con questo procedimento ho annullato anche l'applicazione FACEBBOKHACKER? perché noto che in C: esiste ancora, forse quelo è un problema diverso. Grazie davvero

Or4colo ha scritto:Ok ho fatto tutto, in effetti sembra migliorato qualcosa, questo è il log di Malware

Malwarebytes' Anti-Malware 1.50.1.1100
http://www.malwarebytes.org

Versione database: 5649

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

31/01/2011 20.38.51
mbam-log-2011-01-31 (20-38-44).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi esaminati: 234309
Tempo trascorso: 40 minuti, 18 secondi

Processi infetti in memoria: 0
Moduli di memoria infetti: 0
Chiavi di registro infette: 1
Valori di registro infetti: 1
Voci infette nei dati di registro: 0
Cartelle infette: 0
File infetti: 0

Processi infetti in memoria:
(Non sono stati rilevati elementi nocivi)

Moduli di memoria infetti:
(Non sono stati rilevati elementi nocivi)

Chiavi di registro infette:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\affri (Malware.Trace) -> No action taken.

Valori di registro infetti:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\System32 (Trojan.Agent) -> Value: System32 -> No action taken.

Voci infette nei dati di registro:
(Non sono stati rilevati elementi nocivi)

Cartelle infette:
(Non sono stati rilevati elementi nocivi)

File infetti:
(Non sono stati rilevati elementi nocivi)

Come faccio a mettere le 2 voci in quarantena, clicco su rimuovi selezionati?
Un'ultima domanda se posso:
con questo procedimento ho annullato anche l'applicazione FACEBBOKHACKER? perché noto che in C: esiste ancora, forse quelo è un problema diverso. Grazie davvero

Si, clicca su rimuovi selezionati

Per quanto riguarda facebookhacker.exe ne riparliamo domani

Ok file "quarantinati"
Grazie davvero, allora romperò le scatole ancora più avanti, grazie davvero a tutti. Buona serata/notte

hashcat ha scritto:Per quanto riguarda facebookhacker.exe ne riparliamo domani

Secondo me, meglio non parlarne proprio Speriamo che se un mod passa, chiuda un (facciamo anche l'altro) occhio...

E' uscito da tempo avast 5, hijackthis 2.04, il sp3 di windows e ie8.
Forse è meglio se fai qualche aggiornamento.

Or4colo ha scritto:ieri il mio antivirus (avast 4.8)
[Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16945)

Direi di si, sicuramente non è un file utile.
Cancella.

Or4colo ha scritto:FACEBOOKHACKER.exe (è un virus???)

Si si certo che non è un file utile,sicuramente a me non serve..Volevo solo sapere se era un virus, perché volevo eliminarlo ma non ci riuscivo.Lo spostavo nel cestino ed eliminavo, ma ad ogni riaccensione si ricreava.Comunque dopo le varie scansioni di ieri, e aver eliminato quei vari file infetti, mi sembra che oggi non mi si presenti più, meno male. Grazie ragazzi, a presto

Or4colo ha scritto:Lo spostavo nel cestino ed eliminavo, ma ad ogni riaccensione si ricreava.

Perché avevi gli altri virus attivi che andavano a ricreartelo.
Uccisi quelli, anche lui non si è più ricreato.