pop up sempre più resistenti

[melania]

ciao ragazzi,
navigando in internet mi sono beccata un pop up particolarmente resistente che si cancella solo facendo CTRL+ALT+CANC (metodo brutale ma funziona)
mi dice che il programma è un DIALER, di quelli che se digiti ok, ti riconnettono con una connessione a pagamento molto costosa.
sul mio pc uso già "ad-aware" e "pop up stopper". ma non fanno niente!!! praticamente tutte le volte che navigo su internet dopo un minuto mi compare questa finestra (molto fastidiosa) che si cancella sono con il ctrl+alt+canc.
l'inconveniente è sul computer di lavoro, per questo mi scoccia che si apra la finestra di pop up.
nel mio pc non ho trovato programmi strani installati, eppure da qualche parte ci sarà un collegamento che dice al pc di aprire la finestra di pop up!! tra l'altro è anche uno spam molto fastidioso.
mi aiutate?
grazie, un beso

[antonio]

prova a navigare con mozilla e scaricarti antidialer

[crazy.cat]

Fai la scansione con hijackthis e manda qui il log della scansione.

[melania]

Fai la scansione con hijackthis e manda qui il log della scansione.

non l'ho mai sentito, che programma è hijackthis e dove lo trovo?

[crazy.cat]

http://www.MegaLab.it/2286

[melania]

vediamo un po' se ho fatto la scansione in modo giusto, questo il file di log:
Logfile of HijackThis v1.99.1
Scan saved at 15.16.41, on 01/07/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\NOVELL\CLIENT32\NWRECMSG.EXE
C:\WINDOWS\SYSTEM\ATI2EVXX.EXE
C:\PROGRAMMI\NORTON ANTIVIRUS\DEFWATCH.EXE
C:\PROGRAMMI\NORTON ANTIVIRUS\RTVSCN95.EXE
C:\PROGRAMMI\DOCUMENT MANAGEMENT SYSTEM\MFP UTILITIES\MFPDTMNG.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\ATIPTAXX.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMMI\NORTON ANTIVIRUS\VPTRAY.EXE
C:\PROGRAMMI\USB FLASH DISK UTILITY\UFD UTILITY\UFDMON.EXE
C:\PROGRAMMI\USB FLASH DISK UTILITY\UFD UTILITY\USBTD.EXE
C:\WINDOWS\SYSTEM\HPZTSB04.EXE
C:\PROGRAMMI\ENERGYPLUGIN\ENERGYPLUGIN.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\RunDLL.exe
C:\PROGRAMMI\WINZIP\WZQKPICK.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\DOCUMENTI\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.yahoo.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {B930BA63-9E5A-11D3-A288-0000E80E2EDE} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\ACROBAT\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\PROGRAMMI\AVPERSONAL\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [vptray] c:\PROGRA~1\NORTON~1\vptray.exe
O4 - HKLM\..\Run: [UFD Monitor] c:\Programmi\USB Flash Disk Utility\UFD Utility\UFDMon.exe
O4 - HKLM\..\Run: [UFD Utility] c:\Programmi\USB Flash Disk Utility\UFD Utility\USBTD.exe
O4 - HKLM\..\Run: [Internet Download Accelerator] C:\PROGRAMMI\IDA\IDA.EXE -autorun
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\SYSTEM\hpztsb04.exe
O4 - HKLM\..\Run: [EnergyPlugIn] C:\Programmi\EnergyPlugIn\EnergyPlugin.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe
O4 - HKLM\..\RunServices: [defwatch] c:\Programmi\Norton AntiVirus\defwatch.exe
O4 - HKLM\..\RunServices: [rtvscn95] c:\PROGRA~1\NORTON~1\rtvscn95.exe
O4 - HKLM\..\RunServices: [MFP Data Manage] C:\PROGRAMMI\DOCUMENT MANAGEMENT SYSTEM\MFP UTILITIES\MFPDTMNG.EXE
O4 - HKLM\..\RunServices: [Port Controller] C:\PROGRAMMI\DOCUMENT MANAGEMENT SYSTEM\PORT CONTROLLER\MGCSLOAD.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://c:\PROGRA~1\MICROS~1\OFFICE10\EXCEL.EXE/3000
O8 - Extra context menu item: Add to filterlist (WebWasher) - http://-Web.Washer-/ie_add
O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)
O15 - Trusted Zone: *.energyfactor.com
O15 - Trusted Zone: *.hardcorefantasyland.com
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/Media ... ge-c18.cab
O16 - DPF: {FFFF0001-0001-101A-A3C9-08002B2F49FC} - http://download.energyfactor.com/dialer ... 933_it.exe
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 151.99.125.2,151.99.250.2

[taddeos]

puoi postare il log qui
http://www.ilsoftware.it/hijackthis.asp
xò x vere + delucidazioni io aspetterei crazy

[melania]

forse ho trovato il problema, è un programmino di 30kb appena, si chiama energy plugin, da evitare come la peste!!!
mi sta cambiando le configurazioni di navigazione, è davvero fetente, adesso mi tocca scrivere su google con caratteri grandi ed enormi così. aspetto consigli e suggerimenti...

[crazy.cat]

puoi postare il log qui
http://www.ilsoftware.it/hijackthis.asp
xò x vere + delucidazioni io aspetterei crazy

Link diretto senza passare attraverso altri siti inutili.
http://hijackthis.de/it

[crazy.cat]

Cancella queste righe dalla modalità provvisoria
O4 - HKLM\..\Run: [EnergyPlugIn] C:\Programmi\EnergyPlugIn\EnergyPlugin.exe
O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)
O15 - Trusted Zone: *.energyfactor.com
O15 - Trusted Zone: *.hardcorefantasyland.com
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/Media ... ge-c18.cab
O16 - DPF: {FFFF0001-0001-101A-A3C9-08002B2F49FC} - http://download.energyfactor.com/dialer ... 933_it.exe

Poi controlla la presenza dei file che indicano in questo link
http://securityresponse.symantec.com/av ... lugin.html

Dopo riprova a navigare e vedi come và e ci fai sapere.

[taddeos]

taddeos ha scritto:
puoi postare il log qui
http://www.ilsoftware.it/hijackthis.asp
xò x vere + delucidazioni io aspetterei crazy


Link diretto senza passare attraverso altri siti inutili.
http://hijackthis.de/it

ok scusa.....chiedo venia; ma l'avevo detto di aspettare te

[crazy.cat]

ok scusa.....chiedo venia; ma l'avevo detto di aspettare te

Nessun problema figurati, era solo per dire che esiste un link diretto, visto che non sei il solo a segnalare quello indiretto..

[melania]

ciao..incredibile
pensavo di togliere questo pop up con calma, dopo aver fatto un po' di lavoro, ma si sta ...riproducendo, non so dire meglio, ha chiamato anche i fratelli, ora ci sono 2 finestre invadenti...e che fine ha fatto l'icona dell'antivirus? ti allego il text, mi dici per cortesia cosa devo fare passo passo?
grazie mille mille

Logfile of HijackThis v1.99.1
Scan saved at 13.03.23, on 05/07/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\NOVELL\CLIENT32\NWRECMSG.EXE
C:\WINDOWS\SYSTEM\ATI2EVXX.EXE
C:\PROGRAMMI\NORTON ANTIVIRUS\DEFWATCH.EXE
C:\PROGRAMMI\NORTON ANTIVIRUS\RTVSCN95.EXE
C:\PROGRAMMI\DOCUMENT MANAGEMENT SYSTEM\MFP UTILITIES\MFPDTMNG.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\ATIPTAXX.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAMMI\USB FLASH DISK UTILITY\UFD UTILITY\UFDMON.EXE
C:\PROGRAMMI\USB FLASH DISK UTILITY\UFD UTILITY\USBTD.EXE
C:\PROGRAMMI\ENERGYPLUGIN\ENERGYPLUGIN.EXE
C:\WINDOWS\RunDLL.exe
C:\PROGRAMMI\WINZIP\WZQKPICK.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\DOCUMENTI\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.yahoo.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {B930BA63-9E5A-11D3-A288-0000E80E2EDE} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\ACROBAT\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\PROGRAMMI\AVPERSONAL\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [UFD Monitor] c:\Programmi\USB Flash Disk Utility\UFD Utility\UFDMon.exe
O4 - HKLM\..\Run: [UFD Utility] c:\Programmi\USB Flash Disk Utility\UFD Utility\USBTD.exe
O4 - HKLM\..\Run: [Internet Download Accelerator] C:\PROGRAMMI\IDA\IDA.EXE -autorun
O4 - HKLM\..\Run: [EnergyPlugIn] C:\Programmi\EnergyPlugIn\EnergyPlugin.exe
O4 - HKLM\..\Run: [miniport] C:\WINDOWS\SYSTEM\usbmon.exe /start
O4 - HKLM\..\Run: [wise] C:\Programmi\Common files\clockwise.exe -boot
O4 - HKLM\..\Run: [Dit] C:\WINDOWS\SYSTEM\dit.exe
O4 - HKLM\..\Run: [PowerChute] C:\Programmi\APC_Power\Pwrchute.exe -boot_time
O4 - HKLM\..\Run: [3capplnk] C:\Programmi\US Robotics\\3capplnk.exe
O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe
O4 - HKLM\..\RunServices: [defwatch] c:\Programmi\Norton AntiVirus\defwatch.exe
O4 - HKLM\..\RunServices: [rtvscn95] c:\PROGRA~1\NORTON~1\rtvscn95.exe
O4 - HKLM\..\RunServices: [MFP Data Manage] C:\PROGRAMMI\DOCUMENT MANAGEMENT SYSTEM\MFP UTILITIES\MFPDTMNG.EXE
O4 - HKLM\..\RunServices: [Port Controller] C:\PROGRAMMI\DOCUMENT MANAGEMENT SYSTEM\PORT CONTROLLER\MGCSLOAD.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://c:\PROGRA~1\MICROS~1\OFFICE10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/Media ... ge-c18.cab
O16 - DPF: {FFFF0001-0001-101A-A3C9-08002B2F49FC} - http://download.energyfactor.com/dialer ... 933_it.exe
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 151.99.125.2,151.99.250.2

[crazy.cat]

Fai partire il pc in modalità provvisoria, riafai la scansione con hijackthis, metti il flag su queste voci
O2 - BHO: (no name) - {B930BA63-9E5A-11D3-A288-0000E80E2EDE} - (no file)
O4 - HKLM\..\Run: [EnergyPlugIn] C:\Programmi\EnergyPlugIn\EnergyPlugin.exe
O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)
O16 - DPF: {15AD6789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/Media ... ge-c18.cab
O16 - DPF: {FFFF0001-0001-101A-A3C9-08002B2F49FC} - http://download.energyfactor.com/dialer ... 933_it.exe
e poi premi fix

Poi controlla la presenza dei file che indicano in questo link
http://securityresponse.symantec.com/av ... lugin.html
se li trovi li elimini

[melania]

Grazie raga!!
sono 10 minuti che navigo e ancora non mi è comparso quel pop up maledetto...grazie davvero!!

ho seguito le istruzioni e fatto attenzione a non cancellare i file del pc necessari.
peccato però che le cose che mi ha modificato il programma malefico non sono tornate normali (per dirne una, mi è sparito il collegamento a norton antivirus che si apriva all'avvio del pc)
pazienza, l'importante è che il dialer se ne sia andato. mi resta una curiosità...come a fatto a prenderlo? non navigo su siti internet pirata
Bho? sarò distratta ....
Ciao e grazie ancora

[crazy.cat]

se non si apre norton all'avvio èuna buona occasione per eliminare il programma e mettere un antivirus più decente.
non navigare senza antivirus.

[melania]

ho preso a distanza di due settimane ancora lo stesso dialer o malawere che si voglia!
ma come è possibile riprenderselo due volte? vi posto il log di Hjack:
mi ci date un'occhiata? grazie soprattutto a crazy, ciao bello!!

Logfile of HijackThis v1.99.1
Scan saved at 9.41.03, on 22/07/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\NOVELL\CLIENT32\NWRECMSG.EXE
C:\WINDOWS\SYSTEM\ATI2EVXX.EXE
C:\PROGRAMMI\NORTON ANTIVIRUS\DEFWATCH.EXE
C:\PROGRAMMI\NORTON ANTIVIRUS\RTVSCN95.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\ATIPTAXX.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\LOADQM.EXE
C:\WINDOWS\SYSTEM\USBMON.EXE
C:\PROGRAMMI\REAL\REALJBOX.EXE
C:\PROGRAMMI\WINZIP\WZQKPICK.EXE
C:\DOCUMENTI\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.yahoo.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0\ACROBAT\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [AtiPTA] Atiptaxx.exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [AVSCHED32] C:\PROGRAMMI\AVPERSONAL\AVSCHED32.EXE /min
O4 - HKLM\..\Run: [miniport] C:\WINDOWS\SYSTEM\usbmon.exe /start
O4 - HKLM\..\Run: [wise] C:\Programmi\Common files\clockwise.exe -boot
O4 - HKLM\..\Run: [Dit] C:\WINDOWS\SYSTEM\dit.exe
O4 - HKLM\..\Run: [PowerChute] C:\Programmi\APC_Power\Pwrchute.exe -boot_time
O4 - HKLM\..\Run: [3capplnk] C:\Programmi\US Robotics\\3capplnk.exe
O4 - HKLM\..\Run: [REAL] C:\Programmi\REAL\realjbox.exe
O4 - HKLM\..\RunServices: [ATIPOLAB] ati2evxx.exe
O4 - HKLM\..\RunServices: [defwatch] c:\Programmi\Norton AntiVirus\defwatch.exe
O4 - HKLM\..\RunServices: [rtvscn95] c:\PROGRA~1\NORTON~1\rtvscn95.exe
O4 - Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Startup: Symantec AntiVirus Client.lnk = C:\Programmi\Norton AntiVirus\vpc32.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://c:\PROGRA~1\MICROS~1\OFFICE10\EXCEL.EXE/3000
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 151.99.125.2,151.99.250.2

[Michael]

Questa voce è da eliminare:

Codice: Seleziona tutto

C:\NOVELL\CLIENT32\NWRECMSG.EXE

[melania]

magari la lascio, novell è il nostro.sistema aziendale di rete interna. se non c'è nient'altro vuol dire che ho risolto il problema facendo una scansione con ad-aware. mi chiedo però se è possibile bloccarli subito questi dialer/maleware prima che mi si installino sul sistema
ci sono dei programmi per bloccare sul nascere questi dialer?
ciao belli la calura aumenta a rimini.

[crazy.cat]

ci sono dei programmi per bloccare sul nascere questi dialer?

Spybot+spywareblaster abilitando tutte le protezioni bloccano in anticipo l'arrivo di tante schifezze.
Microsoft antispyware ha una protezione in tempo reale contro tanti problemi, utilizzo da consigliare.