www.MegaLab.it

da **domenico127** » ven ago 26, 2005 12:59 am

Comincio col complimentarmi per l'articolo su WinMoviePlugin. Appena letto ho subito messo in moto la funzione "Cerca" per cercare "WinMoviePlugin" e mi ha trovato il file nella cartella "menu avvio" sono andato subito a controllare e in effetti c'era anche l'explorer.exe. Questo file aveva l'icona normale di explorer, l'altro no, non aveva l'icona che si evde nell'articolo. Se clicco su explorer si apre il sito porno... se clicco sull'altro mi cerca il file gay.exe... [sbigot]

Nel log non ho trovato nulla di interessante mente nel regedit ho cercato "scrung", "explorer.Ink" e mi ha trovato delle cose che ho subito cancellato. Fra questi c'era anche il titolo di una canzone che ho sul pc... ho cancellato anche quella chiave... boh. I due file explorer.exe e WinMoviePlugin non li ho eliminati, aspetto voi per indicarmi la strada da seguire. Allego il log. Alcune righecome la 017 e quelle che riguardano il mio ex antivirus bitdefender non si eliminano.

Codice: Seleziona tutto: Logfile of HijackThis v1.99.1 Scan saved at 1.38.06, on 26/08/2005 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE C:\Programmi\Eset\nod32krn.exe C:\Programmi\Photodex\ProShowGold\ScsiAccess.exe C:\WINDOWS\system32\ZONELABS\vsmon.exe C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\carpserv.exe C:\Programmi\Synaptics\SynTP\SynTPLpr.exe C:\Programmi\Synaptics\SynTP\SynTPEnh.exe C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe C:\Programmi\IPM\Adsl\DataWay\dslstat.exe C:\WINDOWS\system32\dslagent.exe C:\Programmi\File comuni\Real\Update_OB\realsched.exe C:\Programmi\QuickTime\qttask.exe C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe C:\Programmi\MessengerPlus! 3\MsgPlus.exe C:\Programmi\Eset\nod32kui.exe C:\Programmi\Yahoo!\Messenger\ypager.exe C:\WINDOWS\system32\ctfmon.exe C:\Programmi\Messenger\msmsgs.exe C:\Programmi\Shareaza\Shareaza.exe C:\Programmi\Skype\Phone\Skype.exe C:\Programmi\WinZip\WZQKPICK.EXE C:\Programmi\MSN Toolbar Suite\DS\02.05.0000.1082\it-it\bin\WindowsSearch.exe C:\Programmi\MSN Toolbar Suite\DS\02.05.0000.1082\it-it\bin\WindowsSearchIndexer.exe C:\Programmi\MSN Messenger\msnmsgr.exe C:\Programmi\File comuni\Real\Update_OB\RealOneMessageCenter.exe C:\Programmi\Internet Explorer\iexplore.exe C:\Documents and Settings\Domenico\Desktop\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.it/0SEITIT/SAOS01?FORM=TOOLBR R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.it/0SEITIT/SAOS01?FORM=TOOLBR R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://spaces.msn.com/members/domenico2000/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://gw.aliceadsl.it/home R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.it/0SEITIT/SAOS01?FORM=TOOLBR R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da Alice O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll O2 - BHO: MSN Search Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\MSN Toolbar Suite\TB\02.05.0000.1082\it-it\msntb.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll O3 - Toolbar: MSN Search Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\MSN Toolbar Suite\TB\02.05.0000.1082\it-it\msntb.dll O4 - HKLM\..\Run: [PCTVOICE] pctspk.exe O4 - HKLM\..\Run: [CARPService] carpserv.exe O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [DSLSTATEXE] C:\Programmi\IPM\Adsl\DataWay\dslstat.exe icon O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB O4 - HKLM\..\Run: [REGSHAVE] C:\Programmi\REGSHAVE\REGSHAVE.EXE /AUTORUN O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe O4 - HKLM\..\Run: [BDOESRV] C:\Programmi\Softwin\BitDefender8\\bdoesrv.exe O4 - HKLM\..\Run: [BDNewsAgent] C:\Programmi\Softwin\BitDefender8\bdnagent.exe O4 - HKLM\..\Run: [BDSwitchAgent] C:\Programmi\Softwin\BitDefender8\\bdswitch.exe O4 - HKLM\..\Run: [Zone Labs Client] C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe O4 - HKLM\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe" O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE O4 - HKCU\..\Run: [Yahoo! Pager] "C:\Programmi\Yahoo!\Messenger\ypager.exe" -quiet O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background O4 - HKCU\..\Run: [MessengerPlus3] "C:\Programmi\MessengerPlus! 3\MsgPlus.exe" /WinStart O4 - HKCU\..\Run: [Shareaza] "C:\Programmi\Shareaza\Shareaza.exe" -tray O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash /minimized O4 - HKCU\..\Run: [msnmsgr] "C:\Programmi\MSN Messenger\msnmsgr.exe" /background O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: Windows Desktop Search.lnk = C:\Programmi\MSN Toolbar Suite\DS\02.05.0000.1082\it-it\bin\WindowsSearch.exe O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\file comuni\Adobe\Calibration\Adobe Gamma Loader.exe O8 - Extra context menu item: &Google Search - res://c:\programmi\google\GoogleToolbar1.dll/cmsearch.html O8 - Extra context menu item: &MSN Search - res://C:\Programmi\MSN Toolbar Suite\TB\02.05.0000.1082\it-it\msntb.dll/search.htm O8 - Extra context menu item: &Translate English Word - res://c:\programmi\google\GoogleToolbar1.dll/cmwordtrans.html O8 - Extra context menu item: Apri in nuova scheda in primo piano - res://C:\Programmi\MSN Toolbar Suite\TAB\02.05.0000.1110\it-it\msntabres.dll/230?33e29c3190324bb58765bad65780d74d O8 - Extra context menu item: Apri in nuova scheda in secondo piano - res://C:\Programmi\MSN Toolbar Suite\TAB\02.05.0000.1110\it-it\msntabres.dll/229?33e29c3190324bb58765bad65780d74d O8 - Extra context menu item: Backward Links - res://c:\programmi\google\GoogleToolbar1.dll/cmbacklinks.html O8 - Extra context menu item: Cached Snapshot of Page - res://c:\programmi\google\GoogleToolbar1.dll/cmcache.html O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000 O8 - Extra context menu item: Similar Pages - res://c:\programmi\google\GoogleToolbar1.dll/cmsimilar.html O8 - Extra context menu item: Translate Page into English - res://c:\programmi\google\GoogleToolbar1.dll/cmtrans.html O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL O9 - Extra button: RealGuide - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\YAHOO!\MESSEN~1\YPAGER.EXE O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\YAHOO!\MESSEN~1\YPAGER.EXE O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe O12 - Plugin for .pdf: C:\Programmi\Internet Explorer\PLUGINS\nppdf32.dll O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{B402DBB3-BBBB-45FB-B131-788AEDFBA735}: NameServer = 85.37.17.50 151.99.125.1 O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing) O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programmi\iPod\bin\iPodService.exe O23 - Service: MySQL - Unknown owner - C:\WM\MySQL-4.0.22\bin\mysqld-nt.exe O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe O23 - Service: ScsiAccess - Unknown owner - C:\Programmi\Photodex\ProShowGold\ScsiAccess.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe O23 - Service: BitDefender Virus Shield (VSSERV) - Unknown owner - C:\Programmi\Softwin\BitDefender8\vsserv.exe (file missing) O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)

da **domenico127** » ven ago 26, 2005 1:40 am

Questa riga provoca in me dei dubbi ora che guardo con attenzione ma il sito "ilsoftware.it" non me lo segnala...

Codice: Seleziona tutto: O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

da **crazy.cat** » ven ago 26, 2005 7:14 am

domenico127 ha scritto:Questa riga provoca in me dei dubbi ora che guardo con attenzione ma il sito "ilsoftware.it" non me lo segnala...
Codice: Seleziona tutto
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

Se hai installato Spybot search & destroy sul tuo pc sei a posto per questa riga.

Questo è il link diretto a sito per fare l'analisi dei log.
http://hijackthis.de/it

Non si vede più niente di pericoloso dal tuo log.

Quello che ho scritto nell'articolo è frutto di un esperienza personale e della raccolta di alcune informazioni in giro su internet, purtroppo quel dialer assume tanti nomi diversi ed è parecchio difficile trovare una soluzione unica e definitiva.

La riga 017 sparisce appena ti scolleghi da internet e rifai la scansione. Per bitdefender non sembra che sia stato disinstallato completamente
O4 - HKLM\..\Run: [BDOESRV] C:\Programmi\Softwin\BitDefender8\\bdoesrv.exe
O4 - HKLM\..\Run: [BDNewsAgent] C:\Programmi\Softwin\BitDefender8\bdnagent.exe
O4 - HKLM\..\Run: [BDSwitchAgent] C:\Programmi\Softwin\BitDefender8\\bdswitch.exe
questi sono attivi in memoria e quindi il programma è ancora li.

Posso solo dirti di cercare ed eliminare tutti i file (gay.exe) sospetti e collegati a quelle icone.

da **domenico127** » ven ago 26, 2005 8:26 am

si certo, ma file del tipo gay.exe non ne esistono sul mio pc, nè se cerco nel registro nè con la funzione "cerca" di Windows. Inoltre... alle apparenze bitdefender è disinstalalto... cosa devo fare se alla radice nonè così?

da **domenico127** » ven ago 26, 2005 12:14 pm

Perciò..

ho Spybot Search and Destroy, quindi sono a posto per quanto riguarda quella riga. L'analisi del log la faccio dal sito ilsoftware.it che comunque è la stesso cosa di quello ufficiale del tool hijackthis. Adesso sono riuscito a far scomparire le righe riguardanti bitdefender perché ho cancellato dal registro tutte quelle diciture che vi appartenevano, facendo Modifica -->

Trova e inserendo i nomi dei file che compaiono sul log. Quindi fuori uno.

Per quanto riguarda quei file, del tipo gay.exe, non ce ne sono sul mio pc... è questo che mi stupisce, forse saranno stati cancellati da qualche scansione effettuata in passato, pertanto se clicco sul file WinMoviePlugin compare la finestra con la torcia che va alla ricerca del file gay.exe...

da **crazy.cat** » ven ago 26, 2005 1:00 pm

domenico127 ha scritto:Per quanto riguarda quei file, del tipo gay.exe, non ce ne sono sul mio pc... è questo che mi stupisce, forse saranno stati cancellati da qualche scansione effettuata in passato, pertanto se clicco sul file WinMoviePlugin compare la finestra con la torcia che va alla ricerca del file gay.exe...

Allora cancella tutte le icone e fatti una scansione con Adware e Spybot e poi dovresti essere a posto.
Al limite vai con il trial di spysweeper, lo aggiorni e spazzoli via il resto.

da **domenico127** » ven ago 26, 2005 5:47 pm

Ciao crazy.cat.

Perciò ho eliminato quelle due icone poi ho installato la trial del software che mi hai consigliato (è ottimo) e durante la scansione ho notato che ha proprio rilevato Adware: WinMediaPlugin Dialer oltre ad altre cose. Ho proseguito sino alla cancellazione. Ho ripetuto la scansione e non ha trovato più niente. Spero di vivere sogni tranquilli adesso dopo la bolletta telecom di oltre 1300 e passa euro....

da **crazy.cat** » ven ago 26, 2005 6:22 pm

domenico127 ha scritto:dopo la bolletta telecom di oltre 1300 e passa euro....

Che mazzata....

Segui i consigli
http://www.MegaLab.it/2387/2
per evitare di ricaderci.

da **domenico127** » ven ago 26, 2005 8:05 pm

Grazie crazy.cat. Ho instalalto Antidialer. Ci sono diversi numeri che compaiono nel programma oltre all'8,35... cosa devo fare con gli altri?? Li posso cancellare???

da **crazy.cat** » sab ago 27, 2005 7:27 am

Devi tenere solo quello del tuo provider.
Controlla nelle opzioni di internet quante connessioni remote hai impostato ed elimina quelle sbagliate.

da **domenico127** » sab ago 27, 2005 11:15 am

In opzioni internet ce ne sono 5... Connessione Predefinita, Connessione remora, quella che utilizzo quindi Alice, jmp17x_Connection (non ho idea di cosa sia) e signuptiscali.... (ma sto tiscali da dove esce???)... [sbigot]

da **crazy.cat** » sab ago 27, 2005 11:30 am

domenico127 ha scritto:jmp17x_Connection (non ho idea di cosa sia) e signuptiscali.... (ma sto tiscali da dove esce???)...

Dialer?
Elimina queste due senza problemi.

da **domenico127** » sab ago 27, 2005 3:57 pm

Ok, le ho cancellate!!

In "Antidialer" però, quegli altri numeri sono ancora lì [cry]

.

da **crazy.cat** » sab ago 27, 2005 5:23 pm

cerca questo file AntiDialer.ini dovrebbe contenere tutti i numeri telefonici, elimina quelli sbagliati, al limite disinstalla e poi reinstalla il programma.

da **domenico127** » sab ago 27, 2005 6:18 pm

Ecco. Nonostante avevo eliminato quelle due connessione da Opzioni Internet, in ANtiDialer non erano stati eliminati i numeri corrispondenti. Così l'ho disinstallato e reinstallato. Adesso al posto di quattro compaiono solo due numeri. Il primo è il comune 8,35 e un altro che sconosco... e che c'era anche prima della disinstalalzione. [sbigot]

da **crazy.cat** » sab ago 27, 2005 6:34 pm

domenico127 ha scritto: un altro che sconosco... e che c'era anche prima della disinstalalzione.

Sconosco????

Ti è avanzato qualche dialer più nascosto?
Che numero di telefono è?
Hai provato a modificare il file che ti ho detto?

da **domenico127** » dom ago 28, 2005 3:05 pm

Il numero è: 7020102463

da **crazy.cat** » dom ago 28, 2005 3:38 pm

Ti dice niente

Clikka qui

Codice: Seleziona tutto: Blutime.org - Free Mail (http://www.blutime.org/service.php) Il numero unico a livello nazionale è basato sulla nuova numerazione 702. Il numero è 7020102463.

da **domenico127** » dom ago 28, 2005 3:53 pm

Ma quindi è un servizio Telecom??? Che si attiva da solo?? Io non ho inviato e-mail alla Telecom da come dice quell'articolo... e poi la connessione è a 56K ma io utilizzo Alice.... crazy.cat help help help!!!!!

da **crazy.cat** » dom ago 28, 2005 3:58 pm

Prova a fare una scansione con Hijackthis e postare qui il log.
In quel link si parla che ti installano qualche cosa, però il servizio è sospeso è non riesco a vedere cosa possa essere.

Rispondimi alle domande.
Hai eliminato tutte le altre connessioni in Accesso remoto?
Quel file AntiDialer.ini lo hai trovato e modoficato?

www.MegaLab.it

WinMoviePlugin

WinMoviePlugin

Chi c’è in linea