Winmovie plugin non si elimina

[Malbo]

salve a ttt ragazzi....io sto impazzendo m è arrivato questa winmovieplugin e ho provato di tutto ma mi appare sempre anche se tento di cancellarlo....Cortesemente mi potreste aiutare.Grazie

[crazy.cat]

Cortesemente mi potreste aiutare.Grazie

Mi serve il log della scansione di hijackthis.

[Malbo]

Logfile of HijackThis v1.99.1
Scan saved at 17.47.32, on 29/01/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\fwnet64.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe
C:\WINDOWS\__P9HEPQKBJ.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\__P9HEPQKBJ.EXE
C:\Programmi\Windows Media Player\wmplayer.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Matty\Documenti\Security\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,,C:\WINDOWS\__P9HEPQKBJ.EXE
O15 - Trusted Zone: www.linkautomatici.com
O15 - Trusted Zone: www.redfunny.com
O15 - Trusted Zone: www.skymasters.biz
O17 - HKLM\System\CCS\Services\Tcpip\..\{26740691-FB98-4543-BED5-B7FBB1A5B7C8}: NameServer = 85.37.17.10 85.38.28.86
O17 - HKLM\System\CS1\Services\Tcpip\..\{26740691-FB98-4543-BED5-B7FBB1A5B7C8}: NameServer = 85.37.17.10 85.38.28.86
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: Automatic Update Service (Automatic Update) - Unknown owner - C:\WINDOWS\system32\taskmqrs.exe (file missing)
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programmi\File comuni\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: fwnet64 (fwnet) - Unknown owner - C:\WINDOWS\fwnet64.exe
O23 - Service: Windows Installer (MSIServer) - Unknown owner - C:\WINDOWS\System32\msiexec.exe (file missing)
O23 - Service: Microsoft Path Finder Service (MSpath) - Unknown owner - C:\WINDOWS\mspath.exe
O23 - Service: NetDDE Server (NetDDEsrv) - Unknown owner - C:\WINDOWS\System32\netddesrv.exe (file missing)
O23 - Service: Universal Plug and Play Manager (PnP Manager) - Unknown owner - C:\WINDOWS\System32\pnpmgr.exe (file missing)
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programmi\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Programmi\File comuni\Softwin\BitDefender Communicator\xcommsvr.exe

[crazy.cat]

Ti sei mangiato mezzo log.
Mancano tutti i processi dello 04 che sono i più importanti.

[crazy.cat]

Rifai la scansione con hijackthis e metti il flag su queste righe e poi premi fix

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,,C:\WINDOWS\__P9HEPQKBJ.EXE
O15 - Trusted Zone: www.linkautomatici.com
O15 - Trusted Zone: www.redfunny.com
O15 - Trusted Zone: www.skymasters.biz
O23 - Service: Automatic Update Service (Automatic Update) - Unknown owner - C:\WINDOWS\system32\taskmqrs.exe (file missing)
O23 - Service: NetDDE Server (NetDDEsrv) - Unknown owner - C:\WINDOWS\System32\netddesrv.exe (file missing)
O23 - Service: Universal Plug and Play Manager (PnP Manager) - Unknown owner - C:\WINDOWS\System32\pnpmgr.exe (file missing)
O23 - Service: fwnet64 (fwnet) - Unknown owner - C:\WINDOWS\fwnet64.exe
O23 - Service: Microsoft Path Finder Service (MSpath) - Unknown owner - C:\WINDOWS\mspath.exe

Una scansione dalla modalità provvisoria è molto consigliata, visto che ci sono almeno due o tre virus visibili.
http://www.MegaLab.it/2333

Con questo programma
http://www.MegaLab.it/2427
vai a selezionare questi file __P9HEPQKBJ.EXE,fwnet64.exe,mspath.exe e riavii subito il pc.

Seguendo le istruzioni dell'articolo
http://www.MegaLab.it/2454
controlla la presenza nel tuo pc di questi file IE4321.exe,sysmon.exe e sysfind.exe
Se ci sono li vai ad eliminare con i tre virus di prima.

[Malbo]

ho provato a fare cio che mi hai detto ma dopo averlo cancellato mi appare ancora
Hai qualche altra soluzione ?

[crazy.cat]

Cosa ricompare?
Mi posti questa volta tutto il log?

[Anton64]

Salve, mi sono beccato nuovamente questo "bel" problema.già tempo fa lo avevo risolto con il vostro aiuto ma adesso si è ripresentato...
Cosiderando la mia piccola "esperienza" precedente ho fatto tutto ciò di cui ero a conoscenza.Ma adesso quasi mi arrendo perche i file si "ricreano" dal nulla allego tutti i file log.

Logfile of HijackThis v1.99.1
Scan saved at 20.40.43, on 20/02/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\carpserv.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\otiavyi32.exe
C:\Programmi\SuperRam\SuperRam.exe
C:\Programmi\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\LG PC Suite\LG PC Sync\LGSyncManager.exe
C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
C:\Programmi\Prov\Pr\Programmi\HiJackThis\HiJackThis 1.99.0.1\hijackthis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.guidapraticaalpc.it
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.guidapraticaalpc.it/firstrun.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da Guida Pratica al Computer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Network Host Service] otiavyi32.exe
O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\wxrviap.exe
O4 - HKLM\..\Run: [SuperRam] "C:\Programmi\SuperRam\SuperRam.exe" /start
O4 - HKLM\..\Run: [MMTray] C:\Programmi\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\RunServices: [Network Host Service] otiavyi32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: LG SyncManager.lnk = C:\Programmi\LG PC Suite\LG PC Sync\LGSyncManager.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.guidapraticaalpc.it
O21 - SSODL: DIFEBCF0 - {0C6569F9-079F-25BB-57AE-08B01E092E0E} - C:\WINDOWS\System32\Olapaegp.dll
O21 - SSODL: mtkle - {4A4C9F1D-8F11-49F2-3A98-58771CD1A11B} - C:\WINDOWS\System32\rlytvh32.dll (file missing)
O21 - SSODL: mtklef - {945404B6-52ED-4FFF-92BC-AF52F5E0E7D8} - C:\WINDOWS\System32\nalq32.dll (file missing)
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

come notate non ci sono i file 015 con i nomi di quei siti "allegri" (che il virus si sia evoluto e non li mosra più?)


naturalmente ho fatto tutte le scansioni con ad-ware con spybot e con seekreger ed ho cancellato tutte le voci di registro di sistema che condicevano ai noli di quei file e cioè:

moviemk.exe
wmmfilt.dll
wmmutil.dll
moviemk.inf

la cartella di file movie maker prima era su c:\programmi dopo aver cancellato i file all'interno non si fa cancellare e i file si sono spostati su
c:\window\inf

Scusate per le troppe cose che forse vi ho scritto ma non so più cosa fare...attendo fiducioso un vostro aiuto..grazie...

[crazy.cat]

I problemi che si vedono sono questi:
O4 - HKLM\..\Run: [Network Host Service] otiavyi32.exe
O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\wxrviap.exe
O4 - HKLM\..\RunServices: [Network Host Service] otiavyi32.exe
O21 - SSODL: DIFEBCF0 - {0C6569F9-079F-25BB-57AE-08B01E092E0E} - C:\WINDOWS\System32\Olapaegp.dll
O21 - SSODL: mtkle - {4A4C9F1D-8F11-49F2-3A98-58771CD1A11B} - C:\WINDOWS\System32\rlytvh32.dll (file missing)
O21 - SSODL: mtklef - {945404B6-52ED-4FFF-92BC-AF52F5E0E7D8} - C:\WINDOWS\System32\nalq32.dll (file missing)

Codice: Seleziona tutto

come notate non ci sono i file 015 con i nomi di quei siti "allegri" (che il virus si sia evoluto e non li mosra più?)

Sei sicuro che sia il winmovie plugin e non dell'altro?

Codice: Seleziona tutto

vi allego anche il contenuto del file moviemk.exe puo servire sapere che cosa fa....
la cartella di file movie maker prima era su c:\programmi dopo aver cancellato i file all'interno non si fa cancellare e i file si sono spostati su
c:\window\inf

Moviemaker è un programma di windows e non dovevi cancellarlo.

Non hai una antivirus attivo?

[Anton64]

salve...allora cancello le righe che mi hai indicato?
in effetti ho scoperto di avere un altro virus...il lsass.exe
ho letto le risposte che avete dato nel forum ad un altro caso simile e le seguiro...
ok...allora lo reinstallo movie maker...non lo sapevo cosa era...
si... ho un antivirus..ad.ware...

[Anton64]

a questo punto volevo anvhe chiedere da dove scaricare il programma per reinstallare movie maker...

[crazy.cat]

Codice: Seleziona tutto

salve...allora cancello le righe che mi hai indicato?

Si

Codice: Seleziona tutto

in effetti ho scoperto di avere un altro virus...il lsass.exe

Lsass.exe è un file di windows.

Codice: Seleziona tutto

ok...allora lo reinstallo movie maker...non lo sapevo cosa era...

E' un componente di windows per lavorare sui video, se non ti serve, ne puoi fare anche a meno

Codice: Seleziona tutto

si... ho un antivirus..ad.ware

Adware è un antispyware che è ben diverso da un antivirus.

[Anton64]

ah!!... avevo norton ma era super lento...poi ho scaricato antivir ma da quando non posso più collegarmi ad internet non l'ho più aggiornato...cosa mi consigli?

[crazy.cat]

http://www.MegaLab.it/2501

[Anton64]

...grazie per la comprensione... e per il consiglio...ti farò sapere i risultati...

[Anton64]

Ciao...credo di aver fatto un buon lavoro!!! ho rliminato quelle righe ho installato tutti gli aggiornamenti di windows xp degli ukltimi due anni!!! (un divertimento credimi!) e adesso..non vorrei dirlo a voce troppo alta per non svegliare il dialer..sembra che tutto funzioni bene!!! l'unica cosa che noto è che ho scaricato il avast 4,6 ma non si installa..oggi provo a riscaricarlo di nuovo...ti faro sapere..intanto grazie per tutti i preziosi consigli...

[Anton64]

Salve,ho installato avast 4,6 è davvero portentoso!!! lo consiglio a tutti!!!!ha individuato 848 file infetti da virus!!! incredibile!!! tutti della cartella c:\windows!sysatem32
e tuuti infettati da win32:korgo-q (wrm) pero molti file di quella cartella li salta dicendo che sono protetti da password...ho spsotato tutti e 848 file nel cestino cosi come suggerisce il programma...la mia domanda è questa:li devo cancellare? e se si il sistema continuera a funzionare regolarmente anche senza questi 848 file oppure devo fare qualche reinstallazione? poi un altra domanda mi sono reso conto di avere una versione di IE 6.0 2800 1106co che è molto vecchia vorrei passare alla nuova ver. 6,00 2900 2180 per Xp mi potete dire da dove poterla scaricare? grazie...

[crazy.cat]

.la mia domanda è questa:li devo cancellare? e se si il sistema continuera a funzionare regolarmente anche senza questi 848 file oppure devo fare qualche reinstallazione?

Domanda difficile, bisognerebbe sapere quali file sono.

mi potete dire da dove poterla scaricare? grazie...

http://www.rolbox.it/download/Explorer/ ... 0sp1it.zip

Bisognerebbe anche fare l'aggiornamento al service pack2 sul tuo pc

[Anton64]

per quanto riguarda i file ti posso inviare l'elenco cosi mi dai un consiglio?
ho scaricato l'aggiornamento di IE6 e per il sp2 mi puoi consigliare come fare l'aggiornamento e da dove? grazie in anticipo!

[crazy.cat]

per quanto riguarda i file ti posso inviare l'elenco cosi mi dai un consiglio?
ho scaricato l'aggiornamento di IE6 e per il sp2 mi puoi consigliare come fare l'aggiornamento e da dove? grazie in anticipo!

Ti ho mandato in privato l'indirizzo email dove spedire la lista dei file infetti.

Download Sp2