Non riesco a rimuovere lo spyware

[ligamarco]

Ciao, usando internet explorer mi sono beccato un bello spyware che mi apre una seconda finestra di explorer con della pubblicità ogni volta che navigo usando explorer...
Ho provato a rimuoverlo usando adaware,spybot S&D,Spyware terminator...
ma niente è rimasto lì

Qualcuno ha avuto lo stesso problema? Come posso risolverlo?

Grazie.

[Amantide]

Cosi all'occhio direi che ti sei beccato anche tu il LinkOptimizer.
Postaci il log della scansione con Hijackthis e vediamo se è veramente cosi.

[ligamarco]

ok!

Logfile of HijackThis v1.99.1
Scan saved at 12.24.57, on 16/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Luca\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Dvdnameknobburn] C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\stop meal.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [Frag01] C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{9785D5AB-4D13-4030-9783-CA31A0371838}: NameServer = 192.168.0.200
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

[Amantide]

Sembra un po' mozzato questo log.

Rifai la scansione, seleziona queste 2 voci e premi Fix Checked:
O4 - HKCU\..\Run: [Frag01] C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe
O4 - HKLM\..\Run: [Dvdnameknobburn] C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\stop meal.exe
Vai su task manager (CTRL+Alt+Canc) e termina questi 2 processi: TRAY MAIL.exe e stop meal.exe.
Ora vai su Pannello di controllo-->Opzioni cartella--> Visualizzazione ed abilita la visualizzazione dei file nascosti. Fatto ciò, elimina questi file in rosso, compresi di cartella:
C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\stop meal.exe
C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe, il suo percorso esatto dovrebbe essere questo:
C:\Documents and Settings\Luca\Dati applicazioni\bitsme....\tray mail.exe
Se non riesci a trovarlo, usa il Cerca di windows, abilitando in Avanzate la ricerca fra i file nascosti.
Se avrai i problemi ad eliminare questi file usa Unlocker. Dopo di che fai la scansione completa con A-Squared (i link per scaricare questi programmi, li trovi sul Google).

[ligamarco]

Perfetto, ha funzionato!!! Grazie 1000!!!!!
Posso sapere come hai fatto ad individuare quali fossero le voci da eliminare? Almeno la prossima volta potrò essere autonomo...

Grazie ancora.
Ciao.

[Amantide]

Erano le voci, che non avevo mai visto prima, e facendo la ricerca sul google, ho scoperto che stop meal.exe è uno dei tanti nomi che assume l'adware Lop.BHO. Invece il secondo .exe dovrebbe essere un' infezione recente, non si trova nessun riferimento da nessuna parte.

Mi togli una curiosità? Puoi postare per piacere il nuovo log di hijackthis? Vorrei vedere se il primo log era "mozzato" per colpa di quel adware.

[ligamarco]

Certo!

Logfile of HijackThis v1.99.1
Scan saved at 18.07.28, on 16/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Luca\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {1F603AED-3839-0008-3A2A-5F3FF549CF0A} - C:\DOCUME~1\Luca\DATIAP~1\GREATF~1\deaf part.exe
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Dvdnameknobburn] C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\Four Wipe.exe
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Frag01] C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{9785D5AB-4D13-4030-9783-CA31A0371838}: NameServer = 192.168.0.200
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


E' ricomparso il TRAY MAIL e con esso il malware....

[Amantide]

E' ricomparso il TRAY MAIL e con esso il malware....

Sono comparse anche alcune voci mancanti e con loro altri file infetti.
Fixa queste voci ed elimina i file in rosso, comprese le cartelle in quali si trovano questi file:
O2 - BHO: (no name) - {1F603AED-3839-0008-3A2A-5F3FF549CF0A} - C:\DOCUME~1\Luca\DATIAP~1\GREATF~1\deaf part.exe
O4 - HKLM\..\Run: [Dvdnameknobburn] C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\Four Wipe.exe
O4 - HKCU\..\Run: [Frag01] C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe

Ora devi andare in regedit, apri Modifica--> Trova ed uno alla volta inserisci questi valori, tutto ciò che sarà trovato dev'essere eliminato. Prima di fare le modifiche al registro, fai una sua copia dal File--> Esporta.
Allora, le parole/valori da ricercare ed eliminare cono questi:
{1F603AED-3839-0008-3A2A-5F3FF549CF0A}
deaf part.exe
Four Wipe.exe
TRAY MAIL.exe
stop meal.exe
Frag01
Dvdnameknobburn
Forktooldvdname
BITSME.... (vedi il nome completo di questa cartella)

P.S. Dimenticavo, un altra voce sospetta è quella:
c:\progra~1\intern~1\iexplore.exe
Non è il solito C:\Programmi\Internet Explorer\iexplore.exe e mi puzza strano.
Prova con Cerca di XP ricercare tutti i file iexplore.exe e vedi se si trova più di uno. Non dimenticare di spuntare in Avanzate la ricerca fra i file nascosti.

[ligamarco]

Ok, grazie. Per ora sembra tenere botta.
Se c'è qualcosa di strano ti faccio sapere...

Grazie 1000!!!!!!!