www.MegaLab.it

da **triskell** » dom mar 04, 2007 10:34 am

Salve a tutti,
sono incappato in quel famoso spyware che non permette di aprire pagine web dove scaricare antispyware o anti virus (chiude proprio il browser)
la cosa GRAVISSIMA è che non riesco nemmeno ad aprire hijackthis..mi restituisce un messaggio di errore con una finestra in inglese che si chiude subito.e non si capisce cosa dica
Non avevo mai installtato hijackthis su questa macchina e non so se possa essere un problema a monte o sia causato dallo spyware.
una scansione con ad-aware e con avast non porta assolutamente a nulla
lo spyware rimane saldamente nei file temp (sqlite_una serie di lettere che cambiano ogni volta)
[cry]

Cortesemente qualcuno mi può aiutare?

Fra

da **crazy.cat** » dom mar 04, 2007 11:01 am

Prova a fare una scansione con Gmer nella sezione Autostart, ci arrivi premendo il tasto con le >>>
poi incolla qui il risultato.

da **Amantide** » dom mar 04, 2007 12:53 pm

Prima di fare la scansione con Gmer, che tanto al 99% non funzionerà, dovresti ripulire nel registro di sistema il valore UserInit.

Apri il registro di sistema (Start--> Esegui--> scrivi regedit), tramite espansione delle schede arriva fino alla chiave
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon e nella scheda a destra trova la voce UserInit. Fai il doppio click sopra e nella riga Dati valori assicurati di lasciare solo questa parte, la virgola finale compresa:
C:\WINDOWS\system32\userinit.exe,

Immagine

Annota il valore iniziale ed incollalo qui, ci servirà per sapere che file eliminare.
Dopo aver fatto questo posta anche il log Autostart fatto con Gmer.

da **triskell** » lun mar 05, 2007 9:09 am

mi dà lo stesso problema anche con Gmer.. proverò a fare come ha detto Amantide... e scusate se mi sono ripetuta... ma non riesco , dall'altro pc , ad aprire la metà di questi post...
altro effetto del virus credo....

da **triskell** » lun mar 05, 2007 10:35 am

Amantide ha scritto:Prima di fare la scansione con Gmer, che tanto al 99% non funzionerà, dovresti ripulire nel registro di sistema il valore UserInit.
questo posta anche il log Autostart fatto con Gmer.

un ultima cosa.. questa operazione la devo fare in modalità provvisoria?

da **Amantide** » lun mar 05, 2007 3:16 pm

triskell ha scritto:un ultima cosa.. questa operazione la devo fare in modalità provvisoria?

Meglio di si [;)]

da **triskell** » lun mar 05, 2007 4:01 pm

allora vado a casa e provvedo..
Ma di che si tratta?
leggiucchiando qui e li riconosco tutti i sintomi del GROMOZON..... ... potrebbe essere lui vero? [cry]

da **triskell** » lun mar 05, 2007 6:21 pm

eccomi qui.. ho seguito le istruzioni
la chiave completa era:
c:\windows\system32\userinit.exe,"c:\windows\system32\macromediapad.exe",

ho eliminato l'eseguibile macromediapad.exe (attenzione che lo si deve chiudere prima dal task manager)

se non si elimina il file non si riesce a modificare la chiave di registro.

fatto questo sono riuscita a lanciare hjackthis.

ho eliminato i logs sospetti (scusate se non li posto ma nella frenesia li ho cancellati [fischio]

) e il problema non si sta piu presentando...
sono a scrivervi dalla mia adorata macchina ! :) [bleh]

ecco il log di hijack POST PULIZIA.....
Logfile of HijackThis v1.97.7
Scan saved at 17.19.40, on 05/03/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
c:\windows\system32\services.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
c:\Acer\Empowering Technology\admServ.exe
c:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
C:\Programmi\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
C:\Programmi\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
C:\Programmi\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\Programmi\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Acer\Acer Arcade\Kernel\TV\CLSched.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Acer\Empowering Technology\eRecovery\Monitor.exe
C:\Programmi\Acer\Acer Arcade\PCMService.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
C:\acer\Empowering Technology\ePower\epm-dm.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\WINDOWS\system32\rundll32.exe
C:\Acer\Empowering Technology\admtray.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\Programmi\WIDCOMM\Software Bluetooth\BTTray.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Documents and Settings\francesca\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://global.acer.com/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {346D8699-DAC7-DD78-5CD4-CA50A929983C} - C:\WINDOWS\ohrda1.dll (file missing)
O3 - Toolbar: (no name) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - (no file)
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [Collegamento alla pagina delle proprietà di High Definition Audio] HDAShCut.exe
O4 - HKLM\..\Run: [AzMixerSel] C:\Programmi\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [PCMService] "C:\Programmi\Acer\Acer Arcade\PCMService.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
O4 - HKLM\..\Run: [EPM-DM] c:\acer\Empowering Technology\ePower\epm-dm.exe
O4 - HKLM\..\Run: [Acer ePower Management] C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe
O4 - HKLM\..\Run: [ADMTray.exe] "c:\Acer\Empowering Technology\admtray.exe"
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [NAV CfgWiz] "C:\Programmi\File comuni\Symantec Shared\OPC\{31011D49-D90C-4da0-878B-78D28AD507AF}\cltUIStb.exe" /MODULE CfgWiz /GUID {BC8D3EAF-F864-4d4b-AB4D-B3D0C32E2840} /MODE CfgWiz /CMDLINE "REBOOT"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shoc ... tor/sw.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/sh ... wflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{41A754C1-2C1A-4E1D-BDAF-7A1826A9D22F}: NameServer = 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{857FF76B-2845-4A4D-84A1-0DF2DB5B70B3}: NameServer = 193.70.192.15,193.70.152.25

pensate che ora sia tutto in ordine o vado anche con GMER? [:)]

GRAZIE ANCORA COMUNQUE PER L'AIUTO...

da **Amantide** » lun mar 05, 2007 6:31 pm

Intanto assicurati di non avere questo file C:\WINDOWS\ohrda1.dll e fixa con Hijackthis le seguenti voci:
O2 - BHO: (no name) - {346D8699-DAC7-DD78-5CD4-CA50A929983C} - C:\WINDOWS\ohrda1.dll (file missing)
O3 - Toolbar: (no name) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - (no file)

Visto che si tratta di Gromozon anzichè fare la scansione con Gmer sarà meglio farla con Systemscan. Spunta tutte le voci e fai la scansione, a scansione terminata trova in C:\suspectfile il file report.txt, comprimilo in un archivio rar o zip ed allegalo qui.

da **triskell** » lun mar 05, 2007 7:16 pm

ecco la scansione che mi avevi chiesto.
ho cercato quella .dll ma nn c'è per fortuna..:)

da **Amantide** » lun mar 05, 2007 8:30 pm

Vai su Start--> Esegui, digiti control userpasswords2 e premi Ok.
Nella lista trova questo utente e rimuovilo wVYMMarxmXzNw

Carica su www.virustotal.com questo file e vedi di cosa si tratta:
C:\WINDOWS\SYSTEM32\UIVCL.DLL

Anche la provenienza di questi 2 non è molto chiara, quindi verifica anche loro:
C:\WINDOWS\SYSTEM32\CRYPTO~1.DLL
C:\WINDOWS\SYSTEM32\KEYMAN~1.DLL

da **triskell** » lun mar 05, 2007 9:29 pm

ho effettuato le scansioni dei files, che per completezza ti allego

c'è un solo risultato sospetto, riferito al primo file

Fortinet 2.85.0.0 03.05.2007 suspicious

per il resto nulla...

ho anche rimosso quel profilo come mi hai consigliato..

da **triskell** » lun mar 05, 2007 9:30 pm

ops non ho allegato un tubo...
Antivirus Version Update Result
AntiVir 7.3.1.38 03.05.2007 no virus found
Authentium 4.93.8 03.04.2007 no virus found
Avast 4.7.936.0 03.03.2007 no virus found
AVG 7.5.0.447 03.05.2007 no virus found
BitDefender 7.2 03.05.2007 no virus found
CAT-QuickHeal 9.00 03.05.2007 no virus found
ClamAV devel-20060426 03.05.2007 no virus found
DrWeb 4.33 03.05.2007 no virus found
eSafe 7.0.14.0 03.05.2007 no virus found
eTrust-Vet 30.6.3455 03.05.2007 no virus found
Ewido 4.0 03.05.2007 no virus found
FileAdvisor 1 03.05.2007 no virus found
[b][b]Fortinet 2.85.0.0 03.05.2007 suspicious
F-Prot 4.3.1.45 03.04.2007 no virus found
F-Secure 6.70.13030.0 03.05.2007 no virus found
Ikarus T3.1.1.3 03.05.2007 no virus found
Kaspersky 4.0.2.24 03.05.2007 no virus found
McAfee 4976 03.05.2007 no virus found
Microsoft 1.2204 03.05.2007 no virus found
NOD32v2 2096 03.05.2007 no virus found
Norman 5.80.02 03.05.2007 no virus found
Panda 9.0.0.4 03.05.2007 no virus found
Prevx1 V2 03.05.2007 no virus found
Sophos 4.15.0 03.05.2007 no virus found
Sunbelt 2.2.907.0 03.01.2007 no virus found
Symantec 10 03.05.2007 no virus found
TheHacker 6.1.6.069 03.05.2007 no virus found
UNA 1.83 03.05.2007 no virus found
VBA32 3.11.2 03.03.2007 no virus found
VirusBuster 4.3.19:9 03.05.2007 no virus found
Aditional Information
File size: 822784 bytes
MD5: ba52a1153d652622a24d354c6193d599
SHA1: d1a263257638d7b28592f64d7d71cf809692f952
packers: UPX
packers: UPX
packers: UPX
VirusTotal is a free service offered by Hispasec Sistemas.

STATUS: FINISHED
Complete scanning result of "CRYPTO_1.DLL_", received in VirusTotal at 03.05.2007, 20:07:43 (CET).
Antivirus Version Update Result
AntiVir 7.3.1.38 03.05.2007 no virus found
Authentium 4.93.8 03.04.2007 no virus found
Avast 4.7.936.0 03.03.2007 no virus found
AVG 7.5.0.447 03.05.2007 no virus found
BitDefender 7.2 03.05.2007 no virus found
CAT-QuickHeal 9.00 03.05.2007 no virus found
ClamAV devel-20060426 03.05.2007 no virus found
DrWeb 4.33 03.05.2007 no virus found
eSafe 7.0.14.0 03.05.2007 no virus found
eTrust-Vet 30.6.3455 03.05.2007 no virus found
Ewido 4.0 03.05.2007 no virus found
FileAdvisor 1 03.05.2007 no virus found
Fortinet 2.85.0.0 03.05.2007 no virus found
F-Prot 4.3.1.45 03.04.2007 no virus found
F-Secure 6.70.13030.0 03.05.2007 no virus found
Ikarus T3.1.1.3 03.05.2007 no virus found
Kaspersky 4.0.2.24 03.05.2007 no virus found
McAfee 4976 03.05.2007 no virus found
Microsoft 1.2204 03.05.2007 no virus found
NOD32v2 2096 03.05.2007 no virus found
Norman 5.80.02 03.05.2007 no virus found
Panda 9.0.0.4 03.05.2007 no virus found
Prevx1 V2 03.05.2007 no virus found
Sophos 4.15.0 03.05.2007 no virus found
Sunbelt 2.2.907.0 03.01.2007 no virus found
Symantec 10 03.05.2007 no virus found
TheHacker
Aditional Information
File size: 152576 bytes
MD5: c42f4730f0c54a5fd44cd5e4a299d912
SHA1: 05cd9c2b0e2f08d73b527f369a6c24bb0069ef36
packers: UPX
packers: UPX
packers: UPX

STATUS: FINISHED
Complete scanning result of "KEYMAN_1.DLL_", received in VirusTotal at 03.05.2007, 20:17:15 (CET).
Antivirus Version Update Result
AntiVir 7.3.1.38 03.05.2007 no virus found
Authentium 4.93.8 03.04.2007 no virus found
Avast 4.7.936.0 03.03.2007 no virus found
AVG 7.5.0.447 03.05.2007 no virus found
BitDefender 7.2 03.05.2007 no virus found
CAT-QuickHeal 9.00 03.05.2007 no virus found
ClamAV devel-20060426 03.05.2007 no virus found
DrWeb 4.33 03.05.2007 no virus found
eSafe 7.0.14.0 03.05.2007 no virus found
eTrust-Vet 30.6.3455 03.05.2007 no virus found
Ewido 4.0 03.05.2007 no virus found
FileAdvisor 1 03.05.2007 no virus found
Fortinet 2.85.0.0 03.05.2007 no virus found
F-Prot 4.3.1.45 03.04.2007 no virus found
F-Secure 6.70.13030.0 03.05.2007 no virus found
Ikarus T3.1.1.3 03.05.2007 no virus found
Kaspersky 4.0.2.24 03.05.2007 no virus found
McAfee 4976 03.05.2007 no virus found
Microsoft 1.2204 03.05.2007 no virus found
NOD32v2 2096 03.05.2007 no virus found
Norman 5.80.02 03.05.2007 no virus found
Panda 9.0.0.4 03.05.2007 no virus found
Prevx1 V2 03.05.2007 no virus found
Sophos 4.15.0 03.05.2007 no virus found
Sunbelt 2.2.907.0 03.01.2007 no virus found
Symantec 10 03.05.2007 no virus found
TheHacker 6.1.6.069 03.05.2007 no virus found
UNA 1.83 03.05.2007 no virus found
VBA32 3.11.2 03.03.2007 no virus found
VirusBuster 4.3.19:9 03.05.2007 no virus found
Aditional Information
File size: 82432 bytes
MD5: be26966825fccca7d371fae15d79ffa9
SHA1: d027c4c0fa4db1cb506090035b43a96f92556994
packers: UPX
packers: UPX
packers: UPX