Dialer Fast Track...aiuto!

[Lucia89]

Ciao...credo di esser stata infettata da un dialer visitando alcuni blog.Ho provato a fare qualche ricerca ed ho letto che ci sono spesso dei dialer nei blog.Icone strane o connessioni in più non ce ne sono...tuttavia ricercando i files eseguibili ogni tanto compaiono applicazioni strane come "internet"(con icone diverse) e qualche altra...(che anche che le cancello ricompaiono).
e poi l'home page viene sempre cambiata,per esempio questa è quella di adesso: http://2lj.5ab6fp.bona-stto.biz/home-6.php (però ho notato che varia sempre anche se grossomodo segue questa linea).
Ho provato a fare scansioni con Spybot:Search & Destroy...ma niente :(
Considerando che ho windows98 SE...qualcuno sa dirmi,per piacere,come posso fare?Grazie dell'aiuto.

[crazy.cat]

La home page che hai indicato scarica in automatico un dialer appena ti colleghi.
Lo scrivono poi anche nella pagina
"Prendi la password passe-partout (no dialer)"

Il dialer è questo in pratica
http://www.MegaLab.it/2622

Cerca dei file nel tuo pc chiamati Passepartout.exe o un nome molto simile e se è presente il netvision.exe, di solito i pass*.exe sono nella cartella windows.

Posta comunque un log della scansione di hijackthis
http://www.MegaLab.it/2286

[Lucia89]

Grazie dell'aiuto!Comunque ho provato a cercare files .exe che iniziavano per pass e niente.La scansione è questa:Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19.55.05, on 15/07/07
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.00 (5.00.2614.3500)
Boot mode: Normal

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGEMC.EXE
C:\PROGRAMMI\GRISOFT\AVG FREE\AVGAMSVR.EXE
C:\WINDOWS\SYSTEM\CARPSERV.EXE
C:\PROGRAMMI\SAVE\SAVE.EXE
C:\WINDOWS\TEMP\ORPH10.EXE
C:\PROGRAMMI\FILE COMUNI\REAL\UPDATE_OB\REALSCHED.EXE
C:\WINDOWS\SYSTEM\W98EJECT.EXE
C:\PROGRAMMI\SCANSOFT\PAPERPORT\POPUP\SMARTUI.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\BRMFRSMG.EXE
C:\PROGRAMMI\SCANSOFT\PAPERPORT\PPLINKS.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\DOWNLOADS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://2lj.5ab6fp.bona-stto.biz/home-6.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
O2 - BHO: IeCatch5 Class - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\PROGRAMMI\FLASHGET\JCCATCH.DLL
O2 - BHO: Class - {67B95965-1E57-E252-58EB-E4826090F569} - C:\WINDOWS\WHIWH1.DLL
O2 - BHO: Need2Find Bar BHO - {4D1C4E81-A32A-416b-BCDB-33B3EF3617D3} - C:\PROGRAMMI\NEED2FIND\BAR\1.BIN\ND2FNBAR.DLL
O2 - BHO: CVirtualDNSObj Object - {86C510E9-97EF-4749-914F-0280247BE3A6} - C:\WINDOWS\VIRTUALDNS.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRAMMI\FLASHGET\FGIEBAR.DLL
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGCC.EXE /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGEMC.EXE
O4 - HKLM\..\Run: [AVG7_AMSVR] C:\PROGRA~1\GRISOFT\AVGFRE~1\AVGAMSVR.EXE
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [SetDefPrt] C:\Programmi\Brother\BRMFLPRO\SetDefPrt.exe
O4 - HKLM\..\Run: [WhenUSave] C:\Programmi\Save\Save.exe
O4 - HKLM\..\Run: [ORPH10.EXE] C:\WINDOWS\TEMP\ORPH10.EXE
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [idmsnn] Wscript C:\WINDOWS\LICENSEMSE.VBS /B
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\SYSTEM\mstask.exe
O4 - HKCU\..\Run: [MSWTL32] \MSWTL32.exe
O4 - HKUS\.DEFAULT\..\Run: [MSWTL32] \MSWTL32.exe (User 'Default user')
O4 - .DEFAULT Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE (User 'Default user')
O4 - .DEFAULT Startup: w98Eject.lnk = C:\WINDOWS\System\w98eject.exe (User 'Default user')
O4 - .DEFAULT Startup: Brother SmartUI PopUp.lnk = C:\Programmi\ScanSoft\PaperPort\PopUp\SmartUI.exe (User 'Default user')
O4 - Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Startup: w98Eject.lnk = C:\WINDOWS\System\w98eject.exe
O4 - Startup: Brother SmartUI PopUp.lnk = C:\Programmi\ScanSoft\PaperPort\PopUp\SmartUI.exe
O8 - Extra context menu item: Scarica con FlashGet - C:\PROGRAMMI\FLASHGET\jc_link.htm
O8 - Extra context menu item: Scarica tutto con FlashGet - C:\PROGRAMMI\FLASHGET\jc_all.htm
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRAMMI\FLASHGET\FLASHGET.EXE
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRAMMI\FLASHGET\FLASHGET.EXE
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=

--
End of file - 4660 bytes

[crazy.cat]

Installa a2 squared
http://download5.emsisoft.com/a2FreeSetup.exe
lo aggiorni e scansioni

Rifai la scansione con Hijackthis, selezioni le caselle di queste righe e premi fix checked per eliminarli.
I file e le cartelle indicati in rosso devono essere eliminati, se hai problemi a cancellarli usa Killbox o dalla modalità provvisoria.
Alcuni file potrebbero essere già stati eliminati dalla scansione fatta con a2 squared.

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://2lj.5ab6fp.bona-stto.biz/home-6.php
R3 - Default URLSearchHook is missing
O2 - BHO: Class - {67B95965-1E57-E252-58EB-E4826090F569} - C:\WINDOWS\WHIWH1.DLL
O2 - BHO: Need2Find Bar BHO - {4D1C4E81-A32A-416b-BCDB-33B3EF3617D3} - C:\PROGRAMMI\NEED2FIND\BAR\1.BIN\ND2FNBAR.DLL
O2 - BHO: CVirtualDNSObj Object - {86C510E9-97EF-4749-914F-0280247BE3A6} - C:\WINDOWS\VIRTUALDNS.DLL
O4 - HKLM\..\Run: [WhenUSave] C:\Programmi\Save\Save.exe
O4 - HKLM\..\Run: [ORPH10.EXE] C:\WINDOWS\TEMP\ORPH10.EXE
O4 - HKLM\..\Run: [idmsnn] Wscript C:\WINDOWS\LICENSEMSE.VBS /B
O4 - HKCU\..\Run: [MSWTL32] \MSWTL32.exe
O4 - HKUS\.DEFAULT\..\Run: [MSWTL32] \MSWTL32.exe (User 'Default user')

[Lucia89]

ho scaricato a-squared e dopo aver fatto aggiornamenti e scansione non so per quale motivo il pc si blocca...sarà windows98 che ormai ha i suoi anni eheheh
comunque ho cancellato quello che mi avevi detto ed ho ricercato nelle cartelle di windows quegli eseguibili...mi pare che l'homapage non venga più modificata,se dovesse risuccedere ti faccio sapere.
comunque grazie dell'aiuto! :)

[BilloKenobi]

qui c'è di mezzo anche il linkoptimizer

Codice: Seleziona tutto

R3 - Default URLSearchHook is missing
O2 - BHO: Class - {67B95965-1E57-E252-58EB-E4826090F569} - C:\WINDOWS\WHIWH1.DLL

dato che il pc è un win 98, ti tocca sperare in VirIt

http://www.tgsoft.it/italy/index_ita.html

vedi se riesce a ripulirtelo purtroppo tutti gli altri migliori programmi sotto win 98 non vanno