Dialer

[otanch]

Nel mio pc con SO windows xp SP2 la notte quando lo lascio connesso a internet (connessione analogica 56k) intorno a mezzanotte viene disconnesso da un dialer , vado in accesso remoto e trovo la connessione del dialer con il nome "LOCAL INTERNET" numero di connessione "SECRET"
A questo punto ho cercato di eliminare il dialer usando i classici programmi free del web Spybot , ad-aware, avast e in fine hijack .
Controllato tutto il pc con questi programmi disttivando il ripristino di sistema e scanzionando tutto in modalità provvisoria ho trovato delle cose non regolari che sono stata sistemate ,ma puntualmente il dialer ricompare di notte più o meno a quell'ora.
Avete qualcosa da suggerirmi prima di formattare grazie.

Saluri Otanch

[Pct]

Non sai per caso il nome del dialer?Ti è per caso apparsa sul desktop un icona dal nome instant access?

[otanch]

No si forma solo l'icona della connessione in accesso remoto mi stacca la connessione in corso e basta , la elimino la notte successiva se lascio il pc connesso a mezzanotte ricompare la connessione.

[Pct]

ah... bè, io non sono esperto, puoi comunque postare un Log di hijackthis in attesa che qualcuno esperto del forum ti risponda e lo analizzi...

se non sai dove scaricarlo, clicca qui http://www.trendsecure.com/portal/en-US ... ckThis.zip

Qui c'è un otttima guida per utilizzarlo http://www.MegaLab.it/2286 . Scarica anche kamomilla e guarda se ti dà qualche voce in rosso

http://www.sbontolo.com/?q=disknode/get ... e&download

questa è la guida per utillizzarlo http://www.MegaLab.it/2653

ricordati di NON ELIMINARE NIENTE, dai un 'occhiata alle guide, sono importanti, se non sai come utillizarli

[Pct]

scusa ... non avevo visto che nel tuo primo post avevi scritto che hai usato hijackthis ... non puoi postare il log, comunque?Kamomilla non dice niente? Sai per caso i nomi delle schifezze che ti hanno trovato avast, spybot ecc...

[crazy.cat]

Adware e spybot sono molto scarsi, prova con A2 squared o superantispyware.

Vediamo comunque il log di hijackthis.

[otanch]

grazie a tutti ecco il log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20.42.50, on 19/09/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\Lavasoft\Ad-Aware 2007\AAWTray.exe
C:\DOCUME~1\otanch\IMPOST~1\Temp\1189777569.dat.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\TechniSat DVB\bin\Server4PC.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\File comuni\SafeNet Sentinel\Sentinel Protection Server\WinNT\spnsrvnt.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\eMule\emule.exe
C:\Documents and Settings\otanch\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [AAWTray] C:\Programmi\Lavasoft\Ad-Aware 2007\AAWTray.exe
O4 - HKLM\..\Run: [crtfmon] C:\DOCUME~1\otanch\IMPOST~1\Temp\1189777569.dat.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [ares] "C:\Programmi\Ares\Ares.exe" -h
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Digisoft AntiDialer.lnk = C:\Programmi\Digisoft AntiDialer\AntiDialer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Server4PC.lnk = C:\Programmi\TechniSat DVB\bin\Server4PC.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{95B661AB-5E84-4529-961D-68CB57E35F03}: NameServer = 62.211.69.150 212.48.4.15
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programmi\File comuni\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: NBService - Unknown owner - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe (file missing)
O23 - Service: NMIndexingService - Unknown owner - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programmi\File comuni\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Sentinel Protection Server (SentinelProtectionServer) - SafeNet, Inc - C:\Programmi\File comuni\SafeNet Sentinel\Sentinel Protection Server\WinNT\spnsrvnt.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programmi\File comuni\Sony Shared\AVLib\SPTISRV.exe

--
End of file - 5704 bytes

[Fred]

Mi sembra pulito...

[crazy.cat]

Mi sembra pulito...

No.

C'è questo
O4 - HKLM\..\Run: [crtfmon] C:\DOCUME~1\otanch\IMPOST~1\Temp\1189777569.dat.exe

Fai una scansione con questo programma e vediamo il log che ne esce.
http://noahdfear.geekstogo.com/FindAWF.exe

[otanch]

Find AWF report by noahdfear ©2006
Version 1.40



bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\WINDOWS\SYSTEM32\BAK

19/08/2004 16.39 15.360 ctfmon.exe
12/01/2006 15.40 155.648 NeroCheck.exe
2 File 171.008 byte
2 Directory 11.896.512.512 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\PROGRA~1\ALWILS~1\AVAST4\BAK

28/07/2007 00.03 75.128 ashDisp.exe
1 File 75.128 byte
2 Directory 11.896.512.512 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\PROGRA~1\ADOBE\READER~1.0\READER\BAK

11/05/2007 03.06 40.048 Reader_sl.exe
1 File 40.048 byte
2 Directory 11.896.508.416 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\PROGRA~1\FILECO~1\AHEAD\LIB\BAK

0 File 0 byte
2 Directory 11.896.508.416 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\BAK

12/09/2001 17.29 196.608 hpztsb04.exe
1 File 196.608 byte
2 Directory 11.896.508.416 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~

15360 19 Aug 2004 "C:\WINDOWS\system32\ctfmon.exe"
15360 19 Aug 2004 "C:\WINDOWS\system32\bak\ctfmon.exe"
24080 3 Sep 2007 "C:\WINDOWS\system32\NeroCheck.exe"
155648 12 Jan 2006 "C:\WINDOWS\system32\bak\NeroCheck.exe"
79224 6 Sep 2007 "C:\Programmi\Alwil Software\Avast4\ashDisp.exe"
75128 28 Jul 2007 "C:\Programmi\Alwil Software\Avast4\bak\ashDisp.exe"
24080 3 Sep 2007 "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
40048 11 May 2007 "C:\Programmi\Adobe\Reader 8.0\Reader\bak\Reader_sl.exe"
24080 3 Sep 2007 "C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe"
196608 12 Sep 2001 "C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\hpztsb04.exe"


end of report

Grazie ancora della disponibilità
Saluti Otanch

[Pct]

secondo il log di findawf sei infetto da instant access e trojan obfuscated, ma avevi detto che sul dektop non ti compariva l'icona con scritto ''instant access'' ...e non ti compare nelle connessioni una connessione dal nome instant access? ... aspetta la risposta di crazy, lui si che ci sa fare

[crazy.cat]

Utilizza The avenger http://www.MegaLab.it/2656 e dagli questo script per rimuovere il virus.

Files to move:

C:\WINDOWS\system32\bak\ctfmon.exe | C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Alwil Software\Avast4\bak\ashDisp.exe | C:\Programmi\Alwil Software\Avast4\ashDisp.exe
C:\WINDOWS\system32\bak\NeroCheck.exe | C:\WINDOWS\system32\NeroCheck.exe
C:\Programmi\Adobe\Reader 8.0\Reader\bak\Reader_sl.exe | C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\hpztsb04.exe | C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe

[otanch]

Non va mi da errore

Avenger Pre-Processor log
//////////////////////////////////////////

Fatal error: could not create new script file.
Error code: 0
Error logged to errorlog.txt. Aborting now!

Ciao Otanch

[crazy.cat]

I comandi
Software\Avast4\ashDisp.exe
C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe
devono andare attaccati alla riga superiore.
Prova a controllare come hai copiato il txt da dare ad avanger.

Tutte le righe devono essere in questa forma.
comando1 | comando2

[otanch]

ho fatto copia e incolla sul notepad impostato senza l'accapo automatico
ho fatto le variazioni che hai detto ma da sempre errore.

comando 1 comando 2
comando 3 comando 4
comando 5 comando 6
se non ho capito male sono tutte righe formate da due comandi ogni una.
Forse è l'ordine che non va bene.

ciao otanch

[otanch]

Ancora grazie

finalmente sono riuscito a mandare lo script ecco il risultato di avenger:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\dixgvikt

*******************

Script file located at: \??\C:\Documents and Settings\ekvqheio.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File move operation C:\WINDOWS\system32\bak\ctfmon.exe|C:\WINDOWS\system32\ctfmon.exe completed successfully.
File move operation C:\Programmi\Adobe\Reader 8.0\Reader\bak\Reader_sl.exe|C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe completed successfully.
File move operation C:\Programmi\Alwil Software\Avast4\bak\ashDisp.exe|C:\Programmi\Alwil Software\Avast4\ashDisp.exe completed successfully.
File move operation C:\WINDOWS\system32\bak\NeroCheck.exe|C:\WINDOWS\system32\NeroCheck.exe completed successfully.
File move operation C:\WINDOWS\system32\spool\drivers\w32x86\3\bak\hpztsb04.exe|C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe completed successfully.

Completed script processing.

*******************

Finished! Terminate.


dopo questo ho ricontrollato con findAWF ecco il log:


Find AWF report by noahdfear ©2006
Version 1.40



bak folders found
~~~~~~~~~~~

Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\WINDOWS\SYSTEM32\BAK

0 File 0 byte
2 Directory 11.290.365.952 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\PROGRA~1\ALWILS~1\AVAST4\BAK

0 File 0 byte
2 Directory 11.290.365.952 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\PROGRA~1\ADOBE\READER~1.0\READER\BAK

0 File 0 byte
2 Directory 11.290.361.856 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\PROGRA~1\FILECO~1\AHEAD\LIB\BAK

0 File 0 byte
2 Directory 11.290.361.856 byte disponibili
Il volume nell'unit… C non ha etichetta.
Numero di serie del volume: A4D0-19B0

Directory di C:\WINDOWS\SYSTEM32\SPOOL\DRIVERS\W32X86\3\BAK

0 File 0 byte
2 Directory 11.290.361.856 byte disponibili


Duplicate files of bak directory contents
~~~~~~~~~~~~~~~~~~~~~~~



end of report

fatemi sapere cortesemente se è tutto ok


Saluti Otanch

[crazy.cat]

Per quel virus è tutto a posto, adesso devi vedere tu se si è risolto tutto.

Rimuovi anche la connessione fasulla.

[otanch]

Allora ora è tutto a posto il dialer che mi compariva sempre di notte è stato rimosso con a-squared antidialer software indicato da crazy cat, il virus è stato rimosso. Bene a questo punto un grazie al forum megalabit a tutti gli utenti in particolare a quelli che mi hanno aiutato.

Saluti Otanch