in merito a "System Alert, falso antivirus" di ste

[monfa72]

salve.
mentre reinstallavo da 0 il mio pc, mi sono beccato il famigerato System Alert, e preso dalla foga di finire gli aggiornamenti e l'installazione di tutti i programmi, drivers, periferiche e quant'altro, mi sono accoto troppo tardi che non solo avevo beccato il suddetto virus, ma che avevo anche dato l'ok all'installazione dei componenti che mi proponeva
mi sono letto l'articolo di ste_95, e questa sera procederò alla rimozione seguendo la soluzione autmatica con uno o tutti e tre i tools nominati nell'articolo.
la mia domanda è: questi tre tools bastano a rimuovere tutto quello che mi sono tirato addosso con system alert, in quanto ste_95 ripeteva di non installare assolutamente i componenti aggiuntivi?

avevo quasi finito di reinstalalre tutto quanto sul mio pc, un lavoro di 2 giorni... e non vorrei dover riformattare tutto da capo!

Monfa

[ste_95]

Dovrebbero bastare i tre tools elencati nell'articolo, se avrai ancora problemi segui le seguenti istruzioni:

Scarica HijackThis
Salvalo in una cartella (non aprirlo direttamente, sennò non farà i backup!)
Apri l'eseguibile
Clicca quindi su "Do a System Scan and Save a Logfile"
Attendi che finisca la scansione
Quindi copia il contenuto del blocco note qui sul forum.

[monfa72]

grazie ste_95.
questa sera spero di risolvere il tutto, altrimenti upperò il report di HijackThis

Monfa

[monfa72]

ciao ste_95

dunque, il primo tool, quello in spagnolo non ho potuto scaricarlo: ho provato a registrarmi nel forum spagnolo fino alla nausea, ma non mi permetteva di farlo (?) continuava a richiedermi di reimpostare le pwd, ma non c'è stato verso di registrarsi.

gli altri 2 tools hanno fatto il loro dovere. ora non ho più messaggi e finestre di popup a rompere le scatole.

questo è il report del hijack:


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21.20.18, on 13/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\RunDll32.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\Packard Bell\Packard Bell Software Suite\Launcher.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\Programmi\Packard Bell\Packard Bell Software Suite\PowerSave\HDPBSSS.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Mozilla Thunderbird\thunderbird.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Programmi\DAP\DAP.EXE
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: SrchHook Class - {F4F10C1D-87C7-404A-B4B3-000000000000} -

C:\PROGRA~1\DAP\SBSearch.dll
O2 - BHO: Supporto di collegamento per Adobe PDF Reader -

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File

comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -

C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [bm] "C:\Programmi\File comuni\WinSecureAv\bm.exe"

dm=http://winsecureav.com ad=http://winsecureav.com sd=http://ykeeper.winsecureav.com
O4 - HKLM\..\Run: [ptask] C:\Programmi\WinSecureAv\ptask.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE

C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [Packard Bell Software Suite] C:\Programmi\Packard Bell\Packard Bell

Software Suite\Launcher.exe /run
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO

LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI

RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Clean Traces - C:\Programmi\DAP\Privacy

Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - C:\Programmi\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\Programmi\DAP\dapextie2.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel -

res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -

C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -

C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network

Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} -

C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -

C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -

C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) -

http://www.update.microsoft.com/microso ... site.cab?1

202764715000
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil

Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil

Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil

Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil

Software\Avast4\ashWebSv.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation -

C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: Packard Bell Software Suite Service 1 (Service1) - Packard Bell Services -

C:\Programmi\Packard Bell\Packard Bell Software Suite\PowerSave\HDPBSSS.exe

--
End of file - 5046 bytes


Monfa

[ste_95]

Sembra tutto a posto. Conosci questo?

C:\Programmi\File comuni\WinSecureAv

[monfa72]

francamente no.
però rammento quel nome nella lista di rimozione di un dei due tools.
di cosa si tratta? era da disinstallare?

l'ultima versione free di avast non mi aveva rilevato assolutamente nulla di tutto quello schifo che mi ero beccato reinstallando s.o. ed aggiornamenti vari. che mi consigli come protezione un po' più efficace?

Monfa

[ste_95]

Qull''antivirus' è un cugino di ToolSicuro. Rogue-Remover Free non rileva nulla?

[monfa72]

Rogue-Remover aveva rilevato alcune cose che l'altro tool non aveva rilevato.
per sicurezza avevo ripetuto il procedimento dei due tools due volte consecutivamente (AA e BB). poi ho usato il hijack ed ho uppato il report.

il to post precedente mi "preoccupa" un pochino. che debbo fare?

Monfa

[ste_95]

Al momento RR non vede nulla?

[monfa72]

questa sera non rientrerò a casa (motivi di lavoro ), quindi domani lo rilancerò e upperò il report o l'immagine del report.

Monfa

[exploit!!!]

Ragazzi, io quel "WinSecureAv"lo conosco è un falso antivirus!!!! mi da proprio di doverlo cancellare!!!

[monfa72]

confermo il mio ultimo msg.

[ste_95]

Pulisci il sistema con CCleaner e poi dai una passata con SuperAntiSpyware e con SpyBot.

[leolas]

primo: disinstalla avast e metti avira


Da qui in poi scrivo una parte della guida alla disinfezione di hwupgrade... non so se qui seguite la stessa procedura/una procedura simile

secondo: Disattiva il ripristino di sistema

1. Fare clic su Start-> Programmi->Accessori->Esplora risorse.

2. Fare clic con il pulsante destro del mouse sull'icona Risorse del computer e quindi su Proprietà.

3. Selezionare la scheda "Ripristino configurazione di sistema".

4. Selezionare la voce "Disattiva ripristino configurazione di sistema"

5. Premere OK. Verrà richiesto di confermare l'azione in quanto saranno eliminati tutti i punti di ripristino memorizzati. Confermare premendo SI.

terzo: fai uno scan con a-squared

quarto: fai uno scan con Prevx CSI e dopo aver terminato la scansione clicca su "Option - Save log" e postalo qui (lo puoi caricare su FileUp)


PS: ti consiglio anche di installare un firewall tra Comodo e Online Armor... sono entrambi molto buoni, hanno un HIPS integrato e sono tutti e due leggeri (OA usa 16mb di ram, Comodo circa 30mb)...

E come antispyware, usa o superantispyware o a-squared (il primo te l'aveva già consigliato ste)

PPS: ho visto che hai alcuni software non aggiornati, e quindi probabilmente buggati...

fai la scansione online di secunia: ti dirà cosa devi aggioranre e ti darà direttamente i link da cui scaricare gli aggiornamenti

http://secunia.com/software_inspector/

[monfa72]

ok, grazie.
ora sò come passare la serata!

appena fatto si aggiorno su com'è andata.

saluti

Monfa

PS.: perché mi consiglio avira al posto avast?

Monfa

[ste_95]

PS. perché mi consiglio avira al posto avast?

Antivir è in grado di rilevare e rimuovere una maggiore quantità di file nocivi rispetto ad Avast. In più il suo impatto sulle prestazioni non è quasi percettibile.

[monfa72]

però mi sembra che la versione free di avira sia moooolto più scarna di avast...

Monfa

[ste_95]

No,fidati. Provala.

[monfa72]

mmm... ma fai riferimento alla versione free di avira?
mi sembra davvero molto povera... se non ricordo male non ha nemmeno la scansione delle mail...

monfa

[ste_95]

La scansione della posta in arrivo è relativa, in quanto quando cerchi di aprire un file se è infetto, il controllo in real-time ti avviserà indipendentemente dal fatto che il file ti sia arrivato per e-mail o meno.