www.MegaLab.it

da **glicine** » sab ott 18, 2008 1:17 pm

buongiorno a tutti,

ho il seguente problema:

quando mi collego ad un sito di video ed apro questi video Mozilla Firefox sviluppa una Ram di 300-400 Mb e il browser si blocca.

ho già sottoposto il problema al Forum di supporto di Mozilla Italia e, dopo una serie di accertamenti mi hanno spedito qui [:)]

visto che è stato appurato che il problema è legato a malware et similia (rinominando "firefox.exe in firefox1.exe il problema non sussiste)

ecco il topic

http://forum.mozillaitalia.org/index.ph ... 88.new#new

ho eseguito la Scansione online con McAfee ed ecco il responso

Scan di C: (---> ho la partizione logica dell'Hd, l'altra unità non me la fa' scansionare)

C:\avenger\backup.zip QDial-53
C:\Documents and Settings\...\e1xplorer.lnk StartPage-JJ.lnk
C:\Documents and Settings\...\347841c1-1fbcf17b Generic Downloader.v
C:\Documents and Settings\...\347841c1-1fbcf17b Exploit-ByteVerify
C:\Documents and Settings\...\5b87a59e-1c7717d8 Exploit-ByteVerify
C:\Documents and Settings\...\5b87a59e-1c7717d8 Exploit-ByteVerify
C:\Documents and Settings\...\5b87a59e-1c7717d8 Exploit-ByteVerify
C:\Documents and Settings\...\5b87a59e-1c7717d8 Exploit-ByteVerify
C:\Documents and Settings\...\5b87a59e-1c7717d8 Exploit-ByteVerify
C:\Documents and Settings\...\5b87a59e-1c7717d8 Exploit-ByteVerify
C:\Documents and Settings\...\5b87a59e-1c7717d8 Exploit-ByteVerify
C:\Documents and Settings\...\2fe55068-51d438a5 Exploit-ByteVerify
C:\Documents and Settings\...\13187f29-657fc4d9 Exploit-ByteVerify
C:\Documents and Settings\...\13187f29-657fc4d9 Exploit-ByteVerify
C:\Documents and Settings\...\13187f29-657fc4d9 Exploit-ByteVerify
C:\Documents and Settings\...\13187f29-657fc4d9 Exploit-ByteVerify
C:\Documents and Settings\...\13187f29-657fc4d9 Exploit-ByteVerify
C:\Documents and Settings\...\13187f29-657fc4d9 Exploit-ByteVerify
C:\Documents and Settings\...\13187f29-657fc4d9 Exploit-ByteVerify
C:\Documents and Settings\...\65db0469-7f1a0990 JV/OpenConnection
C:\Documents and Settings\...\51dedc2d-2f8cc488 Exploit-ByteVerify
C:\Documents and Settings\...\51dedc2d-2f8cc488 Exploit-ByteVerify
C:\Documents and Settings\...\51dedc2d-2f8cc488 Exploit-ByteVerify
C:\Documents and Settings\...\51dedc2d-2f8cc488 Exploit-ByteVerify
C:\Documents and Settings\...\33a84a2f-38c6fdf6 Exploit-ByteVerify

Scan di Windows

C:\WINDOWS\BwvVueKmUTg.exe Generic Dialer
C:\WINDOWS\RBHiKdWQ.exe Generic Dialer
C:\WINDOWS\uGastPJopUa.exe Generic Dialer

e in più

Log di Hijackthis

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 14-15-00, on 18/10/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\taskswitch.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\a-squared Free\a2service.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\MSN Messenger\usnsvc.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Google\Update\GoogleUpdate.exe
C:\Programmi\Mozilla\Thunderbird\thunderbird.exe
C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Google\Chrome\Application\chrome.exe
C:\Programmi\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fpmleague.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://r-umore.splinder.com/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.fastweb.it/welcome
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32\taskswitch.exe
O4 - HKLM\..\Run: [S3Trayp] S3trayp.exe
O4 - HKLM\..\Run: [EPSON Stylus DX6000 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBIE.EXE /FU "C:\WINDOWS\TEMP\E_SFD.tmp" /EF "HKLM"
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [MSConfig] C:\Programmi\msconfig_2000-xp\msconfig.exe /auto
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [ccleaner] "C:\Programmi\CCleaner\ccleaner.exe" /AUTO
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: ~Disabled
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/ms ... b56986.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-l ... cfscan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9D7464EE-C46E-49BE-92D6-C78BD059DD17}: NameServer = 85.37.17.11 85.38.28.69
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\Browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\Browseui.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programmi\a-squared Free\a2service.exe
O23 - Service: Accesso pannello remoto (apanr) - Unknown owner - C:\WINDOWS\Downlo~1\tujlhcs\wg0bmj8.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 6009 bytes

Grazie

da **ste_95** » sab ott 18, 2008 1:27 pm

Qual è il sito che ti da problemi? Hai provato a disinstallare e a reinstallare Firefox?

da **Amantide** » sab ott 18, 2008 1:33 pm

Per iniziare fai la scansione con ComboFix ed allega qui il report della scansione.
In questa pagina trovi le istruzioni sul suo uso.

da **glicine** » sab ott 18, 2008 1:54 pm

ste_95 ha scritto:Qual è il sito che ti da problemi? Hai provato a disinstallare e a reinstallare Firefox?

non ho provato a disinstallare e reinstallare perché quando lo faccio poi ci perdo sempre na barca di tempo [cry]

visto che -dai e dai- alla fine perdo sempre tutte le preferenze, nonostante vari tool et similia per salvare tutto.

comunque il problema è un malware o qualcosa di simile perché rinominando l'exe di FF il problema non c'è.

mi adopero per fare la scansione indicata da Amantide [:)]

da **glicine** » sab ott 18, 2008 4:06 pm

VundoFix non ha rilevato file infetti mentre il link di ComboFix non funge [acc2]

da **Amantide** » sab ott 18, 2008 5:17 pm

glicine ha scritto:mentre il link di ComboFix non funge

Scaricalo da qui salvandolo direttamente con un nome di fantasia.

Fai anche la scansione con Malwarebytes' Anti-Malware.

da **glicine** » sab ott 18, 2008 6:06 pm

per Combo neanche questo link funge [uhm]

scansiono con l'altro nel mentre

da **Amantide** » sab ott 18, 2008 6:12 pm

glicine ha scritto:per Combo neanche questo link funge

Da questo link devi riuscire a scaricarlo per forza [:)]

http://www.mediafire.com/?sharekey=3720 ... b9a8902bda

da **glicine** » sab ott 18, 2008 7:05 pm

ok, eseguo.

nel mentre posto il

Log di Malwarebytes' Anti-Malware

Malwarebytes' Anti-Malware 1.29
Versione del database: 1276
Windows 5.1.2600 Service Pack 2

18/10/2008 20.02.36
mbam-log-2008-10-18 (20-02-30).txt

Tipo di scansione: Scansione completa (C:\|H:\|)
Elementi scansionati: 99463
Tempo trascorso: 40 minute(s), 35 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 1
Valori di registro infetti: 0
Elementi dato del registro infetti: 3
Cartelle infette: 2
File infetti: 0

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{def85c80-216a-43ab-af70-1665edbe2780} (Spyware.Sinowal) -> No action taken.

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowHelp (Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowMyDocs (Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowMyComputer (Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.

Cartelle infette:
C:\Programmi\WinBudget (Adware.AdMedia) -> No action taken.
C:\Programmi\WinBudget\bin (Adware.AdMedia) -> No action taken.

File infetti:
(Nessun elemento malevolo rilevato)

da **Amantide** » sab ott 18, 2008 7:21 pm

Per quanto riguarda Malwarebytes, non ha trovato nulla di abbastanza grave. Comunque, rifai lo stesso la scansione e digli di rimuovere i file infetti.
Intanto aspetto il log di ComboFix.

da **glicine** » sab ott 18, 2008 7:56 pm

Amantide ha scritto:Intanto aspetto il log di ComboFix.

mentre riscanno con l'altro,

eccolo

ComboFix 08-10-17.01 - Fabio 2008-10-18 20.49.14.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1040.18.60 [GMT 2:00]
Eseguito da: C:\Documents and Settings\Fabio\Desktop\D.M\pincopallino.exe
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Programmi\WinBudget
C:\WINDOWS\Downloaded Program Files\4jmcc1y
C:\WINDOWS\Downloaded Program Files\8bsc8m
C:\WINDOWS\Downloaded Program Files\d0ombwi
C:\WINDOWS\Downloaded Program Files\r7wttl
C:\WINDOWS\Downloaded Program Files\tujlhcs
C:\WINDOWS\Downloaded Program Files\uGiyp
C:\WINDOWS\Downloaded Program Files\uGiyp\iETsjiKiI.dat
C:\WINDOWS\Downloaded Program Files\UsHgTir
C:\WINDOWS\Downloaded Program Files\UsHgTir\VgQDWEbX.dat
C:\WINDOWS\system32\dao350.dll

.
((((((((((((((((((((((((( Files Creati Da 2008-09-18 al 2008-10-18 )))))))))))))))))))))))))))))))))))
.

2008-10-18 19:23 . 1996-08-30 17:02 13,824 --a------ C:\WINDOWS\system32\LAYOUT.DLL
2008-10-18 19:17 . 2008-10-18 19:22 <DIR> d-------- C:\Programmi\Layout icone versione N.D
2008-10-18 19:07 . 2008-10-18 19:07 <DIR> d-------- C:\Documents and Settings\Fabio\Dati applicazioni\Malwarebytes
2008-10-18 19:07 . 2008-10-16 20:25 38,496 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-10-18 19:07 . 2008-10-16 20:25 15,504 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-10-18 19:06 . 2008-10-18 19:07 <DIR> d-------- C:\Programmi\Malwarebytes' Anti-Malware
2008-10-18 19:06 . 2008-10-18 19:06 <DIR> d-------- C:\Documents and Settings\All Users\Dati applicazioni\Malwarebytes
2008-10-18 18:34 . 2008-07-05 13:47 5,904 --a------ C:\WINDOWS\system32\CLIP.EXE
2008-10-18 18:33 . 2008-10-18 18:33 <DIR> d-------- C:\Programmi\Clipboard versione N.D
2008-10-18 16:41 . 2008-10-18 16:41 <DIR> d-------- C:\VundoFix Backups
2008-10-18 12:38 . 2008-10-18 12:38 <DIR> d-------- C:\WINDOWS\McAfee.com
2008-10-05 15:47 . 2008-10-05 15:47 <DIR> d-------- C:\Documents and Settings\Fabio\Dati applicazioni\Ulead Systems
2008-10-04 03:53 . 2008-10-04 03:53 <DIR> d-------- C:\WINDOWS\Noslip
2008-10-04 03:53 . 2008-10-04 03:53 <DIR> d-------- C:\Programmi\Ulead Systems
2008-10-04 03:53 . 2008-10-05 15:47 <DIR> d-------- C:\Documents and Settings\All Users\Dati applicazioni\Ulead Systems
2008-10-04 03:03 . 2008-10-04 03:03 <DIR> d-------- C:\Programmi\KONAMI
2008-09-18 22:06 . 2008-10-18 11:59 <DIR> d-------- C:\Programmi\TVAnts

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-10-18 18:32 --------- d-----w C:\Programmi\MSN Messenger
2008-10-18 18:12 --------- d-----w C:\Programmi\eMule
2008-10-18 17:28 --------- d-----w C:\Programmi\Burn4Free
2008-10-04 01:53 --------- d--h--w C:\Programmi\InstallShield Installation Information
2008-10-02 20:48 --------- d-----w C:\Programmi\SopCast
2008-09-20 16:32 --------- d-----w C:\Programmi\Messenger Plus! Live
2008-09-19 14:41 --------- d-----w C:\Programmi\Hamachi
2008-09-19 14:39 --------- d-----w C:\Documents and Settings\Fabio\Dati applicazioni\Hamachi
2008-09-19 14:38 16,224 ----a-w C:\WINDOWS\system32\drivers\hamachi.sys
2008-09-08 18:08 --------- d-----w C:\Documents and Settings\Fabio\Dati applicazioni\XBMC
2008-09-08 18:05 --------- d-----w C:\Programmi\freecol
2008-09-06 01:49 --------- d-----w C:\Programmi\La Gazzetta Dello Sport
2008-08-29 00:18 --------- d-----w C:\Documents and Settings\All Users\Dati applicazioni\Messenger Plus!
2008-08-28 12:03 --------- d-----w C:\Programmi\Fraps
2008-08-28 11:49 --------- d-----w C:\Programmi\BreakPoint Software
2008-08-26 14:05 531 ----a-w C:\Programmi\Giochi Flash.lnk
2008-08-14 05:00 31,731,261 ----a-w C:\Programmi\Giochi Flash.exe
2007-12-13 12:43 189,718 ----a-w C:\Programmi\FindAWF.exe
2007-04-22 10:10 1,308,216 ----a-w C:\Programmi\HiJackThis_v2.exe
2007-03-07 14:12 279,735 ----a-w C:\Programmi\Systemscan.exe
2007-02-19 22:10 47,104 ----a-w C:\Programmi\dsostop2.exe
2007-01-03 16:01 81,920 ----a-w C:\Documents and Settings\Fabio\Dati applicazioni\ezpinst.exe
2007-01-03 16:01 47,360 ----a-w C:\Documents and Settings\Fabio\Dati applicazioni\pcouffin.sys
2006-12-25 16:36 102 --sha-w C:\Programmi\desktop.ini
2006-02-25 22:28 130,048 ----a-w C:\Programmi\avenger.exe
2004-03-11 12:27 40,960 ----a-w C:\Programmi\Uninstall_CDS.exe
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ccleaner"="C:\Programmi\CCleaner\ccleaner.exe" [2005-11-21 548864]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CoolSwitch"="C:\WINDOWS\system32\taskswitch.exe" [2002-03-19 45632]
"Adobe Reader Speed Launcher"="C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
"SunJavaUpdateSched"="C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2008-05-03 13529088]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2008-05-03 86016]
"S3Trayp"="S3trayp.exe" [2005-04-05 C:\WINDOWS\system32\S3Trayp.exe]
"SkyTel"="SkyTel.EXE" [2006-05-16 C:\WINDOWS\SkyTel.exe]
"nwiz"="nwiz.exe" [2008-05-03 C:\WINDOWS\system32\nwiz.exe]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"WIAWizardMenu"="C:\WINDOWS\system32\sti_ci.dll" [2004-08-30 137728]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-30 15360]

C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\~Disabled
MediaChecker.lnk - C:\Programmi\HOTALBUMMyBOX\MediaChecker.exe [2006-12-15 913560]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.SP54"= SP5X_32.DLL
"VIDC.SP55"= SP5X_32.DLL
"VIDC.SP56"= SP5X_32.DLL
"VIDC.SP57"= SP5X_32.DLL
"VIDC.SP58"= SP5X_32.DLL
"msacm.l3codec"= l3codecp.acm

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Avvio^Programmi^Esecuzione automatica^Alice ti aiuta.lnk]
path=C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\Alice ti aiuta.lnk
backup=C:\WINDOWS\pss\Alice ti aiuta.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]
C:\WINDOWS\system32\dumprep 0 -k [X]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MBBalloon]
--a------ 2006-12-15 12:45 787096 C:\Programmi\HOTALBUMMyBOX\MBBalloon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\UnlockerAssistant]
--a------ 2006-09-07 19:19 15872 C:\Programmi\Unlocker\UnlockerAssistant.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RTHDCPL]
-r------- 2006-08-01 13:10 16049664 C:\WINDOWS\RTHDCPL.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VTTimer]
-ra------ 2005-03-08 21:33 53248 C:\WINDOWS\system32\VTTimer.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\WINDOWS\\system32\\rtcshare.exe"=
"C:\\Programmi\\C6 Messenger\\c6Messenger.exe"=
"C:\\Programmi\\SopCast\\SopCast.exe"=
"C:\\Programmi\\Mozilla\\Firefox\\firefox.exe"=
"C:\\Programmi\\C6 Messenger\\plugin\\fsmodule\\C6FileSharing.exe"=
"C:\\Programmi\\NetMeeting\\conf.exe"=
"C:\\Programmi\\MSN Messenger\\msnmsgr.exe"=
"C:\\Programmi\\MSN Messenger\\livecall.exe"=
"C:\\Programmi\\VLC\\vlc.exe"=
"H:\\Pes 2008\\PES2008.exe"=
"C:\\Programmi\\SopCast\\adv\\SopAdver.exe"=
"C:\\Programmi\\eMule\\emule.exe"=
"C:\\Programmi\\Real Alternative\\Media Player Classic\\mplayerc.exe"=
"C:\\Programmi\\Java\\jre1.6.0_07\\bin\\javaw.exe"=
"C:\\Documents and Settings\\Fabio\\Impostazioni locali\\Dati applicazioni\\Google\\Chrome\\Application\\chrome.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3478:UDP"= 3478:UDP:stun
"3479:UDP"= 3479:UDP:stun 2
"6112:UDP"= 6112:UDP:stun 3
"5730:UDP"= 5730:UDP:game
"5739:UDP"= 5739:UDP:game 1
"9001:TCP"= 9001:TCP:game 2
"11881:TCP"= 11881:TCP:game 3

R0 PzWDM;PzWDM;C:\WINDOWS\system32\Drivers\PzWDM.sys [2008-01-03 15172]
R2 DriverX;DriverX;C:\WINDOWS\system32\drivers\DriverX.sys [1997-03-12 25792]
S1 atitray;atitray;C:\Programmi\Radeon Omega Drivers\v3.8.221\ATI Tray Tools\atitray.sys [ ]
S2 apanr;Accesso pannello remoto;C:\WINDOWS\Downlo~1\tujlhcs\wg0bmj8.exe [ ]
S2 Ca504av;TRUST 350FS POWERC@M FLASH(Video);C:\WINDOWS\system32\Drivers\Ca504av.sys [2002-10-21 515803]
S3 {DEF85C80-216A-43ab-AF70-1665EDBE2780};{DEF85C80-216A-43ab-AF70-1665EDBE2780};C:\WINDOWS\TEMP\15.tmp [ ]
S3 Envy24HFS;ICE Envy24 Family Audio Controller WDM;C:\WINDOWS\system32\drivers\Envy24HF.sys [2003-05-07 564048]
S3 s3chipid;s3chipid;C:\DOCUME~1\Fabio\IMPOST~1\Temp\s3chipid.sys [ ]
S3 S3G700;S3G700;C:\WINDOWS\system32\DRIVERS\S3G700m.sys [2005-10-15 792576]
S3 USBCamera;TRUST 350FS POWERC@M FLASH(Still);C:\WINDOWS\system32\Drivers\Bulk504.sys [2002-12-04 11144]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{d86b6998-9b43-11db-98e4-0018f37000bc}]
\Shell\auto\command - Knight.exe open
\Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL Knight.exe open
\Shell\explore\command - Knight.exe open
\Shell\find\command - Knight.exe open
\Shell\install\command - Knight.exe open
\Shell\open\command - Knight.exe open

*Newly Created Service* - CATCHME
*Newly Created Service* - PROCEXP90
.
Contenuto della cartella 'Scheduled Tasks'

2008-10-18 C:\WINDOWS\Tasks\GoogleUpdateTaskUser.job
- C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Google\Update\GoogleUpdate.exe [2008-09-08 14:55]
.
- - - - ORFÃOS REMOVIDOS - - - -

MSConfigStartUp-ATICCC - C:\Programmi\ATI Technologies\ATI.ACE\cli.exe
MSConfigStartUp-avast! - C:\PROGRA~1\Avast4\ashDisp.exe
MSConfigStartUp-EnvyHFCPL - C:\Programmi\Envy24\EnMixCPL.exe
MSConfigStartUp-Google Update - :C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Google\Update\GoogleUpdate.exe
MSConfigStartUp-Skype - C:\Programmi\Skype\Phone\Skype.exe

.
------- Supplementare di scansione -------
.
FireFox -: Profile - C:\Documents and Settings\Fabio\Dati applicazioni\Mozilla\Firefox\Profiles\brchm4n6.New Me\
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://p21pes.altervista.org/forum/index.php
FF -: plugin - C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Google\Update\1.2.131.25\npGoogleOneClick6.dll
FF -: plugin - C:\Programmi\DivX\DivX Content Uploader\npUpload.dll
FF -: plugin - C:\Programmi\Mozilla\Firefox\plugins\npnul32.dll
FF -: plugin - C:\Programmi\Mozilla\Firefox\plugins\nppl3260.dll
FF -: plugin - C:\Programmi\Mozilla\Firefox\plugins\nprpjplug.dll
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-18 20:50:17
Windows 5.1.2600 Service Pack 2 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\{DEF85C80-216A-43ab-AF70-1665EDBE2780}]
"ImagePath"="\??\C:\WINDOWS\TEMP\15.tmp"
.
Ora fine scansione: 2008-10-18 20.51.27
ComboFix-quarantined-files.txt 2008-10-18 18:51:05

Pre-Run: 10.987.159.552 byte disponibili
Post-Run: 10,974,658,560 byte disponibili

WindowsXP-KB310994-SP2-Pro-BootDisk-ITA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
C:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn /usepmtimer

202

p.s.: grazie per l'upload [std]

p.p.s.: ho notato che dopo la scansione con combofix, nel menù start, nella colonna di destra, sono state ripristinate le voci di default (musica, risorse di rete ecc.) con icone piccole, mentre io avevo solo pannello, cerca ed esegu iad icone grandi.come posso ripristinare la precedente situazione?

da **Amantide** » sab ott 18, 2008 8:38 pm

Scarica OtMoveIt3, avvialo ed assicurati che la voce Unregister Dll's and Ocx's sia spuntata.
Nello spazio bianco sotto alla voce Paste Instructions for items to be Moved incolla seguente script e clicca su MoveIt!:

Codice: Seleziona tutto: :files C:\WINDOWS\Downlo~1\tujlhcs\wg0bmj8.exe C:\WINDOWS\TEMP\15.tmp C:\WINDOWS\BwvVueKmUTg.exe C:\WINDOWS\RBHiKdWQ.exe C:\WINDOWS\uGastPJopUa.exe :reg [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{def85c80-216a-43ab-af70-1665edbe2780}] [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\apanr] [-HKEY_LOCAL_MACHINE\system\ControlSet001\Services\{DEF85C80-216A-43ab-AF70-1665EDBE2780}] [-HKEY_LOCAL_MACHINE\system\ControlSet001\Services\{DEF85C80-216A-43ab-AF70-1665EDBE2780}] "ImagePath"=- :commands [purity] [emptytemp]

Il log dell'operazione verrà salvato nella cartella C:\_OtMoveIt\MovedFiles sotto la forma del file [nome_e_data].LOG
Copia il suo contenuto ed inseriscilo qui.

Dopo scarica mbr.exe e calvalo in C:\
Ora vai su Start>> Esegui e digita mbr.exe.
Allega qui il report.

Installa anche antivirus (ad es. Antivir), che dal log di Hijackthis sembra che non ce l'hai installato per niente.

da **Amantide** » sab ott 18, 2008 8:41 pm

glicine ha scritto:p.p.s.: ho notato che dopo la scansione con combofix, nel menù start, nella colonna di destra, sono state ripristinate le voci di default (musica, risorse di rete ecc.) con icone piccole, mentre io avevo solo pannello, cerca ed esegu iad icone grandi.come posso ripristinare la precedente situazione?

Clicca con il tasto destro sul Menu Start>> vai su Proprietà>> Menu di avvio>> Personalizza

da **glicine** » sab ott 18, 2008 10:17 pm

(tutto apposto per il menù avvio [grazie]

)

Log di OtMoveIt3

========== FILES ==========
File/Folder C:\WINDOWS\Downlo~1\tujlhcs\wg0bmj8.exe not found.
File/Folder C:\WINDOWS\TEMP\15.tmp not found.
File/Folder C:\WINDOWS\BwvVueKmUTg.exe not found.
File/Folder C:\WINDOWS\RBHiKdWQ.exe not found.
File/Folder C:\WINDOWS\uGastPJopUa.exe not found.
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{def85c80-216a-43ab-af70-1665edbe2780}\\ not found.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\apanr\\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\system\ControlSet001\Services\{DEF85C80-216A-43ab-AF70-1665EDBE2780}\\ not found.
Registry key HKEY_LOCAL_MACHINE\system\ControlSet001\Services\{DEF85C80-216A-43ab-AF70-1665EDBE2780}\\ not found.
Registry key HKEY_LOCAL_MACHINE\system\ControlSet001\Services\{DEF85C80-216A-43ab-AF70-1665EDBE2780} not found.
========== COMMANDS ==========
File delete failed. C:\DOCUME~1\Fabio\IMPOST~1\Temp\etilqs_7WhU3nTYFaJkMCMkXXKV scheduled to be deleted on reboot.
File delete failed. C:\DOCUME~1\Fabio\IMPOST~1\Temp\Perflib_Perfdata_664.dat scheduled to be deleted on reboot.
User's Temp folder emptied.
User's Temporary Internet Files folder emptied.
User's Internet Explorer cache folder emptied.
Local Service Temp folder emptied.
Local Service Temporary Internet Files folder emptied.
File delete failed. C:\WINDOWS\temp\bca4e2da.$$$ scheduled to be deleted on reboot.
File delete failed. C:\WINDOWS\temp\fa56d7ec.$$$ scheduled to be deleted on reboot.
Windows Temp folder emptied.
Java cache emptied.
File delete failed. C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\brchm4n6.New Me\Cache\_CACHE_001_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\brchm4n6.New Me\Cache\_CACHE_002_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\brchm4n6.New Me\Cache\_CACHE_003_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\brchm4n6.New Me\Cache\_CACHE_MAP_ scheduled to be deleted on reboot.
File delete failed. C:\Documents and Settings\Fabio\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\brchm4n6.New Me\urlclassifier3.sqlite scheduled to be deleted on reboot.
FireFox cache emptied.
Temp folders emptied.

OTMoveIt3 by OldTimer - Version 1.0.5.0 log created on 10182008_231024

il secondo invece faccio C:\mbr.exe

si apre per un millesimo di secondi il prompt dei comandi eppoi boh.

nel task non risulta ne in applicazione ne nei processi

da **Amantide** » sab ott 18, 2008 10:24 pm

glicine ha scritto:il secondo invece faccio C:\mbr.exe

si apre per un millesimo di secondi il prompt dei comandi eppoi boh.

nel task non risulta ne in applicazione ne nei processi

Nella directory C:\ dovrebbe esserci ora il file mbr.log, incolla qui il suo contenuto.

da **glicine** » sab ott 18, 2008 10:34 pm

Amantide ha scritto:
glicine ha scritto:il secondo invece faccio C:\mbr.exe

si apre per un millesimo di secondi il prompt dei comandi eppoi boh.

nel task non risulta ne in applicazione ne nei processi

Nella directory C:\ dovrebbe esserci ora il file mbr.log, incolla qui il suo contenuto.

che idiota... era sotto i miei occhi [search]

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
MBR rootkit code detected !
malicious code @ sector 0x13153e99 size 0x1ca !
copy of MBR has been found in sector 62 !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.

da **Amantide** » sab ott 18, 2008 10:37 pm

Ok.
Ora ritorna su Esegui e digita questo comando

Codice: Seleziona tutto: c:\mbr.exe -f

Postami anche il nuovo report.

da **glicine** » sab ott 18, 2008 10:45 pm

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

altro O.T.: in tutta sta ressa mi ha messo Internet Explorer come Browser predefinito [acc2]

come facci oa mettere Firefox o Google Chrome?

da **Amantide** » sab ott 18, 2008 10:51 pm

glicine ha scritto: in tutta sta ressa mi ha messo Internet Explorer come Browser predefinito come facci oa mettere Firefox o Google Chrome?

Apri Firefox>> Strumenti>> Opzioni>> Avanzate>> Controlla sempre all'avvio se Firefox...

glicine ha scritto:
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

E' con questo abbiamo risolto il problema più grosso [^]

Ora non ti rimane altro che installare un antivirus decente ed effettuare con questo la scansione completa del sistema dalla modalità provvisoria.
Fammi sapere dopo come va con Firefox.

da **glicine** » sab ott 18, 2008 11:03 pm

Amantide ha scritto:
glicine ha scritto: in tutta sta ressa mi ha messo Internet Explorer come Browser predefinito come facci oa mettere Firefox o Google Chrome?

Apri Firefox>> Strumenti>> Opzioni>> Avanzate>> Controlla sempre all'avvio se Firefox...

glicine ha scritto:
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

E' con questo abbiamo risolto il problema più grosso
Ora non ti rimane altro che installare un antivirus decente ed effettuare con questo la scansione completa del sistema dalla modalità provvisoria.
Fammi sapere dopo come va con Firefox.

tutto perfetto dunque.

però senti... se facessi una prova ora? rischierei di reimmettere i componenti che mi han dato problemi finora oppure provo lo stesso?

vorrei fa' sto test perché per l'antivirus se ne parla domani [std]

www.MegaLab.it

Firefox con Ram abnorme

Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Re: Firefox con Ram abnorme

Chi c’è in linea