scansione con Malwarebytes' Anti-Malware

[roberto1956]

Mi perdonerete se chiedo o espongo cose banali. Sono un 'ignorantone' in materia informatica (penso a malapena di aver capito cos'è un file di log; mentre non so cos'è la modalità provvisoria... e tutto il resto: anche per questo chiedo venia).
Avevo un virus che, tempo fa, ho (penso di aver) rimosso con Malwarebytes' Anti-Malware. Se scansiono con Malwarebytes' Anti-Malware, mi rileva, quale unico elemento infetto: Valori di registro infetti: HKEY_CURRENTMalwarebytes' Anti-Malware_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper). Dopo aver rimosso l'elemento infetto, se rifaccio la scansione prima di spegnere il pc, non mi rileva elementi infetti; mentre, se spengo il pc e rifaccio la scansione mi ripresenta lo stesso elementio infetto di prima: cioè HKEY_CURRENTMalwarebytes' Anti-Malware_USER\ControlPanel\Desktop\scrnsave.exe (Hijack.Wallpaper). Aggiungo che: a) quando faccio la scansione rapida con avast non ci sono problemi; b) quando faccio la scansione approfondita con avast, la scansione si blocca dopo circa 31.000 file testati (dopo aver rallentato la velocità di scansione in prossimità del file in cui si blocca: ultimo file System 32/Drivers); mi avverte che si è verificato un errore di Virus scanner e nella visualizzazione dei dati contenuti nella segnalazione errori mi evidenzia il file IMPOSTAZIONI LOCALI, TEMP, 5b60accompat txt;c)ho scasionato il pc con KasperskY on line scanner e non mi rileva nulla.
Grazie.

[enea83]

ciao roberto
tranquillo come si dice dalla mie parti: nessuno nasce ''imparato'' (perdonate il il mio malriuscito tentetivo di italianizzare un detto del dialetto leccese )
comunque veniamo a noi...
la modalita provvisoria altro non e' se non un avvio di windows parziale.. o meglio, windows si avvia caricando solo i servizi essenziali e non tutti quei servizi che si avvierebbero normalmente
E' molto utile questa modalita quando si ha la necessita di risolvere alcuni problemi che si ha difficolta a risolvere nella modalita standard dato che alcuni programmi caricati all'avvio possono dare fastidio a tali operazioni.
si usa per esempio per fare scansioni piu approfondite ed efficaci del sistema.
ci sono poi due tipi di modalita provvisoria, una con l'accesso alla rete disponibile, l'altra no
solitamente si accede alla modalita provvisoria semplicemente premendo F8 all'avvio del pc prima che inizi a caricare windows

sicuramente a breve arrivera qualcuno piu competente di me a darti una mano nello specifico per il tuo file che continua a ricrearsi(sicuramente qualche programma che si carica all'avvio che ricrea il file incriminato ), se posso darti un consiglio pero... cambia al piu presto AVAST! con qualcora di piu affidabile come avira pe + un antispy

a presto ed in bocca al lupo

[Amantide]

Ciao Roberto e benvenuto

Scarica ComboFix ed esegui la scansione seguendo queste istruzioni (giù in fondo). Al termine della scansione verrà creato il file di report C:\combofix.txt, copia qui il suo contenuto.

[roberto1956]

Grazie per il benvenuto, per l'ospitalità e per l'aiuto.
Dopo la scansione mi ha creato due file, che trascrivo:

1)ComboFix 08-11-18.02 - Rober 2008-11-18 22.52.38.1 - FAT32x86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.1.1040.18.224 [GMT 1:00]
Eseguito da: c:\documents and settings\Rober\Desktop\ComboFix.exe
* Creato nuovo punto di ripristino
.

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\documents and settings\Rober\Preferiti\Videos.url
c:\windows\IE4 Error Log.txt

.
((((((((((((((((((((((((((((((((((((((( Driver/Servizi )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_TDSSSERV


((((((((((((((((((((((((( Files Creati Da 2008-10-18 al 2008-11-18 )))))))))))))))))))))))))))))))))))
.

2008-11-17 13:00 . 2008-11-17 13:01 <DIR> d-------- c:\programmi\Windows Live Safety Center
2008-11-17 09:55 . 2008-11-17 09:55 <DIR> d-------- c:\windows\BDOSCAN8
2008-11-16 12:07 . 2008-11-16 12:07 <DIR> d-------- C:\fsaua.data
2008-11-12 23:10 . 2008-10-24 12:21 455,296 --------- c:\windows\system32\dllcache\mrxsmb.sys
2008-11-12 23:09 . 2008-09-04 18:15 1,106,944 --------- c:\windows\system32\dllcache\msxml3.dll
2008-11-06 01:05 . 2008-11-06 01:05 410,976 --a------ c:\windows\system32\deploytk.dll
2008-11-06 01:05 . 2008-11-06 01:05 73,728 --a------ c:\windows\system32\javacpl.cpl
2008-11-06 01:04 . 2008-11-06 01:04 <DIR> d-------- c:\programmi\Java
2008-10-26 00:38 . 2008-10-26 00:38 <DIR> d-------- c:\programmi\AskBarDis
2008-10-24 14:02 . 2008-10-15 18:36 337,408 --------- c:\windows\system32\dllcache\netapi32.dll

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-11-12 13:21 19,000 ----a-w c:\documents and settings\Rober\Dati applicazioni\GDIPFONTCACHEV1.DAT
2008-10-24 11:21 455,296 ----a-w c:\windows\system32\drivers\mrxsmb.sys
2008-10-16 13:13 202,776 ----a-w c:\windows\system32\wuweb.dll
2008-10-16 13:13 202,776 ----a-w c:\windows\system32\dllcache\wuweb.dll
2008-10-16 13:13 1,809,944 ----a-w c:\windows\system32\wuaueng.dll
2008-10-16 13:13 1,809,944 ----a-w c:\windows\system32\dllcache\wuaueng.dll
2008-10-16 13:12 561,688 ----a-w c:\windows\system32\wuapi.dll
2008-10-16 13:12 561,688 ----a-w c:\windows\system32\dllcache\wuapi.dll
2008-10-16 13:12 323,608 ----a-w c:\windows\system32\wucltui.dll
2008-10-16 13:12 323,608 ----a-w c:\windows\system32\dllcache\wucltui.dll
2008-10-16 13:09 92,696 ----a-w c:\windows\system32\dllcache\cdm.dll
2008-10-16 13:09 92,696 ----a-w c:\windows\system32\cdm.dll
2008-10-16 13:09 51,224 ----a-w c:\windows\system32\wuauclt.exe
2008-10-16 13:09 51,224 ----a-w c:\windows\system32\dllcache\wuauclt.exe
2008-10-16 13:09 43,544 ----a-w c:\windows\system32\wups2.dll
2008-10-16 13:08 34,328 ----a-w c:\windows\system32\wups.dll
2008-10-16 13:08 34,328 ----a-w c:\windows\system32\dllcache\wups.dll
2008-10-10 20:56 --------- d-----w c:\programmi\Motive
2008-10-10 00:06 --------- d-----w c:\programmi\Panda Security
2008-10-08 23:51 --------- d-----w c:\programmi\bsnmjib
2008-10-08 23:51 --------- d-----w c:\documents and settings\All Users\Dati applicazioni\lgnyzmnu
2008-10-03 17:58 6,066,176 ------w c:\windows\system32\dllcache\ieframe.dll
2008-09-15 16:24 1,846,400 ----a-w c:\windows\system32\win32k.sys
2008-09-15 16:24 1,846,400 ------w c:\windows\system32\dllcache\win32k.sys
2008-09-10 01:14 1,307,648 ------w c:\windows\system32\msxml6.dll
2008-09-10 01:14 1,307,648 ------w c:\windows\system32\dllcache\msxml6.dll
2008-09-08 11:41 333,824 ------w c:\windows\system32\dllcache\srv.sys
2008-09-04 17:15 1,106,944 ----a-w c:\windows\system32\msxml3.dll
2008-08-27 09:57 3,593,216 ----a-w c:\windows\system32\dllcache\mshtml.dll
2008-08-25 09:39 70,656 ----a-w c:\windows\system32\dllcache\ie4uinit.exe
2008-08-25 09:38 13,824 ------w c:\windows\system32\dllcache\ieudinit.exe
2008-08-23 06:56 635,848 ----a-w c:\windows\system32\dllcache\iexplore.exe
2008-08-23 06:54 161,792 ----a-w c:\windows\system32\dllcache\ieakui.dll
2006-06-03 01:32 14 ----a-w c:\documents and settings\Rober\getfile.dat
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{201f27d4-3704-41d6-89c1-aa35e39143ed}]
2008-08-06 15:20 279944 --a------ c:\programmi\AskBarDis\bar\bin\askBar.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{3041d03e-fd4b-44e0-b742-2d9b88305f98}"= "c:\programmi\AskBarDis\bar\bin\askBar.dll" [2008-08-06 279944]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{3041D03E-FD4B-44E0-B742-2D9B88305F98}"= "c:\programmi\AskBarDis\bar\bin\askBar.dll" [2008-08-06 279944]

[HKEY_CLASSES_ROOT\clsid\{3041d03e-fd4b-44e0-b742-2d9b88305f98}]
[HKEY_CLASSES_ROOT\TypeLib\{4b1c1e16-6b34-430e-b074-5928eca4c150}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="c:\programmi\Messenger\msmsgs.exe" [2008-04-14 1695232]
"swg"="c:\programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-07-09 68856]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Hcontrol"="c:\windows\ATK0100\Hcontrol.exe" [2004-05-27 86016]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2004-07-15 155648]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2004-07-15 118784]
"ASUS Live Update"="c:\programmi\ASUS\ASUS Live Update\ALU.exe" [2003-09-19 172032]
"Power_Gear"="c:\programmi\ASUS\Power4 Gear\BatteryLife.exe" [2004-01-19 81920]
"SynTPLpr"="c:\programmi\Synaptics\SynTP\SynTPLpr.exe" [2004-08-05 102400]
"SynTPEnh"="c:\programmi\Synaptics\SynTP\SynTPEnh.exe" [2004-08-05 684032]
"PRONoMgr.exe"="c:\programmi\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe" [2004-02-05 86016]
"Adobe Photo Downloader"="c:\programmi\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe" [2005-07-07 57344]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"Adobe Reader Speed Launcher"="c:\programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]
"Motive SmartBridge"="c:\progra~1\ALICET~1\SMARTB~1\MotiveSB.exe" [2006-04-21 438359]
"AliceRE_McciTrayApp"="c:\progra~1\ALICET~1\vendors\AliceRE\content\template\driven~1\syncer\McciTrayApp.exe" [2006-11-21 936960]
"SunJavaUpdateSched"="c:\programmi\Java\jre6\bin\jusched.exe" [2008-11-06 136600]
"SoundMan"="SOUNDMAN.EXE" [2004-05-21 c:\windows\SOUNDMAN.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\documents and settings\All Users\Menu Avvio\Programmi\Esecuzione automatica\
ASUS ChkMail.lnk - c:\programmi\Asus\Asus ChkMail\ChkMail.exe [2005-12-28 32768]
Microsoft Office.lnk - c:\programmi\Microsoft Office\Office10\OSA.EXE [2001-02-13 83360]
Alice ti aiuta.lnk - c:\programmi\Alice ti aiuta\bin\matcli.exe [2008-10-10 217088]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\Sebring]
2004-03-03 16:48 110592 c:\windows\system32\LgNotify.dll

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programmi\\Asus\\ASUS Live Update\\LiveUpdt.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programmi\\VideoLAN\\VLC\\VLC.EXE"=

R1 aswSP;avast! Self Protection;c:\windows\system32\drivers\aswSP.sys [2008-11-16 110160]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\DRIVERS\aswFsBlk.sys [2008-11-16 20560]
R2 Network WanMiniport First Position;Network WanMiniport First Position;c:\programmi\Telecom Italia\WanMiniport1st\srvany.exe [2008-07-28 8192]
R3 ATKXPDisplayName;ATKXPDisplayName;c:\windows\system32\DRIVERS\ATKACPI.sys [2005-12-28 5786]
R3 Video3D;ASUS Video3D Service;c:\windows\system32\Drivers\Video3D.sys [2004-07-06 44544]
.
.
------- Supplementare di scansione -------
.
uStart Page = hxxp://www.corriere.it/
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uInternet Settings,ProxyServer = mail.voltex.co.za:80
uInternet Settings,ProxyOverride = 127.0.0.1
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: E&sporta in Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000

O16 -: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
c:\windows\Downloaded Program Files\Microsoft XML Parser for Java.osd
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-11-18 22:56:07
Windows 5.1.2600 Service Pack 3 FAT NTAPI

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
------------------------ Altri processi in esecuzione ------------------------
.
c:\windows\SYSTEM32\S24EVMON.EXE
c:\windows\SYSTEM32\ZCFGSVC.EXE
c:\programmi\ALWIL SOFTWARE\AVAST4\ASWUPDSV.EXE
c:\programmi\ALWIL SOFTWARE\AVAST4\ASHSERV.EXE
c:\windows\ATKKBSERVICE.EXE
c:\programmi\JAVA\JRE6\BIN\JQS.EXE
c:\programmi\TELECOM ITALIA\WANMINIPORT1ST\WANMINIPORT1ST_SRV.EXE
c:\windows\SYSTEM32\HPZIPM12.EXE
c:\programmi\ASUS\POWER4 GEAR\BATTER~1.EXE
c:\windows\SYSTEM32\REGSRVC.EXE
c:\programmi\ALICE TI AIUTA\SMARTBRIDGE\MOTIVESB.EXE
c:\programmi\ALICE TI AIUTA\VENDORS\ALICERE\CONTENT\TEMPLATE\DRIVEN_DEV\SYNCER\MCCITRAYAPP.EXE
c:\programmi\ALWIL SOFTWARE\AVAST4\ASHMAISV.EXE
c:\programmi\ALWIL SOFTWARE\AVAST4\ASHWEBSV.EXE
c:\windows\SYSTEM32\1XCONFIG.EXE
c:\windows\ATK0100\ATKOSD.EXE
c:\programmi\ALICE TI AIUTA\BIN\MPBTN.EXE
c:\windows\system32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Ora fine scansione: 2008-11-18 22:58:48 - macchina è stato riavviato
ComboFix-quarantined-files.txt 2008-11-18 21:58:42

Pre-Run: 42.255.384.576 byte disponibili
Post-Run: 42,565,664,768 byte disponibili

WindowsXP-KB310994-SP2-Home-BootDisk-ITA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect

172 --- E O F --- 2008-11-13 00:42:47

2)2006-12-02 14:40:42 A------- 1,072 C:\Qoobox\Quarantine\C\WINDOWS\IE4 Error Log.txt.vir
2007-09-07 14:12:17 A------- 524 C:\Qoobox\Quarantine\C\Documents and Settings\Rober\Preferiti\Videos.url.vir
2008-11-18 22:50:13 A------- 54 C:\Qoobox\Quarantine\catchme.log
2008-11-18 22:53:38 A------- 8,761 C:\Qoobox\Quarantine\Registry_backups\tcpip.reg
2008-11-18 22:53:43 A------- 1,044 C:\Qoobox\Quarantine\Registry_backups\Legacy_TDSSSERV.reg.dat
2008-11-18 22:58:11 A------- 2 C:\Qoobox\Quarantine\Registry_backups\HKLM-Run-CFSServ.exe.reg.dat
2008-11-18 22:58:11 A------- 2 C:\Qoobox\Quarantine\Registry_backups\HKLM-Run-NDSTray.exe.reg.dat
2008-11-18 22:58:11 A------- 2 C:\Qoobox\Quarantine\Registry_backups\HKLM-Run-TFncKy.reg.dat

Grazie ancora.


PS: Amantide, see non dovevo trascrive tutto, ti prego do scusarmi

[Amantide]

PS: Amantide, see non dovevo trascrive tutto, ti prego do scusarmi

No no, il report di Combofix mi serviva intero, solo che veniva inserito tra i tag LOG, in questo modo:

Codice: Seleziona tutto

[LOG]qui va inserito il log[/LOG]

Nel log si vedono solo 2 cartelle sospette, sicuramente da eliminare.
Scarica The Avenger, estrailo in una cartella ed avvia il file avenger.exe.
Incolla il seguente spript nello spazio bianco sotto alla voce Input script here, togli la spunta alla voce Scan for rootkits e clicca su Execute.

Codice: Seleziona tutto

Folders to delete:
c:\programmi\bsnmjib
c:\documents and settings\All Users\Dati applicazioni\lgnyzmnu

Il pc dovrebbe riavviarsi, se così non fosse, riavvialo manualmente.
Al riavvio dovrebbe apparire il log avenger.txt, posta qui il suo contenuto.

[roberto1956]

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Folder "c:\programmi\bsnmjib" deleted successfully.
Folder "c:\documents and settings\All Users\Dati applicazioni\lgnyzmnu" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

Grazie

[Amantide]

Ok, le cartelle sono state rimosse
Ora non ti saprei dire se è stato qualche file al loro interno a ricrearti di continuo quel file su desktop, adesso dobbiamo solo aspettare e vedere

[roberto1956]

Purtroppo, persistono i problemi di cui al primo post: il valore di registro infetto che mi rileva Malwarebytes

Malwarebytes' Anti-Malware 1.28
Versione del database: 1166
Windows 5.1.2600 Service Pack 3

19/11/2008 1.58.48
mbam-log-2008-11-19 (01-58-43).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 104908
Tempo trascorso: 43 minute(s), 55 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 1
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 0

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> No action taken.

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
(Nessun elemento malevolo rilevato)

;
b)l' 'arresto' della scansione di avast al solito punto: avast che, comunque, come mi avete suggerito - e ringrazio della segnlazione Enea83 - provvederò ad eliminare;
Se avete qualche altri soggerimento ...
Grazie

[Amantide]

Per quanto riguarda questa chiave di registro HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe di per se non rappresenta alcun pericolo, anzi, è presente normalmente nel sistema operativo dal momento che attivi un screensaver su pc. E visto che Malwarebytes oltre a questa chiave non rileva alcun file, direi che si è preso l'abbaglio.

Intanto sostituisci l'antivirus e prova ad eseguire con quello nuovo la scansione dalla modalitòà provvisoria.

[roberto1956]

Ho provato ad aggiornare Malwarebytes (erano circa 20 giorni che non lo aggiornavo).
a)ho scansionato il programma aggiornato: questo il risultato

Malwarebytes' Anti-Malware 1.30
Versione del database: 1411
Windows 5.1.2600 Service Pack 3

19/11/2008 12.11.39
mbam-log-2008-11-19 (12-11-34).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 109582
Tempo trascorso: 31 minute(s), 24 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 2
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 1

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\rhc3krj0e3ee (Rogue.AntivirusXP2008) -> No action taken.
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> No action taken.

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\System Volume Information\_restore{CC7145E5-B750-490E-A8BC-BA6EE6C4C759}\RP0\A0000001.sys (Trojan.Downloader) -> No action taken.

b)ho rimosso gli elementi infetti:

Malwarebytes' Anti-Malware 1.30
Versione del database: 1411
Windows 5.1.2600 Service Pack 3

19/11/2008 12.12.03
mbam-log-2008-11-19 (12-12-03).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 109582
Tempo trascorso: 31 minute(s), 24 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 2
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 1

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\rhc3krj0e3ee (Rogue.AntivirusXP2008) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> Quarantined and deleted successfully.

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
C:\System Volume Information\_restore{CC7145E5-B750-490E-A8BC-BA6EE6C4C759}\RP0\A0000001.sys (Trojan.Downloader) -> Quarantined and deleted successfully.

;
c)ho spento il pc e ho effettuato una nuova scansione:

Malwarebytes' Anti-Malware 1.30
Versione del database: 1411
Windows 5.1.2600 Service Pack 3

19/11/2008 13.10.31
ultimo

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 109504
Tempo trascorso: 47 minute(s), 45 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 1
Elementi dato del registro infetti: 0
Cartelle infette: 0
File infetti: 0

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> No action taken.

Elementi dato del registro infetti:
(Nessun elemento malevolo rilevato)

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
(Nessun elemento malevolo rilevato)

Sostituirò l'antivirus e seguirò le tue indicazioni. Ci sono dei problemi per gli elementi infetti rilevati sub a)?

Grazie ancora.

[Amantide]

Ci sono delle tracce di un Rogue, ti consiglio di fare la scansione anche con RogueRemover.

[roberto1956]

Amantide, scusami se ti 'stresso'.
Ho fatto la scansione con Rogueremover e mi sembra sia negativa ('did not decect any items': non conosco l'inglese; spero di aver aperto correttamente il programma, perché la scansione dura ... due secondi). Può essere che le tracce del rogue, si riferiscano ad un precedente virus che ho eliminato ("Antivirus XP 2008") con Malwarebytes?
Ho hatto anche una scansione con Avira (invio la parte finale del log)

Begin scan in 'C:\'
C:\pagefile.sys
[WARNING] The file could not be opened!
C:\hiberfil.sys
[WARNING] The file could not be opened!


End of the scan: giovedì 20 novembre 2008 00:50
Used time: 40:39 Minute(s)

The scan has been done completely.

5659 Scanning directories
190424 Files were scanned
0 viruses and/or unwanted programs were found
0 Files were classified as suspicious:
0 files were deleted
0 files were repaired
0 files were moved to quarantine
0 files were renamed
2 Files cannot be scanned
190422 Files not concerned
6541 Archives were scanned
2 Warnings
0 Notes

Ti chiedo anche: visto che ho provato a visionare gli argomenti di discussione sugli antivirus e sulle suite di sicurezza, ma ... mi sono perso, mi puoi consigliare un programma - free - che sostituisca avast (con tutte le sue funzioni), sempre in italiano?
Grazie

[enea83]

aspettando la risp di amantide io ti consiglio ovviamente avira free anche se e' in inglese, o il buon avg 8,efficace quasi come avira ma sicuramente piu completo ed in italiano(oltre che molto piu affidabile di avast! )
ad avira la protezione spyware ad avg8 l'antirootkit.

ricorda pero che installare un buon antivirus ed un buon firewall non e' garanzia di sicurezza
AV e FW sono solo i mattoni principali, poi devi navigare sempre con browser sicuri come firefox o opera sempre aggiornati e possibilmente immunizzati da spybot o spyblaster. poi non fa male avere un antispy come superantispyware per scansioni eventuali ed usare la rete con un po' di buon senso .
se cerchi qualcosa di free, semplice, efficace ed in italianoio ti consiglierei quindi: avg8+pctool FW+firefox(sempre aggiornato ed immunizzato con spybot) e superantispyware per scansioni occasionali. se sei anche un attimino prudente puoi dimenticarti i malware
ti assicuro che questa configurazione oltre ad essere molto efficace e' semplicissima da usare(oltre che completamente in italiano ) e molto leggera per il tuo pc


ps. smetto ufficialmente di consigliare malwarebytes perche' ultimamente ne sta combinando di troppo grosse... in due gg a me avrebbe bloccato la webcam, a mia cugina gli ha completamente tolto l'audio, gioia qui sul forum e' stata costretta a formattare e in un altro caso a quasi bloccato IE... davvero troppi falsi positivi dopo gli ultimi aggiornamenti...

a presto

[crazy.cat]

o il buon avg 8,efficace quasi come avira

Efficace nel segarti i file di sistema e tutti gl altri file che ha eliminato negli ultimi mesi dopo ogni aggiornamento.
Complimenti per il consiglio, proprio un ottimo antivirus.

Se non ti fidi più di malwarebytes come puoi fare a fidarti di avg?

[nannolo]

A me con AVG 8 non è successo niente... Inoltre sarebbe bastata un minimo di conoscenza per evitare il danno a chi fosse successo. E comunque si sono verificati falsi positivi in tutte le case di Anti-Virus, giudicare l'efficacia di un AV da questo è un errore.

[crazy.cat]

giudicare l'efficacia di un AV da questo è un errore a mio parere.

Adotto lo stesso sistema di enea nel giudicare malwarebytes che a me non ha mai creato nessun problema anzi ne ha risolti tanti.
Un errore potrebbe essere accettabile, ma perseverare come sta facendo avg è molto preoccupante.
Non tutti sono in grado di giudicare i messaggi che ti vengono proposti, si fidano e cancellano (oppure si trovano senza i file in automatico).

[Amantide]

Amantide, scusami se ti 'stresso'.
Ho fatto la scansione con Rogueremover e mi sembra sia negativa ('did not decect any items': non conosco l'inglese; spero di aver aperto correttamente il programma, perché la scansione dura ... due secondi). Può essere che le tracce del rogue, si riferiscano ad un precedente virus che ho eliminato ("Antivirus XP 2008") con Malwarebytes?

Si, evidentemente è rimasta solo una traccia di qualla infezzione, tralasciata da Malwarebytes la scorsa volta.

[roberto1956]

Grazie a tutti: per la gentilezza e la pazienza.

[enea83]

crazy ma... a quando le nozze con mlwarebytes
dai... sembra che tu ti offenda quando qualcuno fa una minima critica al tuo adorato malwareb....

avg e' un ottimo prodotto, e lo uso con soddisfazione per proteggere l'altro pc della mia rete(pc usato da un mio amico che naviga in siti innominabili eppure il suo pc e' sempre lindo!!!!!)inoltre mi e' stato mooolto utile anche in passato.
quel falso positivo e' stato un caso isolato!!!
malwarebytes ultimamente di falsi positivi ne ha dati tanti... diversi fra loro e molte volte gravi... avg ha corretto imediatamente quell'unico errore... spero che malwarebytes faccia lo stesso ma la vedo dura...

quindi se roberto cerca un prodotto affidabile, gratis ed initaliano gli continuo a consigliare vivamente avg insieme ovviamente a firefox e al buonsenso

ciao

[enea83]

quai dimenticavo...

crazy ho l'impressione che tu non ami tanto avg a prescindere dagli ultimi falsi positivi...

dico questo dato che nei test effetuati da mega lab alla fine di quello su avg, che comunque si era comportato egreggiamente per essere free(fra i free meglio aveva fatto solo avira) scrivevi di aver ricevuto molte segnalazioni da utenti di avg che erano stati infettati da malware... punto a sfavore di avg quindi... ci puo stare...

mi sorprende pero che tu non abbia menzionato l'ORDA di utenti infettati a causa dell'inefficenza di nod... senza parole ...
infatti se nel caso di nod avessimo preso in considerazioni anche le innumerevoli segnalazioni di utenti infettati, nod avrebbe perso ben piu di un punto... mentre tu lo hai messo addirittura fra i migliori...

e ti assicuro che parlando di danni al pc, il malware che lascia passare tuttora nod(a pagamento fra l'altro) sono di gran lunga superiori a quelli causati in giro da qualche falso positivi di avg(solo uno critico e prontamente risolto).