Rilevato Broken.OpenCom

[_Marco_]

Ciao a tutti, ho fatto ultimamente diverse scansioni con MBAM, e ogni tanto mi rivelava che ero infetto da questo malware: Broken.OpenCom.
Come posso fare per liberarmene ? non so se sia in qualche chiave che quando riavvio il computer, riappare, oppure il pc che si prende questo malware. Ho cercato anche su goggle, ma tutte le spiegazioni sono in Inglese, ed io con l?Inglese non è che poi vado tanto D'accordo...
Cosa posso fare ?

Grazie!

[crazy.cat]

se magari ci dici anche dove ti rileva il problema non sarebbe una brutta cosa...

[_Marco_]

Ciao Crazy!
Mah', guarda mi pare che lo trovasse nel notepad, ad ogni modo, da quel poco che ho capito, non si direbbe un malware cattivo, distruttivo. Ciò non toglie che ce l'ho, e non so come levarmelo dai piedi.

Adesso, per esempio, non ce l'ho, pare che sia un malware che lo prenda da qualche parte, ma dove ?

[antonpaco]

una cosa non mi e' chiara, quando il MBM ti ha rilevato il malware quale opzione hai scelto? lo hai eliminato e ritorna? dovresti dirci tutto il percorso nel quale viene trovata l'infezione.

[_Marco_]

una cosa non mi e' chiara, quando il MBM ti ha rilevato il malware quale opzione hai scelto? lo hai eliminato e ritorna? dovresti dirci tutto il percorso nel quale viene trovata l'infezione.

Ciao Antonpaco.

Per quanto riguarda il malware, l'ho eliminato, ma a volte ritorna. Oggi, per esempio, nessun rilevamento. Per quanto riguarda il percorso... aspetta un attimo...no, nulla dafare, ho guardato nei log per trocare il percorso di questo fetentone, ma non lo trovo. Quello che mi appare è :

Registry Data HKEY_CLASSES_ROOT\regfile\shell...80652

Questo è quello che al momento posso dirti. Perdona la mia ignoranza, ma più di così....

Grazie!

[_Marco_]

Ad ogni modo, allego quello che HT ha rilevato:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18.48.05, on 04/09/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16876)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\Programmi\iolo\common\lib\ioloServiceManager.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAIE.EXE
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\Thomson\SpeedTouch USB\Dragdiag.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Programmi\Logitech\Video\LogiTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Logitech\Video\FxSvr2.exe
C:\Programmi\Windows Desktop Search\WindowsSearch.exe
C:\Programmi\Avira\AntiVir Desktop\avmailc.exe
C:\Programmi\Avira\AntiVir Desktop\AVWEBGRD.EXE
C:\Programmi\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Controllo\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tele2internet.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Programmi\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Programmi\Windows Live\Toolbar\wltcore.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Programmi\Windows Live\Toolbar\wltcore.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [EPSON Stylus Photo R220 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAIE.EXE /P30 "EPSON Stylus Photo R220 Series" /O6 "USB001" /M "Stylus Photo R220"
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Programmi\Thomson\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programmi\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programmi\Logitech\Video\LogiTray.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [LogitechSoftwareUpdate] C:\Programmi\Logitech\Video\ManifestEngine.exe boot
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Windows Search.lnk = C:\Programmi\Windows Desktop Search\WindowsSearch.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {5067A26B-1337-4436-8AFE-EE169C2DA79F} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra 'Tools' menuitem: Skype add-on for Internet Explorer - {5067A26B-1337-4436-8AFE-EE169C2DA79F} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programmi\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {1E54D648-B804-468d-BC78-4AFFED8E262E} (System Requirements Lab) - http://www.nvidia.com/content/DriverDow ... eqlab3.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windows ... 6001063187
O17 - HKLM\System\CCS\Services\Tcpip\..\{33B1FF6C-7CEC-458B-BF15-CDED6B99F39F}: NameServer = 193.12.150.2 212.247.152.2
O17 - HKLM\System\CS1\Services\Tcpip\..\{33B1FF6C-7CEC-458B-BF15-CDED6B99F39F}: NameServer = 193.12.150.2 212.247.152.2
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Avira AntiVir MailGuard (AntiVirMailService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avmailc.exe
O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Avira AntiVir WebGuard (AntiVirWebService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\AVWEBGRD.EXE
O23 - Service: Google Update Service (gupdate1c98c4526d06656) (gupdate1c98c4526d06656) - Google Inc. - C:\Programmi\Google\Update\GoogleUpdate.exe
O23 - Service: iolo FileInfoList Service (ioloFileInfoList) - Unknown owner - C:\Programmi\iolo\common\lib\ioloServiceManager.exe
O23 - Service: iolo System Service (ioloSystemService) - Unknown owner - C:\Programmi\iolo\common\lib\ioloServiceManager.exe
O23 - Service: Sunbelt Kerio Personal Firewall 4 (KPF4) - Sunbelt Software - C:\Programmi\Sunbelt Software\Personal Firewall\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 7973 bytes

[_Marco_]

Ciao a tutti!
Facendo una scansione con mbam, mi sono apparsi due malware che non so dove cavolo li ho presi. Il brutto è che mbam me li ha segnalati in memoria, e poi successivamente al log che allego:

Malwarebytes' Anti-Malware 1.41
Versione del database: 2775
Windows 5.1.2600 Service Pack 3

11/09/2009 2.04.58
mbam-log-2009-09-11 (02-04-08).txt

Tipo di scansione: Scansione completa (C:\|)
Elementi scansionati: 142483
Tempo trascorso: 18 minute(s), 19 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Elementi dato del registro infetti: 2
Cartelle infette: 0
File infetti: 0

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
HKEY_CLASSES_ROOT\scrfile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: (NOTEPAD.EXE %1) Good: ("%1" /S) -> No action taken.
HKEY_CLASSES_ROOT\regfile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: (NOTEPAD.EXE %1) Good: (regedit.exe "%1") -> No action taken.

Cartelle infette:
(Nessun elemento malevolo rilevato)

File infetti:
(Nessun elemento malevolo rilevato)

E' da un po' di tempo che me lo trovo fra i piedi, potreste darmi una mano a liberarmene ?

Grazie!

[crazy.cat]

Utilizzi spybot per caso?
O un qualche software che protegga il registro di configurazione?
http://www.malwarebytes.org/forums/inde ... topic=6450

Comunque non è un malware ma solo un paio di chiavi di registro che malwarebytes ritiene errate, prova ad andare alle chiavi che ti segnala e dovresti trovare impostato il valore Bad: (NOTEPAD.EXE %1) e invece lui richiede Good: ("%1" /S) idem per la seconda Bad: (NOTEPAD.EXE %1) invece vuole Good: (regedit.exe "%1")
Prova a cambiarle tu manualmente e vedi se smette di segnarle.

[ste_95]

sicurezza/rilevato-broken-opencom-t56437.html

[_Marco_]

Utilizzi spybot per caso?
O un qualche software che protegga il registro di configurazione?
http://www.malwarebytes.org/forums/inde ... topic=6450

Comunque non è un malware ma solo un paio di chiavi di registro che malwarebytes ritiene errate, prova ad andare alle chiavi che ti segnala e dovresti trovare impostato il valore Bad: (NOTEPAD.EXE %1) e invece lui richiede Good: ("%1" /S) idem per la seconda Bad: (NOTEPAD.EXE %1) invece vuole Good: (regedit.exe "%1")
Prova a cambiarle tu manualmente e vedi se smette di segnarle.

Ciao Crazy!
Allora, non utilizzo nessun software che proteggail registro di configurazione, e nemmeno uso Spybot.
Ho letto con notevole interesse il sito che mi hai indicato, ma da quanto ho capito non è un vero e proprio malware, come giustamente riprendi tu, ma solo un paio di chiavi di registro che Malwarebytes ritiene errate. Però c'è un fatto: giusto per evitare disastri, come devo intervenire manualmente ? Cancellando il valore Bad e lasciarci Good oppure intervenire diversamente ?
Se possibile vorrei evitare di fare danni...

Grazie!

[crazy.cat]

Nella finestra a destra del registro dovresti trovare la chiave NOTEPAD.EXE %1ci clicchi sopra e la modifichi in regedit.exe "%1".
Idem per l'altra.
Non cancellarle, modificale.

[_Marco_]

Nella finestra a destra del registro dovresti trovare la chiave NOTEPAD.EXE %1ci clicchi sopra e la modifichi in regedit.exe "%1".
Idem per l'altra.
Non cancellarle, modificale.

Ciao Crazy.
Guarda, ho dato una occhiata adesso al registro di sistema, ma di NOTEPAD.EXE %1 neanche l'ombra. Invece ci sono i file in "formato" Good.
A questo punto mi viene da pensare che me lo prenda da qualche parte. Nel registro non l'ho trovato, e allora dove ?

[crazy.cat]

oppure malwarebytes sbaglia.
Ti direi allora di lasciar perdere e ignorare la segnalazione.

[_Marco_]

Farò come tu dici, ma nulla mi può impedire che al prossimo rilevamento di Broken.Open.Com non vada a vedere nel registro...

Ciao e grazie! Nel caso, ti so dire!