Non riesco ad avviare la scansione con gmer

[FrankSix]

Ciao a tutti di nuovo...mi è capitata una cosa strana poco fa...
Ho scaricato gmer dal link da voi consigliato sull'articolo della guida,così per fare una prova, ho avviato e ha iniziato a fare una scansione, subito dopo windows l'ha bloccato dicendo che il programma sarà terminato inviare segnalazione errori ecc. La cosa mi è capitata per due volte. Dopo di chè anche firefox si è impallato, ho provato a terminarlo e ho notato dal task manager che la cpu era al 100% con winlogon.exe al 50 e zcfgsvc.exe al 50 (quest'ultimo dovrebbe essere parte di intel proset wireless che avevo installato di default nel notebook). La cosa mi è sembrata piuttosto strana così ho spento manualmente, riacceso e fatto le dovute scansioni con avast 5 e malwarebytes. Tutto pulito.
L'unica cosa che noto adesso è che all'accensione la musichetta di avvio di windows sembra "saltare", non so se mi spiego bene...
Il fatto è che la stessa cosa mi è accaduta in passato e ho dovuto formattare tutto perché poco dopo il pc si bloccava.
A questo punto ho il dubbio di avere qualcosa...o magari è soltanto una mia paranoia in memoria di tempi passati

Spero qualcuno di voi possa darmi qualche delucidazione in proposito.
Per una mano vi posto il log di Hijackthis così magari qualcuno può dirmi se c'è qualcosa che non va. Faccio notare che su un elemento ho messo le X al posto del mio indirizzo IP.

Grazie a tutti in anticipo!

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14.49.03, on 28/08/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\Programmi\Wireless Console 2\wcourier.exe
C:\Programmi\Intel\Wireless\Bin\ifrmewrk.exe
C:\WINDOWS\ATK0100\HControl.exe
C:\Programmi\Intel\Wireless\Bin\EOUWiz.exe
C:\Programmi\Intel\Wireless\bin\ZCfgSvc.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programmi\ASUS\Power4 Gear\BatteryLife.exe
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\RocketDock\RocketDock.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Francesco\Desktop\Tools Sicurezza\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKLM\..\Run: [Wireless Console 2] C:\Programmi\Wireless Console 2\wcourier.exe
O4 - HKLM\..\Run: [IntelWireless] "C:\Programmi\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
O4 - HKLM\..\Run: [EOUApp] "C:\Programmi\Intel\Wireless\Bin\EOUWiz.exe"
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programmi\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ABLKSR] C:\WINDOWS\ABLKSR\ABLKSR.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Power_Gear] C:\Programmi\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [RocketDock] "C:\Programmi\RocketDock\RocketDock.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com
O16 - DPF: {3F932FFA-F092-4FDB-92C5-1285978614D2} (WATCH_16R Control) - http://XXX.XXX.X.XXX/WATCH_16R.cab [HO MESSO LE X SUL MIO INDIRIZZO IP]
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 4368073067
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 4368206005
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - AVAST Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - AVAST Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - AVAST Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe

--
End of file - 7120 bytes

[Berga95]

Il log mi sembra pulito...
Prova a caricare winlogon.exe su virustotal, non si sa mai...

[crazy.cat]

Fai la scansione con combofix e posta il suo log.
Se ti chiede di installare la console di windows rispondi di no.

[FrankSix]

Ci tengo ad aggiornare sul fatto che, almeno finora, non si sono ricreati problemi...la "musichetta di avvio" non sembra saltare più...voglio sperare che quei due casi fossero legati..non so..al cavetto delle casse messo male

Il log mi sembra pulito...
Prova a caricare winlogon.exe su virustotal, non si sa mai...

Ho fatto cerca file e ne risultano tre... uno su $NtServicePackUnistall$, uno su system32 e uno su ServicePackFiles/i386 (Tutte e 3 sottocartelle di Windows)
Ho intanto analizzato quello da system32 ed è pulito! Analizzo anche gli altri due?

Fai la scansione con combofix e posta il suo log.
Se ti chiede di installare la console di windows rispondi di no.

Prima di farlo partire devo fare qualche procedura preliminare? Non so modalità provvisoria o similari?

Grazie a entrambi!

[crazy.cat]

Analizzo anche gli altri due?

No

Non so modalità provvisoria o similari?

No, niente da fare.
Tieni solo chiusi tutti i programmi e lasciagli fare la scansione in pace.

[FrankSix]

Ok lo scarico e posto!

[FrankSix]

Rieccomi...premetto che ho quasi rischiato l'infarto...

Dunque...
scarico combo fix...per sicurezza creo un punto di ripristino "Pre ComboFix"
lo avvio, doppio bip acuto in cui declina responsabilità e garanzie
altro doppio bip vuole disattivata la protez in tempo reale di Avast, la disattivo
sembra partire ma...Error, finestra vuota solo ok
Clicco ok, il pc si riavvia [infarto]
riparte molto lentamente, desktop vuoto tranne che per finestra sfondo blu "ComboFix Find3M".
Si avvia, crea un punto di ripristino e fa la sua scansione
Arriva a Stage 50 e mi dice che prepara il report, che poi spunta in primo piano.
Non carica nessun programma all'avvio, noto il report in C: e una cartella Qoobox (suppongo creata da Combo Fix)
Riavvio il pc e carica tutto normalmente, anche Avast riprende la protez in tempo reale.
Avvio Firefox e non risulta più come browser predefinito.
Lo reimposto e torno qui.

Ho scritto tutto questo per sapere se è la procedura normale o è successo qualcosa di strano...

Posto il sudato log:

ComboFix 10-08-27.03 - Francesco 28/08/2010 19.37.37.1.2 - x86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.39.1040.18.1023.574 [GMT 2:00]
Eseguito da: c:\documents and settings\Francesco\Desktop\ComboFix.exe
AV: avast! Antivirus *On-access scanning enabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}

ATTENZIONE - QUESTO PC NON HA LA CONSOLE DI RIPRISTINO DI EMERGENZA INSTALLATA !!
.

((((((((((((((((((((((((( Files Creati Da 2010-07-28 al 2010-08-28 )))))))))))))))))))))))))))))))))))
.

2010-08-25 18:03 . 2010-06-28 20:37 165456 ----a-w- c:\windows\system32\drivers\aswSP.sys
2010-08-25 18:03 . 2010-06-28 20:32 17744 ----a-w- c:\windows\system32\drivers\aswFsBlk.sys
2010-08-25 18:03 . 2010-06-28 20:33 23376 ----a-w- c:\windows\system32\drivers\aswRdr.sys
2010-08-25 18:03 . 2010-06-28 20:37 46672 ----a-w- c:\windows\system32\drivers\aswTdi.sys
2010-08-25 18:03 . 2010-06-28 20:32 100176 ----a-w- c:\windows\system32\drivers\aswmon2.sys
2010-08-25 18:03 . 2010-06-28 20:32 94544 ----a-w- c:\windows\system32\drivers\aswmon.sys
2010-08-25 18:03 . 2010-06-28 20:32 28880 ----a-w- c:\windows\system32\drivers\aavmker4.sys
2010-08-25 18:03 . 2010-06-28 20:57 38848 ----a-w- c:\windows\avastSS.scr
2010-08-25 18:03 . 2010-06-28 20:57 165032 ----a-w- c:\windows\system32\aswBoot.exe
2010-08-25 18:03 . 2010-08-25 18:03 -------- d-----w- c:\programmi\Alwil Software
2010-08-25 18:03 . 2010-08-25 18:03 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Alwil Software
2010-08-24 20:40 . 2010-08-24 20:41 -------- d-----w- c:\programmi\QuickTime
2010-08-24 20:40 . 2010-08-24 20:40 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Apple Computer
2010-08-24 12:58 . 2010-08-24 12:58 -------- d-----w- c:\documents and settings\Francesco\Dati applicazioni\Malwarebytes
2010-08-24 12:58 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-08-24 12:58 . 2010-08-24 12:58 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Malwarebytes
2010-08-24 12:58 . 2010-08-24 12:58 -------- d-----w- c:\programmi\Malwarebytes' Anti-Malware
2010-08-24 12:58 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-08-28 13:07 . 2010-05-21 09:57 -------- d-----w- c:\documents and settings\Francesco\Dati applicazioni\uTorrent
2010-08-28 12:32 . 2010-06-01 14:32 -------- d---a-w- c:\documents and settings\All Users\Dati applicazioni\TEMP
2010-08-28 12:32 . 2010-05-20 19:49 -------- d-----w- c:\programmi\SpywareBlaster
2010-08-28 12:32 . 2010-05-20 14:53 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Spybot - Search & Destroy
2010-08-27 11:02 . 2010-05-20 14:12 -------- d-----w- c:\programmi\CCleaner
2010-08-26 13:43 . 2010-05-21 11:33 -------- d-----w- c:\documents and settings\Francesco\Dati applicazioni\Skype
2010-08-24 21:09 . 2004-09-16 13:31 556162 ----a-w- c:\windows\system32\perfh010.dat
2010-08-24 21:09 . 2004-09-16 13:31 104908 ----a-w- c:\windows\system32\perfc010.dat
2010-08-24 20:59 . 2010-05-20 19:35 -------- d-----w- c:\programmi\Microsoft.NET
2010-08-22 13:32 . 2010-05-21 10:49 -------- d-----w- c:\programmi\Messenger Plus! Live
2010-08-22 13:18 . 2010-05-20 19:49 -------- d-----w- c:\programmi\Songr
2010-08-16 21:14 . 2010-05-20 19:43 -------- d-----w- c:\programmi\Defraggler
2010-07-29 10:44 . 2010-07-29 10:43 -------- d-----w- c:\programmi\StatsHype
2010-07-22 20:45 . 2010-07-22 20:45 95024 ----a-w- c:\windows\system32\drivers\SBREDrv.sys
2010-07-08 13:31 . 2010-05-20 19:46 -------- d-----w- c:\programmi\Unlocker
2010-06-30 12:31 . 2004-09-16 13:31 149504 ----a-w- c:\windows\system32\schannel.dll
2010-06-24 12:22 . 2004-09-16 13:31 916480 ----a-w- c:\windows\system32\wininet.dll
2010-06-24 09:02 . 2010-06-24 09:02 1851904 ----a-w- c:\windows\system32\win32k.sys
2010-06-21 15:27 . 2004-09-16 13:31 354304 ----a-w- c:\windows\system32\drivers\srv.sys
2010-06-17 14:03 . 2004-09-16 13:31 80384 ----a-w- c:\windows\system32\iccvid.dll
2010-06-14 14:31 . 2010-05-20 12:56 744448 ----a-w- c:\windows\pchealth\helpctr\binaries\helpsvc.exe
2010-06-14 07:41 . 2004-09-16 13:31 1172480 ----a-w- c:\windows\system32\msxml3.dll
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SpybotSD TeaTimer"="c:\programmi\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]
"RocketDock"="c:\programmi\RocketDock\RocketDock.exe" [2007-09-02 495616]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avast5"="c:\progra~1\ALWILS~1\Avast5\avastUI.exe" [2010-06-28 2837864]
"Wireless Console 2"="c:\programmi\Wireless Console 2\wcourier.exe" [2005-10-17 987136]
"IntelWireless"="c:\programmi\Intel\Wireless\Bin\ifrmewrk.exe" [2005-12-28 602182]
"HControl"="c:\windows\ATK0100\HControl.exe" [2005-11-10 102400]
"EOUApp"="c:\programmi\Intel\Wireless\Bin\EOUWiz.exe" [2005-12-28 569413]
"IntelZeroConfig"="c:\programmi\Intel\Wireless\bin\ZCfgSvc.exe" [2005-12-28 667718]
"SynTPEnh"="c:\programmi\Synaptics\SynTP\SynTPEnh.exe" [2005-10-20 761945]
"ABLKSR"="c:\windows\ABLKSR\ABLKSR.exe" [2006-01-02 61440]
"RTHDCPL"="RTHDCPL.EXE" [2005-09-06 14850560]
"Power_Gear"="c:\programmi\ASUS\Power4 Gear\BatteryLife.exe" [2005-10-05 86016]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programmi\\uTorrent\\uTorrent.exe"=
"c:\\Programmi\\eMule\\emule.exe"=
"c:\\Programmi\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programmi\\Skype\\Phone\\Skype.exe"=

R0 a347scsi;a347scsi;c:\windows\system32\drivers\a347scsi.sys [21/05/2010 14.14.21 5248]
R1 aswSP;aswSP;c:\windows\system32\drivers\aswSP.sys [25/08/2010 20.03.43 165456]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [25/08/2010 20.03.43 17744]
R3 SynMini;USB2.0 1.3M Web Cam;c:\windows\system32\drivers\SynMini.sys [20/05/2010 15.11.17 720470]
R3 SynScan;USB2.0 1.3M Web Cam Still Image;c:\windows\system32\drivers\SynScan.sys [20/05/2010 15.11.17 8278]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [18/03/2010 13.16.28 130384]
S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [18/03/2010 13.16.28 753504]
S4 a347bus;a347bus;c:\windows\system32\drivers\a347bus.sys [21/05/2010 14.14.21 160640]
.
Contenuto della cartella 'Scheduled Tasks'

2010-08-24 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programmi\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]
.
.
------- Scansione supplementare -------
.
uStart Page = hxxp://www.google.it/
IE: E&sporta in Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
DPF: {3F932FFA-F092-4FDB-92C5-1285978614D2} - hxxp://XXX.XXX.X.XXX/WATCH_16R.cab [SOLITE X PER IL MIO IP]
FF - ProfilePath - c:\documents and settings\Francesco\Dati applicazioni\Mozilla\Firefox\Profiles\qhdxza0q.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.it/
FF - plugin: c:\programmi\Java\jre6\bin\new_plugin\npdeployJava1.dll
FF - plugin: c:\programmi\Mozilla Firefox\plugins\npFoxitReaderPlugin.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX POLICIES ----
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.proxy.type", 5);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.count", 24);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.size", 4096);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("dom.ipc.plugins.timeoutSecs", 45);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("accelerometer.enabled", true);
c:\programmi\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\programmi\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\programmi\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\programmi\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.nptest.dll", true);
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npswf32.dll", true);
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npctrl.dll", true);
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npqtplugin.dll", true);
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-08-28 19:41
Windows 5.1.2600 Service Pack 3 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
--------------------- CHIAVI DI REGISTRO BLOCCATE ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•9~*]
"0140110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Dlls caricate dai processi in esecuzione ---------------------

- - - - - - - > 'winlogon.exe'(764)
c:\windows\system32\Ati2evxx.dll
.
Ora fine scansione: 2010-08-28 19:43:28
ComboFix-quarantined-files.txt 2010-08-28 17:43

Pre-Run: 36.887.404.544 byte disponibili
Post-Run: 36.845.382.144 byte disponibili

- - End Of File - - A1BE357B8C1B80CA928EB229314A600B

[FrankSix]

Piccola aggiunta, non so se può entrarci niente, ho notato anche che l'icona di Intel ProSet Wireless (quella con le ondine), di norma verde, a volte diventa bianca e da come messaggio: " Un'altra utilità di rete wireless è in comunicazione con la scheda di rete Intel Pro/Wireless". Quando da connessioni di rete ripristino la connessione, torna tutto come prima.
Oltretutto la connessione non sempre ha la dicitura "con firewall". Può entrarci niente?

Grazie sempre davvero.

[FrankSix]

Altra piccola cosa strana che ho notato:
Ho aperto SpwareBlaster per aggiornarlo e ho notato 1 elemento non protetto tra i Restricted Sites.
Ho controllato ed era un sito chiamato "Malwareguard.com"
Per fare una sorta di controllo incrociato ho dato un'occhiata all'immunizzazione di Spybot e anche lì ho trovato 3 elementi non protetti.
La cosa mi è sembrata piuttosto strana, non so. Sottolineo che comunque il pc non da segni particolari di rallentamento o altri problemi evidenti.

Aspetto news

[FrankSix]

Mi rendo conto che sto aggiungendo un miliardo di cose...
Comunque ho letto l'articolo sui bootkit e ho fatto partire mbr.exe su entrambe le partizioni del mio hd (C: e D:).
I due log danno la seguente situazione:

Per C:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0xba50e41 size 0x1c1 !
copy of MBR has been found in sector 62 !
copy of MBR has been found in sector 0x0BA50E41
malicious code @ sector 0x0BA50E44 !
PE file found in sector at 0x0BA50E5A !

Per D:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0xba50e41 size 0x1c1 !
copy of MBR has been found in sector 62 !
copy of MBR has been found in sector 0x0BA50E41
malicious code @ sector 0x0BA50E44 !
PE file found in sector at 0x0BA50E5A !

A volte connetto anche un HD esterno ma a questo punto ho anche paura di connetterlo per controllare

Spero che qualcuno possa darmi una mano al più presto...
Grazie a tutti e a presto.

[Uomo_Senza_Sonno]

Comunque ho letto l'articolo sui bootkit e ho fatto partire mbr.exe su entrambe le partizioni del mio hd (C: e D:).

mbr.exe rileva un'infezione da mbr rootkit, ma a questo si può ovviare in pochi passaggi. Ma procediamo per gradi:

1. il pc è un fisso o un portatile (nell'ultimo caso, il portatile in questione ha una partizione nascosta)?
2. il disco rigido in questione è uno solo o sono più dischi rigidi?
3. hai collegato il disco esterno in presenza dell'infezione?

Come prima cosa fai questa prova: rinomina gmer.exe in un nome di fantasia (ad esempio fantasmino.exe), e verifica se in questo modo riesce a terminare la scansione senza interruzioni improvvise;

come seconda cosa procurati un disco esterno, che non è mai stato collegato al tuo pc, e sotto una distribuzione GNU/linux esegui il backup di tutti i dati per sicurezza;

come terza cosa, segui questa guida per postare le immagini dei settori del disco rigido e posta il settore 0;

infine, sarebbe meglio controllare lo stato dell'mbr del disco esterno, perché in caso di infezione sarà meglio pulirlo per primo e poi scollegarlo in modo da completare la pulizia nel disco di sistema come passo successivo.

[FrankSix]

Grazie per la risposta...
1.Il Pc è un portatile, un Asus in particolare. Non so se ha una partizione nascosta, da dove posso vederlo?
2.Ha un unico HD "diviso" in C: e D:
3.Purtroppo non lo so perché il Pc non ha dato nessun segno di infezione quindi non so effettivamente quando me la sono presa!

Tra un po' faccio questo tentativo con gmer e posto.

Tre domande...
Nel caso in cui i dati li salvassi masterizzandoli su dvd vergine non potrebbe andar bene? Anche perché non saprei da dove partire per un backup con Gnu/Linux...
Più che altro la mia paura è per tutte le foto che tengo nell'hd esterno e i dati importanti di univesità e di tesi Il resto bene o male è recuperabile..

Seconda.. Come devo comportarmi con le pendrive? Preciso che comunque sono vuote ma una è stata sicuramente inserita ieri..

Terza cosa...il log di ComboFix e il suo comportamento risultano normali?

Grazie e a presto

[FrankSix]

Per controllare l'HD esterno potrei collegarlo a un Pc fisso "pulito", ma è possibile infettarlo?

Grazie di nuovo

[Uomo_Senza_Sonno]

Rispondo al volo:

Per verificare se ci sono partizioni nascoste devi andare con il dx del mouse su risorse del computer e andare in gestione, da qui si apre una finestra e vai alla voce gestione dischi. Se il disco ha altri partizionamenti si vede qui.

Dal momento che l'infezione è in atto, meglio pulire prima il disco esterno per poi scollegarlo e lasciarlo da parte, e vedremo come fare.

Per quanto riguarda le domande:
1. se masterizzi su dvd può andare bene, ma la cosa ti comporta molto tempo, e soprattutto non hai la possibilità di copiare tutto il disco (potrebbe essere utile);
2. per il backup con GNU/linux;
3. le pendrive le puliremo in un secondo momento con un comando semplicissimo
4. combofix molto spesso non rileva queste infezioni, se non dopo aver provato a utilizzare mbr.exe; ma a questo punto, non è più necessario utilizzarlo ancora;
5. se colleghi il disco esterno ad un fisso sano potresti infettarlo, quindi adesso è meglio non collegare nulla

[FrankSix]

Allora dopo la scansione con gmer (devo disattivare il ripristino config di sistema giusto?) potrei fare così.
Inserire l'HD Esterno, controllarlo e vedere se c'è il famoso mbr(ma se non c'è appena lo inserisco spunta penso no?), salvarmi su dvd foto e tesi dall'hd esterno e qualche file del portatile. Giusto?
Se può essere utile per questo portatile ho i recovery disk per eventualmente formattarlo... E' comunque necessario fare il backup con gnu linux?

Grazie sempre

[FrankSix]

Dunque al secondo tentativo sono riuscito ad avviare gmer, che però ho visto che aveva il segno di spunta solo su C: e non su D:, e ha dato questo risultato:

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit quick scan 2010-08-30 10:24:00
Windows 5.1.2600 Service Pack 3
Running: Fanstasmino.exe; Driver: C:\DOCUME~1\FRANCE~1\IMPOST~1\Temp\pgrcypob.sys


---- Disk sectors - GMER 1.0.15 ----

Disk \Device\Harddisk0\DR0 sector 61: malicious code @ sector 0xba50e41 size 0x1c1
Disk \Device\Harddisk0\DR0 sector 62: copy of MBR

---- System - GMER 1.0.15 ----

Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwCreateProcessEx [0xA94FDB9C]
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwCreateSection [0xA94FD9C0]
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ZwLoadDriver [0xA94FDAFA]
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) NtCreateSection
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ObInsertObject
Code \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software) ObMakeTemporaryObject

---- Devices - GMER 1.0.15 ----

Device \FileSystem\Ntfs \Ntfs aswSP.SYS (avast! self protection module/ALWIL Software)

AttachedDevice \FileSystem\Ntfs \Ntfs aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Ip aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Tcp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\Udp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Tcpip \Device\RawIp aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice \Driver\Kbdclass \Device\KeyboardClass0 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice \Driver\Kbdclass \Device\KeyboardClass1 SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)

---- EOF - GMER 1.0.15 ----

Non sono però riuscito a vedere se l'hd ha partizioni nascoste...ho fatto dx su risorse, proprietà, ma non ho trovato gestione, ho trovato solo gestione periferiche in cui tra le unità disco ne figurava solo una: HTS541010G9AT00
Non so se è l'informazione che cercavi...
Comunque se è il caso io sono pronto a formattare sia pc che HD esterno...voglio solo salvare qualche dato importante importante dall'hd esterno prima..magari su dvd se non è una procedura "reinfettante"...

Grazie sempre e a presto

[Uomo_Senza_Sonno]

devo disattivare il ripristino config di sistema giusto?

Si, altrimenti saremo nuovamente allo stesso punto.

Se può essere utile per questo portatile ho i recovery disk per eventualmente formattarlo

Putroppo, formattare non serve a nulla, in quanto questa infezione rimane fuori dal filesystem, e quindi anche dal sistema operativo. Per esserne certi di cancellare tutto è necessario eseguire uno zerofilling oppure una formattazione a basso livello, ma entrambi i procedimenti comportano la perdita definitiva dei dati. Teniamocelo per ultimo se è proprio necessario farlo.

Inserire l'HD Esterno, controllarlo e vedere se c'è il famoso mbr(ma se non c'è appena lo inserisco spunta penso no?), salvarmi su dvd foto e tesi dall'hd esterno e qualche file del portatile. Giusto?

Il mbr contiene le informazioni del partizionamento del disco. Ogni disco rigido ha il suo mbr, e bisogna verificare se è infetto o meno. Se lo colleghi è probabile che mbr.exe ti restituisca un log simile, ma ad ogni modo una verifica la dovrai fare.

Il backup dei dati è una misura preventiva qualora qualcosa andasse storto, se hai a disposizione un disco rigido abbastanza capiente per salvare tutto in un colpo solo sotto linux risparmi tempo e fai tutto in sicurezza.

[FrankSix]

Purtroppo non ho a disposizione un disco "pulito" su cui salvare tutto :(
Quindi o mi compro un altro hd esterno (ma la vedo dura) oppure salvo su dvd?

[FrankSix]

So che è meglio un altro hd esterno...ma non penso di poterlo recuperare...
Se intanto collego il mio, mi salvo il salvabile su un 4-5 dvd (so che è una procedura lenta e lunga) come la vedi? Non è un'operazione sicura? Per il resto dei dati se li perdo pazienza...
Se è comunque meglio evitare perché è una procedura non sicura eventualmente faccio il possibile per un altro hd...

Grazie sempre..

[Uomo_Senza_Sonno]

Invece di comprarlo potresti sempre fartelo prestare, ma l'importante è che quando esegui il backup sei sotto linux e non sotto windows. In alternativa puoi sempre masterizzare i dvd senza troppi pensieri perché il dvd o i cd sono scritti in un altro filesystem, dove questi rootkit non hanno terreno fertile.