Aiuto Windows Lento...Virus??

[ligamarco]

Aiutoooooooo...oggi ho acceso il computer ed è tutto lentissimo nel caricamento (Windows XP Pro) inoltre è sparito il blocco note ed è impossibile utilizzare Internet Explorer (la pagina iniziale è sconosciuta e non carica altre pagine). Che abbia preso un virus?? Ho provato a fare una scansione con Norton ma non rileva niente. Cosa può essere?? Il computer è utilizzato anche da mio fratello e non so in quale razza di sito sia andato o quale caxxo di applicazione abbia installato (a dir suo niente... )...Vi prego datemi una mano....

[massimox]

Hai provato a fare delle scansioni con i vari Spyware(Spybot - Search & Destroy-SpywareBlaster-Ad-aware 6.0 ecc.)?

[crazy.cat]

Oltre ai vari antisyware che ti suggerito massimox, fai un controllo online con panda antivirus
http://www.pandasoftware.com/activescan ... ncipal.htm

Cosa intendi che ti è sparito il notepad? Non trovi più neanche il file se lo cerchi o non si apre più?
Fai sapere come va.

[MaveRick666]

in effetti c'è un sito che se ci vai e ti scariki qalkosa, ti sostituisce il notepad, ti ci cambia nome, e forse modifica anche il regedit.
Ti conviene fare una bella scansione con uno di quei programmi che ti ha detto massimox (anche ad-aware è ottimo).
anche a me era successa sta cosa, (anche se il notepad c'era) sono andato su installazioni applicazioni e c'era installato uno spyware "180 solutions" che grazie alle indicazione su internet che ho visto da un altro computer sno riuscito a disinstallare anche dal regedit.
Vedi se su installlazioni applicazioni c'è qualkosa di anomalo, e se c'è fai come ho fatto io o procurati uno di quei programmi.

P.S.
Una volta mi sono scaricato quel programma da quel sito (ma prima ho fatto un backup di notepad), e ho visto che me lo aveva sostituito con un coso che si apriva in dos e faceva le fiamme[coca], poi ho ripristinato tutto!

[ligamarco]

Grazie per avermi risposto. Ho provato ad usare Spybot ed ho eliminato qualche spy presente ma il problema persiste.
SpywareBlaster non me lo fa installare, dice cluster danneggiato nell'HD o virus presente. Panda Antivirus mi ha rilevato e rimosso 4 virus ma poi si è inchiodato e non ha finito la scansione...Ho letto il post di Erik sullo spy, il mio problema con Explorer è analogo al suo, ho provato anche io ad usare i programmi suggeriti ma il risultato è stato che ora non posso più utilizzare i motori di ricerca...Blocco note non ha più il collegamento, nella descrizione mi da "DirectShow Setup Tool" Destinazione "C:WINDOWSsystem32actmovie.exe".....Che posso fare??

[ligamarco]

Dimenticavo...Maverick ho controllato in installazione applicazioni e "non sembra" esserci niente di anomalo...nel Task manager c'è un processo chiamato "ciclo idle del sistema" che richiede dall' 88 al 98% della CPU

[crazy.cat]

Fai la scansione con Hijackthis e manda qui il log che vediamo meglio.

[MaveRick666]

L'unica cosa che posso dirti per ora è provare a togliere uno ad uno i programmi in background (ctrl-alt-canc) tranne systray e explorer, e vedere quale programma ti blocca il browser! io all'inizio ho fatto così. Se nn hai capito bene, fammi sapere!

[ligamarco]

Lo farei volentieri Crazy ma nel tentativo estremo di salvare il computer ho usato Hijackthis ed ho rimosso tutte le voci...ora mi ritrovo la cartella del programma piena di files (quelli che ho rimosso) esiste qualche metodo per ripristinarli???...

[crazy.cat]

Con Hijackthis se vai su Config--Backups-- vedi le chiavi che hai cancellato e le puoi ripristinare con Restore.

Ripristinane uno alla volta sopratutto gli Exe nella sezione Run e vedi quando comincia a fare casino.
Dovrai però riavviare il pc,per rilanciare gli exe

[ligamarco]

Allora...Maverick ho provato ad eliminare i processi in background ma eliminandone alcuni mi si blocca il sistema o si spegne il computer, quindi devo provare diverse combinazioni...è una cosa un po' lunga...Crazy per quanto riguarda Hijackthis ti invio il log:

Logfile of HijackThis v1.97.7
Scan saved at 21.05.05, on 22/06/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:ProgrammiFile comuniSymantec SharedccSetMgr.exe
C:ProgrammiFile comuniSymantec SharedccEvtMgr.exe
C:WINDOWSsystem32spoolsv.exe
C:WINDOWSSystem32gearsec.exe
C:WINDOWSSystem32inetsrvinetinfo.exe
C:WINDOWSExplorer.EXE
C:ProgrammiFile comuniMicrosoft SharedVS7Debugmdm.exe
C:mysqlinmysqld-nt.exe
C:ProgrammiNorton AntiVirus
avapsvc.exe
C:ProgrammiNorton UtilitiesNPROTECT.EXE
C:WINDOWSst.exe
C:WINDOWSSystem32
vsvc32.exe
C:ProgrammiSpeed Disk
opdb.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32oneLabsvsmon.exe
C:Documents and SettingsMarcoDesktophijackthis1977HijackThis.exe

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R1 - HKCUSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Bar = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
<b>R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,HomeOldSP = about:blank</b>
F0 - system.ini: Shell=explorer.exe C:WINDOWSSystem32
etdc.exe
F2 - REG:system.ini: Shell=explorer.exe C:WINDOWSSystem32
etdc.exe
O2 - BHO: (no name) - {99AB14E9-4479-42CA-B342-F671E015B762} - C:WINDOWSSystem32kgfip.dll
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSSystem32NvCpl.dll,NvStartup
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O17 - HKLMSystemCCSServicesTcpip..{B5DADC7E-4076-4C6E-A4CA-5B72799C6525}: NameServer = 193.70.192.25 193.70.152.25


Ho già provato ad eliminarle tutte, sotto suggerimento di Erik che ha avuto il mio stesso problema ed ha risolto. Ma mi dice che sta cercando di eliminare una cosa che ha a che fare con "BHO" che va ad interferire con Internet Explorer e quindi dovrei chiuderlo dai processi attivi, ma se lo tolgo si pianta il sistema. Se dopo aver cliccato Fix per tutte queste voci faccio ancora uno scan mi rileva comunque 2 voci...se riavvio mi ritornano tutte le voci....

La cosa positiva è che riesco a navigare bene ed il sistema sembra essere tornato alla sua velocità originale....rimane solo il fatto della pagina iniziale Blank con il popup che afferma di essere affetti da Spyware....

Grazie ancora dell'aiuto.

[sito]

Caspita, è successo anche a me oggi una cosa del genere e forse è stata mia sorella che non so su che siti e su cosa abbia cliccato.
Stà di fatto che il computer rallenta sempre di più e se cercavo di aprire il task manager di windows non lo apriva, ma solo l'icona e l'explorer non andava (me ne sono accorto solo leggendo questo post dato che uso Mozilla Firefox) e la pagina iniziale non era quella vuota che avevo messo io.
Ho passato con AtiVir e non c'erano virus, poi col l'adaware ed ha trovato un file ed una chiave di registro, poi con Spybot ha trovato alre 2 cose e poi ho ripristimnato manualmente la pagina di explorer.
Bo, che dire ora sembra andare bene, si vedrà domani!
Comunque, date un'occhiata al log di HijackThis e ditemi se c'è qualcosa di anomalo.

StartupList report, 23/06/2004, 0.03.52
StartupList version: 1.52
Started from : C:Documents and SettingsPolDesktopHijackThis.EXE
Detected: Windows XP SP1 (WinNT 5.01.2600)
Detected: Internet Explorer v6.00 SP1 (6.00.2800.1106)
* Using default options
==================================================

Running processes:

C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:ProgrammiSygateSPFsmc.exe
C:WINDOWSsystem32spoolsv.exe
C:ProgrammiAVPersonalAVGUARD.EXE
C:ProgrammiAVPersonalAVWUPSRV.EXE
C:ProgrammiFile comuniMicrosoft SharedVS7DEBUGMDM.EXE
C:WINDOWSSystem32
vsvc32.exe
C:WINDOWSSystem32svchost.exe
C:ProgrammiRealVNCWinVNCWinVNC.exe
C:WINDOWSExplorer.EXE
C:ProgrammiAVPersonalAVGNT.EXE
C:WINDOWSSystem32devldr32.exe
C:ProgrammiMessenger Plus! 3MsgPlus.exe
C:ProgrammiJavaj2re1.4.2_04injusched.exe
C:WINDOWSSystem32spooldriversw32x863hpztsb06.exe
C:ProgrammiConexantMC8000P ADSLCnxDslTb.exe
C:WINDOWSSystem32ctfmon.exe
C:ProgrammiMessengermsmsgs.exe
C:ProgrammiWidcommBluetooth SoftwareBTTray.exe
C:ProgrammiGigabyteGigabyte Windows Utility Managergwum.exe
C:ProgrammiWidcommBluetooth SoftwareBTStackServer.exe
C:Documents and SettingsPolDesktopHijackThis.exe

--------------------------------------------------

Listing of startup folders:

Shell folders Common Startup:
[C:Documents and SettingsAll UsersMenu AvvioProgrammiEsecuzione automatica]
Adobe Gamma Loader.lnk = C:ProgrammiFile comuniAdobeCalibrationAdobe Gamma Loader.exe
BTTray.lnk = ?
gwum.lnk = C:ProgrammiGigabyteGigabyte Windows Utility Managergwum.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogon]
UserInit = C:WINDOWSsystem32userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLMSoftwareMicrosoftWindowsCurrentVersionRun

IMJPMIG8.1 = "C:WINDOWSIMEimjp8_1IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
PHIME2002ASync = C:WINDOWSSystem32IMETINTLGNTTINTSETP.EXE /SYNC
PHIME2002A = C:WINDOWSSystem32IMETINTLGNTTINTSETP.EXE /IMEName
NvCplDaemon = RUNDLL32.EXE C:WINDOWSSystem32NvCpl.dll,NvStartup
nwiz = nwiz.exe /install
SmcService = C:PROGRA~1SygateSPFsmc.exe -startgui
AVGCtrl = C:ProgrammiAVPersonalAVGNT.EXE /min
MessengerPlus3 = "C:ProgrammiMessenger Plus! 3MsgPlus.exe"
SunJavaUpdateSched = C:ProgrammiJavaj2re1.4.2_04injusched.exe
NeroFilterCheck = C:WINDOWSsystem32NeroCheck.exe
WinVNC = "C:ProgrammiRealVNCWinVNCWinVNC.exe" -servicehelper
HPDJ Taskbar Utility = C:WINDOWSSystem32spooldriversw32x863hpztsb06.exe
Overnet = C:ProgrammiOverneteDonkey2000.exe -t
CnxDslTaskBar = C:ProgrammiConexantMC8000P ADSLCnxDslTb.exe

--------------------------------------------------

Autorun entries from Registry:
HKCUSoftwareMicrosoftWindowsCurrentVersionRun

CTFMON.EXE = C:WINDOWSSystem32ctfmon.exe
MessengerPlus3 = "C:ProgrammiMessenger Plus! 3MsgPlus.exe" /WinStart
MSMSGS = "C:ProgrammiMessengermsmsgs.exe" /background

--------------------------------------------------

Shell & screensaver key from C:WINDOWSSYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=*Registry value not found*
drivers=*Registry value not found*

Policies Shell key:

HKCU..Policies: Shell=*Registry key not found*
HKLM..Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Browser Helper Objects:

(no name) - C:ProgrammiAdobeAcrobat 5.0ReaderActiveXAcroIEHelper.ocx - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}
(no name) - C:PROGRA~1Spybot - Search & DestroySDHelper.dll - {53707962-6F74-2D53-2644-206D7942484F}

--------------------------------------------------

Enumerating Download Program Files:

[Shockwave Flash Object]
InProcServer32 = C:WINDOWSSystem32macromedflashFlash.ocx
CODEBASE = http://download.macromedia.com/pub/shoc ... wflash.cab

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: C:WINDOWSsystem32SHELL32.dll
CDBurn: C:WINDOWSsystem32SHELL32.dll
WebCheck: C:WINDOWSSystem32webcheck.dll
SysTray: C:WINDOWSSystem32stobject.dll

--------------------------------------------------
End of report, 5.402 bytes
Report generated in 0,094 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only

[sito]

No ragazzi, non và!
Dopo che ho scritto ho aperto Overnet che di solito è sempre aperto, però dato il problema era chiuso ed ora non riesco più ad usare explorer che s'incarta ed ad aprire il task manager che mi resta l'icona sulla barra ,ma non compare e non si può far comparire la finestra sul desktop.
Si blocca anche l'AntiVir se si tenta di fare una scansione.
Ma che razza di malefico virus è questo?
Ieri sera ho disattivato il firewall di xp perché ho scoperto che causava forti rallentamenti ad Overnet e gli altri utenti non riuscivano a scaricare da mè.
Però ora il Sygate lavora come un pazzo, bloccando una marea di robe che prima non c'erano (evidentemente il firewall di xp qualcosa fà).
Una domanda: ma al file ntoskrnl.exe devo o non devo dare il permesso di comunicare con l'esterno?
Ora stò scaricando l'ultima versione del Sygate, domani la installo e poi vedo cosa mi dite.

[crazy.cat]

X ligamarco
Guarda cosa è saltato fuori
http://www.symantec.com/avcenter/venc/d ... ibu.e.html

Prima devi eliminare il virus,poi se non visto male ti consiglio di eliminare norton antivirus, e poi pulisci con hijack almeno queste voci.
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R1 - HKCUSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Bar = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html
R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = file://C:DOCUME~1MarcoIMPOST~1Tempsp.html

[crazy.cat]

X sito
Il tuo log di hijackthis sembrerebbe pulito.

Scansione Online con panda
http://www.pandasoftware.com/activescan ... ncipal.htm

Oppure vai su questo indirizzo compili le risposte che ti chiedono
http://secure.nai.com/us/downloads/beta/cbt/cbt.htm
Ti scarichi il programma cleanboot che ti permette di fare un set di floppy o un cd di boot per fare una scansione dos con il mcafee.
e poi segui le istruzioni per aggiornarti le definizioni dei virus.
Da questo indirizzo http://www.networkassociates.com/it/dow ... perdat.asp
potete scaricarvi l'ultima versione del superdat sdatXXXX.exe (al posto delle xxxx ci saranno dei numeri) scegliete la versione italiana.
Mettete il file superdatXXXX.exe in una directory a parte, da start - esegui (utilizzando sfoglia cercate la vostra directory dove avete copiato il file) lanciate il comando
"D:Update AntivirussdatXXXX.exe" /e (mantenete gli " ")
questo scompatterà il file Sdatxxxx nella directory.

Cleanboot Mc.afee
Lanciate il comando Clnbtmgr.exe dalla directory dove avete installato il programma Cleanboot e vi appare la finestra principale del programma.
1) Selezionate Update DAT's vi apparirà questa finestra dove con browse andrete a selezionare la directory dove avete scompattato il Sdat.
Premete poi Update e dovrebbe comparirvi il messaggio di conferma dell'avvenuto aggiornamento.
2) Selezionate il pulsante Select language, scegliete Italian e poi premete Select.
3) In Generation Options scegliete l'opzione che volete
Write immediatly to floppy disk, al momento crea 3 floppy disk autoavviabili da cui far partire la scansione.
Cd image (ISO 9660) crea un'immagine Iso che dovrà poi essere masterizzata su un cd usando Nero burning rom o un altro software adatto a masterizzare immagini Iso.
Dato l'immagine deve essere riscritta ogni volta che si aggiorna il Sdat si consiglia di usare un cd riscrivibile.
A questo punto inserite nel pc i floppy o il cd di boot che vi siete creati e riavviate il computer.

Avvio della scansione

Una volta caricato il Sw di cleanboot avrete una schermata di scelta dove potrete modificare le seguenti opzioni
F5 Scan level : seleziona i files che verranno controllati, se messo su high saranno controllati tutti.
F6 Archive support : se On,controlla anche i files all’interno di archivi compressi
F7 Cleaning : se On, pulisce in automatico i file infetti.
F8 Logging : se On,permette di salvare il file di log della scansione su un floppy.

[sito]

Ma, proverò anche se mi sembra un po' laborioso il sitema.
Ho provato il link per la scansione col Panda, il link funziona, ma quando poi premi sul pulsante che apre la finestra dove dovrebbe fare la scanzione mi fà errore perché non trova la pagina.

[sito]

Il problema è che il sito non supporta Mozilla Firefox, con l'explorer dopo numerosi tentativi (dato che si bloccava) sono riuscito a far partire lo scan che è stato interrotto da un messaggio di errore tipo la memoria non poteva essere read... (o una cosa del genere).
Pazzesco!

[crazy.cat]

X sito
Con il secondo metodo si tratta poi di fare una scansione dos e crearsi 3 floppy con l'antivirus su.
Nel tuo caso visti i molti e strani errori forse è la cosa migliore.

[ligamarco]

Crazy ho fatto tutto quello che c'era scritto sul documento della symantec (ho seguito alla lettera) e poi ho fatto quello che mi hai detto tu, risultato: About blank. Non so perché ma è ritornata la pagina about blank, problema che ero riuscito a risolvere in qualche modo....comunque sia NAV 2004 non mi ha rilevato nessun virus (definizioni virus aggiornate al 19/06, le più aggiornate)...
Cosa dici l'ultima cosa che mi è rimasta è un FORMAT C: ???
Mi pare di aver capito che tuttora non esiste nessun rimedio efficace a questo tipo di spyware, o sbaglio???

[crazy.cat]

X ligamarco
Se vuoi fare un ultimo tentativo con questo
http://www.spywareinfo.com/~merijn/files/CWShredder.exe
X la rimozione del virus avevi disabilito il ripristino della configurazione e riavviato il pc,prima di procedere a fare tutto dalla modalità provvisoria?
Se adesso inserisci una pagina iniziale in ie, la mantiene o te la cambia?