[ComboFix] guardate che LOG...

[The Doctor]

Ho appena finito di passare ComboFix su un portatile... guardate che LOG

ComboFix 12-07-19.01 - PERINI 19/07/2012 15:15:50.1.4 - x64 NETWORK
Microsoft Windows 7 Home Premium 6.1.7600.0.1252.39.1040.18.3956.3253 [GMT 2:00]
Eseguito da: c:\users\MATTEO\Desktop\ComboFix.exe
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
* Creato nuovo punto di ripristino
.
.
((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\program files (x86)\BrowserCompanion
c:\program files (x86)\BrowserCompanion\BCHelper.exe
c:\program files (x86)\BrowserCompanion\blabbers-ch.crx
c:\program files (x86)\BrowserCompanion\blabbers-ff-full.xpi
c:\program files (x86)\BrowserCompanion\jsloader.dll
c:\program files (x86)\BrowserCompanion\logo.ico
c:\program files (x86)\BrowserCompanion\sqlite3.dll
c:\program files (x86)\BrowserCompanion\tdataprotocol.dll
c:\program files (x86)\BrowserCompanion\toolbar.dll
c:\program files (x86)\BrowserCompanion\uninstall.exe
c:\program files (x86)\BrowserCompanion\updatebhoWin32.dll
c:\program files (x86)\BrowserCompanion\updatebhoWin32.dll_1
c:\program files (x86)\BrowserCompanion\updatebhoWin32.dll_2
c:\program files (x86)\BrowserCompanion\updater.ini
c:\program files (x86)\BrowserCompanion\widgetserv.exe
c:\program files (x86)\Common Files\packardbell.ico
c:\program files (x86)\OfferBox
c:\program files (x86)\OfferBox\install.log
c:\program files (x86)\OfferBox\install.xml
c:\program files (x86)\OfferBox\language.xml
c:\program files (x86)\OfferBox\OfferBox.exe
c:\program files (x86)\OfferBox\OfferBoxHTTPProxy.exe
c:\program files (x86)\OfferBox\OfferBoxUpdateService.exe
c:\program files (x86)\OfferBox\uninstaller.exe
c:\program files (x86)\ShopperReports3
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\BRNStie.dll
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\CmndFF.dll
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\CntntCntr.dll
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\firefox\firefoxtoolbar\extensions\chrome.manifest
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\firefox\firefoxtoolbar\extensions\chrome\firefoxtoolbar.jar
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\firefox\firefoxtoolbar\extensions\components\BRNstFF.dll
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\firefox\firefoxtoolbar\extensions\components\BRNstFF.xpt
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\firefox\firefoxtoolbar\extensions\install.rdf
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\link.ico
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\moZIllaps.dll
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\Pltfrm.dll
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\ShopperReports.dll
c:\program files (x86)\ShopperReports3\bin\3.0.489.0\ShopperReportsUninstaller.exe
c:\programdata\AMMYY
c:\programdata\AMMYY\hr
c:\programdata\AMMYY\hr3
c:\programdata\AMMYY\settings3.bin
c:\programdata\FullRemove.exe
c:\programdata\Microsoft\Windows\Start Menu\Programs\ShopperReports
c:\programdata\Microsoft\Windows\Start Menu\Programs\ShopperReports\About Us.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\ShopperReports\Customer Support.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\ShopperReports\ShopperReports Uninstall Instructions.lnk
c:\users\MATTEO\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
c:\users\MATTEO\AppData\Roaming\OfferBox
c:\users\MATTEO\AppData\Roaming\OfferBox\config.xml
c:\users\MATTEO\AppData\Roaming\OfferBox\http_app.offerbox.com\country.sxe
c:\users\MATTEO\AppData\Roaming\OfferBox\http_app.offerbox.com\extracountry.sxe
c:\users\MATTEO\AppData\Roaming\OfferBox\http_app.offerbox.com\history.db
c:\users\MATTEO\AppData\Roaming\OfferBox\http_app.offerbox.com\profile.sxe
c:\users\MATTEO\AppData\Roaming\OfferBox\http_app.offerbox.com\update.sxe
c:\users\MATTEO\AppData\Roaming\OfferBox\http_app.offerbox.com\update.xml
c:\users\MATTEO\AppData\Roaming\OfferBox\temp.ico
c:\users\MATTEO\Favorites\groupon.url
c:\users\NICOLETTA\AppData\Roaming\OfferBox
c:\users\NICOLETTA\AppData\Roaming\OfferBox\config.xml
c:\users\NICOLETTA\AppData\Roaming\OfferBox\http_app.offerbox.com\country.sxe
c:\users\NICOLETTA\AppData\Roaming\OfferBox\http_app.offerbox.com\extracountry.sxe
c:\users\NICOLETTA\AppData\Roaming\OfferBox\http_app.offerbox.com\history.db
c:\users\NICOLETTA\AppData\Roaming\OfferBox\http_app.offerbox.com\profile.sxe
c:\users\NICOLETTA\AppData\Roaming\OfferBox\http_app.offerbox.com\update.sxe
c:\users\NICOLETTA\AppData\Roaming\OfferBox\http_app.offerbox.com\update.xml
c:\users\PERINI\AppData\Roaming\HBLite
c:\users\PERINI\AppData\Roaming\OfferBox
c:\users\PERINI\AppData\Roaming\OfferBox\config.xml
c:\users\PERINI\AppData\Roaming\OfferBox\http_app.offerbox.com\country.sxe
c:\users\PERINI\AppData\Roaming\OfferBox\http_app.offerbox.com\extracountry.sxe
c:\users\PERINI\AppData\Roaming\OfferBox\http_app.offerbox.com\history.db
c:\users\PERINI\AppData\Roaming\OfferBox\http_app.offerbox.com\profile.sxe
c:\users\PERINI\AppData\Roaming\OfferBox\http_app.offerbox.com\update.sxe
c:\users\PERINI\AppData\Roaming\OfferBox\http_app.offerbox.com\update.xml
c:\users\PERINI\AppData\Roaming\ShopperReports3
c:\windows\Temp\log.txt
.
.

Ora gli do una passata con MBAM, che è meglio

[farbix89]

Io passerei direttamente a dd

[The Doctor]

Ecco il LOG di MBAM, alcune voci non sono spuntate per la rimozione (PUP.Blabbers). Che faccio, rimuovo tutto ciò che ha trovato?

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Versione database: v2012.07.19.10

Windows 7 x64 NTFS
Internet Explorer 9.0.8112.16421
PERINI :: PERINI-PC [amministratore]

19/07/2012 15:51:22
mbam-log-2012-07-19 (15-54-56).txt

Tipo di scansione: Scansione veloce
Opzioni di scansione attive: Memoria | Esecuzione automatica | Registro | File system | Euristica/Extra | Euristica/Shuriken | PUP | PUM
Opzioni di scansione disattivate: P2P
Elementi esaminati: 234935
Tempo impiegato: 2 minuti, 34 secondi

Processi rilevati in memoria: 0
(non sono stati rilevati elementi nocivi)

Moduli di memoria rilevati: 0
(non sono stati rilevati elementi nocivi)

Chiavi di registro rilevate: 27
HKCR\AppID\{0D82ACD6-A652-4496-A298-2BDE705F4227} (Adware.ClickPotato) -> Nessuna azione intrapresa.
HKCR\AppID\{7025E484-D4B0-441a-9F0B-69063BD679CE} (Adware.ClickPotato) -> Nessuna azione intrapresa.
HKCR\AppID\{8258B35C-05B8-4c0e-9525-9BCCC70F8F2D} (Adware.ClickPotato) -> Nessuna azione intrapresa.
HKCR\AppID\{A89256AD-EC17-4a83-BEF5-4B8BC4F39306} (Adware.ClickPotato) -> Nessuna azione intrapresa.
HKCR\CLSID\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Nessuna azione intrapresa.
HKCR\TypeLib\{955B782E-CDC8-4CEE-B6F6-AD7D541A8D8A} (PUP.Blabbers) -> Nessuna azione intrapresa.
HKCR\Interface\{9F0C17EB-EF2C-4278-9136-2D547656BC03} (PUP.Blabbers) -> Nessuna azione intrapresa.
HKCR\updatebho.TimerBHO.1 (PUP.Blabbers) -> Nessuna azione intrapresa.
HKCR\updatebho.TimerBHO (PUP.Blabbers) -> Nessuna azione intrapresa.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Nessuna azione intrapresa.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Nessuna azione intrapresa.
HKCR\Typelib\{ACC62306-9A63-4864-BD2F-C8825D2D7EA6} (Adware.ClickPotato) -> Nessuna azione intrapresa.
HKCR\Interface\{21BA420E-161C-413A-B21E-4E42AE1F4226} (Adware.ClickPotato) -> Nessuna azione intrapresa.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A078F691-9C07-4AF2-BF43-35E79EECF8B7} (Adware.Softomate) -> Nessuna azione intrapresa.
HKCR\ShopperReports.HbAx (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\ShopperReports.HbAx.1 (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\ShopperReports.HbInfoBand (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\ShopperReports.HbInfoBand.1 (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\ShopperReports.IEButton (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\ShopperReports.IEButton.1 (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\ShopperReports.IEButtonA (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\ShopperReports.IEButtonA.1 (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\ShopperReports.RprtCtrl (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\ShopperReports.RprtCtrl.1 (Adware.ShopperReports) -> Nessuna azione intrapresa.
HKCR\PROTOCOLS\HANDLER\BASE64 (PUP.Blabbers) -> Nessuna azione intrapresa.
HKCR\PROTOCOLS\HANDLER\CHROME (PUP.Blabbers) -> Nessuna azione intrapresa.
HKCR\PROTOCOLS\HANDLER\PROX (PUP.Blabbers) -> Nessuna azione intrapresa.

Valori di registro rilevati: 4
HKCR\protocols\Handler\base64|CLSID (PUP.Blabbers) -> Dati: {5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} -> Nessuna azione intrapresa.
HKCR\protocols\Handler\chrome|CLSID (PUP.Blabbers) -> Dati: {5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} -> Nessuna azione intrapresa.
HKCR\protocols\Handler\prox|CLSID (PUP.Blabbers) -> Dati: {5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} -> Nessuna azione intrapresa.
HKLM\SOFTWARE\Mozilla\Firefox\extensions|ShopperReports@ShopperReports.com (ShopperReports) -> Dati: C:\Program Files (x86)\ShopperReports3\bin\3.0.489.0\firefox\firefoxtoolbar\extensions -> Nessuna azione intrapresa.

Voci rilevate nei dati di registro: 0
(non sono stati rilevati elementi nocivi)

Cartelle rilevate: 0
(non sono stati rilevati elementi nocivi)

File rilevati: 0
(non sono stati rilevati elementi nocivi)

(fine)

[Uomo_Senza_Sonno]

Direi di si

[The Doctor]

Perfetto, grazie. Un po' di pulizia è stata fatta. Il PC non ha neanche antivirus (ci sono tracce di Norton Internet Security che sto rimuovendo tramite tool), poi ne installerò uno.

Qualche consiglio sul da farsi?

[hashcat]

Ulteriore pulizia con Adwcleaner:

http://www.MegaLab.it/7845/

e una scansione completa con HitmanPro:

http://dl.surfright.nl/HitmanPro36_x64.exe

[The Doctor]

Grazie hashcat, procedo

[The Doctor]

Tutto pulito

[farbix89]

Rimetti Norton o installi un AV gratis?

[The Doctor]

Norton era stato già disinstallato, probabile che sia stata una di quelle versioni preinstallate con scadenza a 30/90 giorni.

Gli ho messo l'ultimo Nod32 5.2 trial