problemi con prima installazione adsl e possibile virus

[lelepal]

Salve

ieri sono stato da un mio amico e lo ho aiutato ad installare il modem aDSL che la telecomu ha spedito. E' un modem usb Ethernet.

OS Win Xp home

Dopo vari tentativi siamo riusciti e prendere la linea e a far partire la connessione, purtroppo dopo qualche minuto è successo che improvvisamente si apriva OPERA browser (i programma era kiuso!) con tre siti (sadomaso scambisti e porno ) , e qusto è avvenuto cilclicamente x un po'. Ho passato L'antivir,e ha trovato un po' di porkerie,ho passato ad-aware,e ha trovato altre porcherie,ho passato il cwshredder e nn ha trovato nulla...il problema nn si è risolto!

Allora ho pensato che potesse mancare qualche patch importante e ho scaricato e installato quelle che mi segnalava. A questo punto sono andato via ma il mio amico mi ha comunicato che il problema persitste...

Soluzioni?

grazie

[crazy.cat]

Scansione con Spybot, controllo del file hosts (se presente) che non ci siano indirizzi strani, se non risolve ancora scansione con Hijackthis e manda qui il log della scansione.

[lelepal]

ok. puoi chiarirmi il discorso del file host?

[crazy.cat]

Oltre ad una serie di righe che iniziano con # , l'unico indirizzo che dovrebbe essere presente è
127.0.0.1 localhost
a meno che il tuo amico non sia in una rete o abbia delle particolari esigenze.

Il file si chiama hosts e dovrebbe trovarlo in C:\windows\system32\drivers\etc
lo puoi aprire con notepad.

Di solito viene sfruttato da virus e spy vari per inserire i loro indirizzi e reinderizzarti a siti di vario genere, conviene nelle proprietà del file metterlo in sola lettura così è più difficile farci entrare indirizzi di vario genere.

Senza che fai da tramite,può iscriversi al forum pure il tuo amico (se vuole) così le risposte gli arrivano direttamente a lui più velocemente.

[Diablo]

Oltre ad una serie di righe che iniziano con # , l'unico indirizzo che dovrebbe essere presente è
127.0.0.1 localhost
a meno che il tuo amico non sia in una rete o abbia delle particolari esigenze.

io non mi dimenticherei dei .bat. magari è lo scherzo di qualche collega

Senza che fai da tramite,può iscriversi al forum pure il tuo amico (se vuole) così le risposte gli arrivano direttamente a lui più velocemente.

cerchiamo nuovi utenti eh?

[crazy.cat]

Che male c'è.
Mica deve pagare o sottoporsi a delle torture.
Più amici siamo meglio è......

[Diablo]

Che male c'è.
Mica deve pagare o sottoporsi a delle torture.
Più amici siamo meglio è......

in realtà volevo approvare comunque mi chiedevo perché solo quando si apre opera?

[lelepal]

allora con spybot rimosse altre porcherie ma nulla...ecco il risultato di hijack

Logfile of HijackThis v1.98.2
Scan saved at 15.32.16, on 23/10/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\AVPersonal\AVGUARD.EXE
C:\Programmi\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\carpserv.exe
C:\Programmi\Analog Devices\SoundMAX\SMTray.exe
C:\Programmi\Messenger Plus! 2\MsgPlus.exe
C:\Programmi\AVPersonal\AVGNT.EXE
C:\Programmi\SlySoft\AnyDVD\AnyDVD.exe
C:\Programmi\Java\jre1.5.0\bin\jusched.exe
C:\Programmi\D-Tools\daemon.exe
C:\WINDOWS\System32\Yahoo.exe
C:\WINDOWS\System32\module.exe
C:\WINDOWS\System32\msie.exe
C:\WINDOWS\System32\esseraj.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programmi\Nikon\NkView6\NkvMon.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Programmi\MSN Messenger\msnmsgr.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\marco\Impostazioni locali\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://gw.aliceadsl.it/minisearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://lelepal.altervista.org/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://gw.aliceadsl.it/home
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.olidata.it/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da Alice
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: DAPHelper Class - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\Programmi\DAP\DAPBHO.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\Programmi\DAP\DAPIEBar.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Smapp] C:\Programmi\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Programmi\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programmi\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [AnyDVD] C:\Programmi\SlySoft\AnyDVD\AnyDVD.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programmi\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Yahoo Update] Yahoo.exe
O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\ycatv.exe
O4 - HKLM\..\Run: [Windows Security Module] module.exe
O4 - HKLM\..\Run: [Microsoft upnp Update] msie.exe
O4 - HKLM\..\Run: [Network Manager] esseraj.exe
O4 - HKLM\..\RunServices: [Yahoo Update] Yahoo.exe
O4 - HKLM\..\RunServices: [Windows Security Module] module.exe
O4 - HKLM\..\RunServices: [Microsoft upnp Update] msie.exe
O4 - HKLM\..\RunServices: [Network Manager] esseraj.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Programmi\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Windows Security Module] module.exe
O4 - HKCU\..\Run: [Yahoo Update] Yahoo.exe
O4 - HKCU\..\Run: [Network Manager] esseraj.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: NkvMon.exe.lnk = C:\Programmi\Nikon\NkView6\NkvMon.exe
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: &Google Search - res://c:\programmi\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Collegamenti a ritroso - res://c:\programmi\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Pagine simili - res://c:\programmi\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://c:\programmi\google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE
O9 - Extra button: Alice - {54A6C76A-173E-4DB2-B785-A4902A1179D9} - http://gw.aliceadsl.it/alice (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://gw.aliceadsl.it/home
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/ms ... b28177.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 8461707812
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b28177.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0857CEC3-D8CD-4D25-8E1D-A43C116778B1}: NameServer = 217.141.250.206 151.99.125.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0857CEC3-D8CD-4D25-8E1D-A43C116778B1}: NameServer = 217.141.250.206 151.99.125.1

ha anche dei problemi di linea x questo ancora nn si è potuto iscrivere...

[lelepal]

ecco il file hosts....vuoto ad una prima okkiata

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Questo è un esempio di file HOSTS usato da Microsoft TCP/IP per Windows.
#
# Questo file contiene la mappatura degli indirizzi IP ai nomi host.
# Ogni voce dovrebbe occupare una singola riga. L'indirizzo IP dovrebbe
# trovarsi nella prima colonna seguito dal nome host corrispondente.
# L'indirizzo e il nome host dovrebbero essere separati da almeno uno spazio
# o punto di tabulazione.
#
# È inoltre possibile inserire commenti (come questi) nelle singole righe
# o dopo il nome del computer caratterizzato da un simbolo '#'.
#
# Per esempio:
#
# 102.54.94.97 rhino.acme.com # server origine
# 38.25.63.10 x.acme.com # client host x

127.0.0.1 localhost

[Diablo]

ecco il file hosts....vuoto ad una prima okkiata
127.0.0.1 localhost

si a me sembra tutto ok riprova un po' con ad-aware

[crazy.cat]

Direi che in poco tempo è riuscito a beccarsi parecchia roba.
Apre Opera perché ha qualche virus trojan dentro che vuole collegarsi al suo bel sito porno per aprirti le sue paginette

Sconosciuti
O4 - HKLM\..\Run: [Cryptographic Service] C:\WINDOWS\System32\ycatv.exe
O4 - HKLM\..\Run: [Windows Security Module] module.exe
O4 - HKLM\..\Run: [Network Manager] esseraj.exe

2 Virus
http://www.pestpatrol.com/pestinfo/f/fa ... yahoo_.asp
O4 - HKLM\..\Run: [Yahoo Update] Yahoo.exe

http://vil.nai.com/vil/content/v_98486.htm
O4 - HKLM\..\Run: [Microsoft upnp Update] msie.exe

Direi che la soluzione migliore e di seguire questo articolo
http://www.zanezane.net/articoli.asp?id=187
perché mi sa che ci sia anche dell'altro che gira in quel pc.
Disabilita il ripristino della configurazione e riavvia il pc con il cd di cleanboot e pulisci tutto.
Devono sparire le voci che ti ho indicato sopra.

[lelepal]

evviva!!

come faccio a disabilitare il rispristino della configurazione?

[crazy.cat]

In arrivo articolo più dettagliato anche per questa operazione. Comunque fai così:

1. Fare clic su Start -> Impostazioni -> Pannello di controllo -> Sistema -> Ripristino configurazione di sistema
2. Selezionare "Disattiva Ripristino configurazione di sistema" oppure "Disattiva Ripristino configurazione di sistema su tutte le unità"
E' importante che vengano disattivati tutti gli hard disk/partizioni presenti nel vostro pc.
3. Fare clic su Applica. Viene visualizzato il messaggio: Con quest'azione vengono eliminati tutti i punti di ripristino esistenti. Fare clic su SÌ per eseguire.

Dimenticavo,il file hosts è a posto.

[lelepal]

e dopo la passata lo riattivo?

nn è che muore l'hard disk vero?!?!!?

Poi a quello chi lo sente!!!!

[Diablo]

Dimenticavo,il file hosts è a posto.

glielo avevo detto prima io! comunque c'è un 3D oppure una sezione
del sito dove trovare gli articoli in arrivo?

[crazy.cat]

Lo puoi riattivare, serve a windows per salvare tutte le modifiche che fai quando installi programmi sul pc.
E serve ai virus per nascondersi li dentro quando windows li salva.
(Utilità di questa funzione secondo me 0, ti mangia oltre tutto molto spazio del hd)
Ma se la vuole usare riattiva pure tutto.