Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

Non riesco a rimuovere lo spyware

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

Non riesco a rimuovere lo spyware

Messaggioda ligamarco » lun ott 16, 2006 8:04 pm

Ciao, usando internet explorer mi sono beccato un bello spyware che mi apre una seconda finestra di explorer con della pubblicità ogni volta che navigo usando explorer...
Ho provato a rimuoverlo usando adaware,spybot S&D,Spyware terminator...
ma niente è rimasto lì [cry+]

Qualcuno ha avuto lo stesso problema? Come posso risolverlo?

Grazie.
Avatar utente
ligamarco
Senior Member
Senior Member
 
Messaggi: 229
Iscritto il: mar ago 05, 2003 3:47 pm

Messaggioda Amantide » lun ott 16, 2006 8:17 pm

Cosi all'occhio direi che ti sei beccato anche tu il LinkOptimizer.
Postaci il log della scansione con Hijackthis e vediamo se è veramente cosi.
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda ligamarco » lun ott 16, 2006 8:26 pm

ok!

Logfile of HijackThis v1.99.1
Scan saved at 12.24.57, on 16/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Luca\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Dvdnameknobburn] C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\stop meal.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [Frag01] C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{9785D5AB-4D13-4030-9783-CA31A0371838}: NameServer = 192.168.0.200
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
Avatar utente
ligamarco
Senior Member
Senior Member
 
Messaggi: 229
Iscritto il: mar ago 05, 2003 3:47 pm


Messaggioda Amantide » lun ott 16, 2006 8:49 pm

Sembra un po' mozzato questo log.

Rifai la scansione, seleziona queste 2 voci e premi Fix Checked:
O4 - HKCU\..\Run: [Frag01] C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe
O4 - HKLM\..\Run: [Dvdnameknobburn] C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\stop meal.exe
Vai su task manager (CTRL+Alt+Canc) e termina questi 2 processi: TRAY MAIL.exe e stop meal.exe.
Ora vai su Pannello di controllo-->Opzioni cartella--> Visualizzazione ed abilita la visualizzazione dei file nascosti. Fatto ciò, elimina questi file in rosso, compresi di cartella:
C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\stop meal.exe
C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe, il suo percorso esatto dovrebbe essere questo:
C:\Documents and Settings\Luca\Dati applicazioni\bitsme....\tray mail.exe
Se non riesci a trovarlo, usa il Cerca di windows, abilitando in Avanzate la ricerca fra i file nascosti.
Se avrai i problemi ad eliminare questi file usa Unlocker. Dopo di che fai la scansione completa con A-Squared (i link per scaricare questi programmi, li trovi sul Google).
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda ligamarco » lun ott 16, 2006 10:49 pm

Perfetto, ha funzionato!!! Grazie 1000!!!!!
Posso sapere come hai fatto ad individuare quali fossero le voci da eliminare? Almeno la prossima volta potrò essere autonomo...

Grazie ancora.
Ciao.
Avatar utente
ligamarco
Senior Member
Senior Member
 
Messaggi: 229
Iscritto il: mar ago 05, 2003 3:47 pm

Messaggioda Amantide » lun ott 16, 2006 10:56 pm

Erano le voci, che non avevo mai visto prima, e facendo la ricerca sul google, ho scoperto che stop meal.exe è uno dei tanti nomi che assume l'adware Lop.BHO. Invece il secondo .exe dovrebbe essere un' infezione recente, non si trova nessun riferimento da nessuna parte.

Mi togli una curiosità? Puoi postare per piacere il nuovo log di hijackthis? Vorrei vedere se il primo log era "mozzato" per colpa di quel adware.
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda ligamarco » mar ott 17, 2006 2:22 am

Certo!

Logfile of HijackThis v1.99.1
Scan saved at 18.07.28, on 16/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
c:\progra~1\intern~1\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\Luca\Desktop\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {1F603AED-3839-0008-3A2A-5F3FF549CF0A} - C:\DOCUME~1\Luca\DATIAP~1\GREATF~1\deaf part.exe
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Dvdnameknobburn] C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\Four Wipe.exe
O4 - HKCU\..\Run: [swg] C:\Programmi\Google\GoogleToolbarNotifier\1.2.908.5008\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Frag01] C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{9785D5AB-4D13-4030-9783-CA31A0371838}: NameServer = 192.168.0.200
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


E' ricomparso il TRAY MAIL e con esso il malware.... [cry+]
Avatar utente
ligamarco
Senior Member
Senior Member
 
Messaggi: 229
Iscritto il: mar ago 05, 2003 3:47 pm

Messaggioda Amantide » mar ott 17, 2006 2:37 am

ligamarco ha scritto:E' ricomparso il TRAY MAIL e con esso il malware.... [cry+]

Sono comparse anche alcune voci mancanti e con loro altri file infetti.
Fixa queste voci ed elimina i file in rosso, comprese le cartelle in quali si trovano questi file:
O2 - BHO: (no name) - {1F603AED-3839-0008-3A2A-5F3FF549CF0A} - C:\DOCUME~1\Luca\DATIAP~1\GREATF~1\deaf part.exe
O4 - HKLM\..\Run: [Dvdnameknobburn] C:\Documents and Settings\All Users\Dati applicazioni\Forktooldvdname\Four Wipe.exe
O4 - HKCU\..\Run: [Frag01] C:\DOCUME~1\Luca\DATIAP~1\BITSME~1\TRAY MAIL.exe

Ora devi andare in regedit, apri Modifica--> Trova ed uno alla volta inserisci questi valori, tutto ciò che sarà trovato dev'essere eliminato. Prima di fare le modifiche al registro, fai una sua copia dal File--> Esporta.
Allora, le parole/valori da ricercare ed eliminare cono questi:
{1F603AED-3839-0008-3A2A-5F3FF549CF0A}
deaf part.exe
Four Wipe.exe
TRAY MAIL.exe
stop meal.exe
Frag01
Dvdnameknobburn
Forktooldvdname
BITSME...
. (vedi il nome completo di questa cartella)

P.S. Dimenticavo, un altra voce sospetta è quella:
c:\progra~1\intern~1\iexplore.exe
Non è il solito C:\Programmi\Internet Explorer\iexplore.exe e mi puzza strano.
Prova con Cerca di XP ricercare tutti i file iexplore.exe e vedi se si trova più di uno. Non dimenticare di spuntare in Avanzate la ricerca fra i file nascosti.
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda ligamarco » mer ott 18, 2006 7:57 pm

Ok, grazie. Per ora sembra tenere botta.
Se c'è qualcosa di strano ti faccio sapere...

Grazie 1000!!!!!!!
Avatar utente
ligamarco
Senior Member
Senior Member
 
Messaggi: 229
Iscritto il: mar ago 05, 2003 3:47 pm


Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Bing [Bot] e 1 ospite

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising