Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

Dirottamento ricerche con google e hijackthis e hijacker

Un virus si è intromesso nel tuo computer? Vuoi navigare in tutta sicurezza? Sono sicure le transazione online? Come impedire a malintenzionati di intromettersi nel tuo pc? Come proteggere i tuoi dati? Qui trovi le risposte a queste ed altre domande

Dirottamento ricerche con google e hijackthis e hijacker

Messaggioda vash183 » ven ott 20, 2006 5:55 am

Ho questo problema da diverse settimane, e non riesco a trovarne la causa.
Praticamente quando faccio una ricerca con google e poi premo su di un risultato non mi apre la pagina giusta, e mi dirotta verso altri siti. ho pravato ad usare adaware antivirus e hijackthis, e apparentemente il problema sembrava risolto, poi in seguito è tornato, ma questa volta neanche con hijack this sono riuscito a trovare una possibile causa

vi posto il log di hijackthis per vedere se trovate qualcosa che mi è sfuggito o se avete qualche altro consiglio da darmi

Logfile of HijackThis v1.99.1
Scan saved at 21.46.46, on 19/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Jacopo\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{774CA453-935F-4B47-B145-1BFBD8797F1D}: NameServer = 193.70.152.25,193.70.152.15
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
Avatar utente
vash183
Neo Iscritto
Neo Iscritto
 
Messaggi: 8
Iscritto il: ven ott 20, 2006 4:59 am

Messaggioda kap » ven ott 20, 2006 6:05 am

il problema che mi è saltato subito all'occio è questo--> C:\WINDOWS\system32\csrss.exe

Codice: Seleziona tutto
Con la funzione trova, cerchiamo ed eliminiamo anche dal cestino il file csrss.exe.

Portarsi in HKEY_LOCAL_MACHINESoftwareMicrosoftWindows CurrentVersionRun ed eliminare dal pannello di dx il valore BagleAV


http://www.ilsoftware.it/av.asp?ID=102
In bocca al lupo per tutto ragazzi
Avatar utente
kap
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 2876
Iscritto il: lun ott 09, 2006 11:10 am
Località: car el me car milan

Messaggioda vash183 » ven ott 20, 2006 6:17 am

sei sicuro che sia quello? perché il file csrss.exe ce l'ho in un altro pc che non mi dà questi problemi. tra l'altro facendo una scansione del file con Antivir non mi trova niente.

vorrei esserne certo prima di cancellare un file di sistema.
Avatar utente
vash183
Neo Iscritto
Neo Iscritto
 
Messaggi: 8
Iscritto il: ven ott 20, 2006 4:59 am


Messaggioda Amantide » ven ott 20, 2006 6:22 am

Prova ad usare anche questo tool di rimozione: W32.Netsky@mm Removal Tool
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda Amantide » ven ott 20, 2006 6:28 am

vash183 ha scritto:sei sicuro che sia quello? perché il file csrss.exe ce l'ho in un altro pc che non mi dà questi problemi. tra l'altro facendo una scansione del file con Antivir non mi trova niente.

vorrei esserne certo prima di cancellare un file di sistema.

Hai ragione (mi dico sempre di non rispondere la sera, che manca la concentrazione [sedia] )
Il file csrss.exe è dannoso se si trova in C:\Windows\ , in C:\Windows\system32\ è un file leggittimo (Microsoft Client/Server Runtime Server Subsystem).
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda vash183 » ven ott 20, 2006 6:31 am

tra l'altro internet explorer non mi apre la pagina della symatec, ed ho dovuto scaricare il tool da un'altro pc...non credo che questo sia un buon segno
Avatar utente
vash183
Neo Iscritto
Neo Iscritto
 
Messaggi: 8
Iscritto il: ven ott 20, 2006 4:59 am

Messaggioda Amantide » ven ott 20, 2006 6:34 am

Nel log non si vede niente di pericoloso, potrebbe essere una variante di LinkOptimizer. Scarica ed aggiorna VirIt della TGSoft e fai la scansione, per altri dettagli leggi il topic in rilievo.
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda kap » ven ott 20, 2006 6:35 am

azzzz....allora la cavolata l'ho detta io stavolta...sorry vash [banned]
In bocca al lupo per tutto ragazzi
Avatar utente
kap
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 2876
Iscritto il: lun ott 09, 2006 11:10 am
Località: car el me car milan

Messaggioda vash183 » ven ott 20, 2006 6:51 am

fatta la scansione con W32.Netsky@mm Removal Tool e non ha rilevato nulla.provo con l'ultima soluzione proposta e poi vi sò dire
Avatar utente
vash183
Neo Iscritto
Neo Iscritto
 
Messaggi: 8
Iscritto il: ven ott 20, 2006 4:59 am

Messaggioda vash183 » ven ott 20, 2006 6:54 pm

ho fatto la scansione con il tool di symatec per il linkoptimizer e non ha trovato niente, poi ho fatto la scansione con virit ed ha trovato qualcosa in un registro e l'ha cortretto. però il problema persisteva.

navigando mi sono accorto che il dirottamento me lo faceva solo con i siti che avevo già cliccato in precedenza, allora ho cancellato i file temporanei di internet, i cookies, e anche la cronologia, e adesso sembra che funzioni. Comunque farò qualche giorno di prova prima di esserne certo.

però il sito della symantec non me lo apre ancora
Avatar utente
vash183
Neo Iscritto
Neo Iscritto
 
Messaggi: 8
Iscritto il: ven ott 20, 2006 4:59 am

Messaggioda vash183 » ven ott 20, 2006 7:05 pm

come non detto, il problema è ritornato. si era risolto solo apparentemente.

alcuni siti li apre correttamente, a volte fà il dirottamento altre no..non ci capisco più niente

ho notato che a volte si dirige su questo server

http://85.255.116.218/click.php?PHPSESS ... d=1&qnaes={5FADFA2A-DE01-4032-A3A1-5676DC31BE5B}

e pio si dirige sui siti di dirottamento

tipo

robogold.biz
mov-x-archne.com

e altri, che comunque cambiano di volta in volta
Avatar utente
vash183
Neo Iscritto
Neo Iscritto
 
Messaggi: 8
Iscritto il: ven ott 20, 2006 4:59 am

Messaggioda Amantide » ven ott 20, 2006 7:25 pm

Il dirottamento verso robogold.biz indica proprio la presenza di LinkOptimizer.
Per prima cosa evita di usare IE, passa al Firefox od Opera. Poi scarica ed installa tutti gli aggiornamenti per windows. Assicurati di aver aggiornato VirIt e rifai la scansione. Prova anche questo tool di rimozione della Prevx http://www.prevx.com/gromozon.asp e alla fine posta il nuovo log di hijackthis.
Ultima modifica di Amantide il ven ott 20, 2006 7:29 pm, modificato 1 volta in totale.
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda crazy.cat » ven ott 20, 2006 7:27 pm

Scansioni con A2 squared, superantispyware o ewido e vediamo cosa trovano.
Poi eventualmente passiamo alla ricerca dei virus.
Avatar utente
crazy.cat
MLI Hero
MLI Hero
 
Messaggi: 30959
Iscritto il: lun gen 12, 2004 1:38 pm
Località: Mestre

Messaggioda vash183 » ven ott 20, 2006 8:21 pm

ho fatto come da consiglio da amantide, ma nessun cambiamento di rilievo, ora uso firefox e vediamo se le cose cambiano.questo è il log come richiesto. poi proverò anche le scansioni consigliate da crazy.


Logfile of HijackThis v1.99.1
Scan saved at 12.19.29, on 20/10/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\VEXPLITE\viritsvc.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Documents and Settings\Jacopo\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File comuni\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [VIRIT LITE MONITOR] C:\VEXPLITE\MONLITE.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{774CA453-935F-4B47-B145-1BFBD8797F1D}: NameServer = 193.70.152.25,193.70.152.15
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: Virit eXplorer Lite (viritsvclite) - TG Soft Sas www.tgsoft.it - C:\VEXPLITE\viritsvc.exe
Avatar utente
vash183
Neo Iscritto
Neo Iscritto
 
Messaggi: 8
Iscritto il: ven ott 20, 2006 4:59 am

Messaggioda Amantide » sab ott 21, 2006 3:06 am

Anche nel nuovo log non si vede nulla di sospetto. Ti posso consigliare solo di installare un buon firewall: Comodo o Zone Allarm; Spyware terminator per la protezione in tempo reale, scarica regolarmente tutti gli aggiornamenti per windows ed usa il browser diverso da IE.
Magari fra qualche giorno se il problema persiste, fai di nuovo la scansione con Hijackthis e vedremo se si potrà intravedere qualcosa.
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda vash183 » sab ott 21, 2006 3:39 am

ho fatto la scansione con i programmi di crazy, ed hanno trovato qualcosa, che è stat opportunamente eliminata.

attualmenete, stò usando firefox e mi sembra che non presenti il problema di dirottamento, anche se continua ad non aprirmi il sito della symantec.

vedremo più avanti, ed in caso interverremo a dovere.

il fatto che non si noti niente di strano e che presenti i sintomi di linkoptimizer pptrebbe essere dato dal fatto che in passato non sia stato rimosso correttamente?
Avatar utente
vash183
Neo Iscritto
Neo Iscritto
 
Messaggi: 8
Iscritto il: ven ott 20, 2006 4:59 am

Messaggioda Amantide » sab ott 21, 2006 5:33 am

Potrebbe essere dovuto anche a qualche variante "invisibile" di LO, visto che ne esce una variante nuova ogni 2-3 giorni.
Intanto segui i nostri consigli e vedi come va.
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Messaggioda eL_MisiO » dom nov 05, 2006 5:41 pm

hallo,

i´ve get the same problem like you vash183 please try this F-Secure Blacklight form this Url

http://www.europe.f-secure.com/exclude/blacklight/index.shtml
Avatar utente
eL_MisiO
Neo Iscritto
Neo Iscritto
 
Messaggi: 1
Iscritto il: dom nov 05, 2006 5:29 pm


Torna a Sicurezza

Chi c’è in linea

Visitano il forum: Nessuno e 3 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising