Punto informatico Network
Login Esegui login | Non sei registrato? Iscriviti ora (è gratuito!)
Username: Password:
  • Annuncio Pubblicitario

Si puo' avere un file.exe pur non avendolo mai installato?

Office fa le bizze? Photoshop non funziona più? Forse possiamo darti una mano...

Si puo' avere un file.exe pur non avendolo mai installato?

Messaggioda laylaandbirba » sab dic 06, 2008 8:58 pm

Allora vi spiego: non avendo piu la connessione che il mio pc non andava, mio marito ieri ha provato a pulirlo. Ha trovato 2 virus ma oltre a quello ha trovato il file per chattare mirc. Lui dice che e' stato installato e poi cancellato e che l'ultima volta che e' stato usato era 22 novembre 2008 ore 19.42 ma che e' stato disinstallato ma che sono rimaste delle tracce. In piu i canali che e' stato accesso sono eu america e uk. Essendo inglese, ho tutto contro. L'unica cosa che mi salva e' che scrivevano in penso spagnolo o lingue tipo slovene, non si capiva. Ma lui rimane in dubbio non so come trovare la possibilita' ad uscire da questo casino. Ho scaricato un file 2 volte da una mail che yahoo mi diceva che non c'era virus, e' era una mail strana perche' il sito dove mi indirizzo solitamente per vedere le cartoline che uno manda, non mi ha indirizzato li' ma appunto mi ha fatto scaricare questa cosa che nel pc non so che fine ha fatto e la mail non c'e' l'ho piu perche' ho creduto che fosse una solita mail finta. E' l'unica che mi viene da pensare. Se qualcuno esperto di software e queste cose qui mi puo' dire se e' possibile che ho avuto questo file senza che io sappia di averlo mai scaricato e meno che meno usato. Siccome sono in buona fede, non so come discolparmi.

L'ho formattato a settembre di quest'anno, non lo usa nessuno. Che io abbia scaricato dei .exe a casaccio da settembre ad adesso e' successo 2 volte per un casino online, 2 volte da una mail che mi diceva che avevo una cartolina da guardare su un sito kisseo. ma invece di indirizzarmi li mi ha fatto scaricare una cosa che ho aperto ma non si vedeva niente. Altre cose, non so, ho fatto copia incolla dai siti e poi ho scaricato video con real player da youtube, ho scaricato foto ma erano su richiesta mia da una mail e quindi non credo. Ho scaricato webmediaplayer, inseminator per the sims2, emule, real player, irfanview (che e' per modificare foto), mp3, adobe, e basta

da quello che dice mio marito, si vede sul pannello di controllo che c'e' questo mirc ma non e' installato. Quindi, stando a quel che dice lui, e' stato installato e poi cancellato
Un ringraziamento in anticipo
Avatar utente
laylaandbirba
Neo Iscritto
Neo Iscritto
 
Messaggi: 3
Iscritto il: sab dic 06, 2008 8:53 pm

Re: Si puo' avere un file.exe pur non avendolo mai installato?

Messaggioda Amantide » sab dic 06, 2008 10:35 pm

Ho scaricato webmediaplayer

Ed era meglio se non lo facevi, visto che si tratta di un diffusore di malware.

Scarica ComboFix ed esegui la scansione seguendo queste istruzioni (giù in fondo). Al termine della scansione verrà creato il file di report C:\combofix.txt, copia qui il suo contenuto inserendolo tra i tag LOG. Così vediamo cosa gira nel tuo pc [^]
...per volare alto, bisogna saper cadere...
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Re: Si puo' avere un file.exe pur non avendolo mai installato?

Messaggioda laylaandbirba » dom dic 07, 2008 1:11 am

((((((((((((((((((((((((((((((((((((( Altre eliminazioni )))))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\program files\webmediaplayer
c:\program files\webmediaplayer\resources\wmp_translation_file.xml
c:\program files\webmediaplayer\skins\classic.skn
c:\program files\webmediaplayer\sqlite3.dll
c:\program files\webmediaplayer\uninst.exe
c:\program files\webmediaplayer\WebMediaPlayer.exe
c:\programdata\Microsoft\Windows\Start Menu\Programs\WebMediaPlayer
c:\programdata\Microsoft\Windows\Start Menu\Programs\WebMediaPlayer\Condizioni generali.url
c:\programdata\Microsoft\Windows\Start Menu\Programs\WebMediaPlayer\Disinstalla.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\WebMediaPlayer\Riservatezza.url
c:\programdata\Microsoft\Windows\Start Menu\Programs\WebMediaPlayer\WebMediaPlayer.lnk
c:\programdata\Microsoft\Windows\Start Menu\Programs\WebMediaPlayer\Website.url
c:\recycled\Recycled
c:\recycled\Recycled\ctfmon.exe
c:\users\Public\Desktop\webmediaplayer.lnk
c:\users\Tino\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.exe
c:\windows\system32\x64

.
((((((((((((((((((((((((( Files Creati Da 2008-11-06 al 2008-12-06 )))))))))))))))))))))))))))))))))))
.

2008-12-06 02:05 . 2008-12-06 02:05 <DIR> d-------- c:\program files\KENWOOD
2008-12-06 02:05 . 2005-03-11 10:36 430,080 --a------ c:\windows\System32\Util.dll
2008-12-06 02:05 . 2005-06-29 02:16 405,504 --a------ c:\windows\System32\kwdga7sp.dll
2008-12-06 02:05 . 2005-04-01 01:22 266,240 --a------ c:\windows\System32\kittyS01.dll
2008-12-06 02:05 . 2004-05-08 13:56 164,256 -ra------ c:\windows\System32\SPSSYS.SYS
2008-12-06 02:05 . 2004-05-08 13:56 164,256 --a------ c:\windows\System32\drivers\spssys.sys
2008-12-06 02:05 . 2005-08-16 08:31 98,304 --a------ c:\windows\System32\libfdbio.dll
2008-12-06 02:05 . 2002-01-18 03:04 36,864 --a------ c:\windows\System32\DrvInstall.exe
2008-12-06 02:05 . 2002-01-18 03:04 32,768 --a------ c:\windows\System32\DrvUninstall.exe
2008-12-06 02:05 . 2002-01-31 06:52 1,721 -ra------ c:\windows\System32\SPSSYS.INF
2008-12-06 00:00 . 2008-12-06 00:01 <DIR> d-------- c:\users\All Users\NOS
2008-12-06 00:00 . 2008-12-06 00:01 <DIR> d-------- c:\programdata\NOS
2008-12-06 00:00 . 2008-12-06 00:00 <DIR> d-------- c:\program files\NOS
2008-12-05 23:38 . 2008-12-05 23:38 <DIR> d-------- c:\program files\Safer Networking
2008-12-05 23:10 . 2008-12-06 10:54 <DIR> d-------- c:\users\All Users\Spybot - Search & Destroy
2008-12-05 23:10 . 2008-12-06 10:54 <DIR> d-------- c:\programdata\Spybot - Search & Destroy
2008-12-05 23:10 . 2008-12-06 10:53 <DIR> d-------- c:\program files\Spybot - Search & Destroy
2008-12-05 23:09 . 2008-12-07 00:52 <DIR> dr-hs---- C:\Recycled
2008-12-05 00:45 . 2008-12-05 00:45 <DIR> d-------- c:\program files\Telecom Italia
2008-12-04 17:37 . 2008-12-04 17:40 32,768 --a------ c:\windows\System32\Ikeext.etl
2008-11-30 04:02 . 2008-11-30 04:02 <DIR> d-------- c:\users\All Users\wmp
2008-11-30 04:02 . 2008-11-30 04:02 <DIR> d-------- c:\programdata\wmp
2008-11-20 00:16 . 2008-11-20 00:16 <DIR> d-------- c:\users\Tino\AppData\Roaming\Template
2008-11-20 00:16 . 2008-11-20 00:16 38 --a------ c:\users\Tino\AppData\Roaming\wklnhst.dat
2008-11-15 23:29 . 2008-11-15 23:29 <DIR> d-------- c:\program files\ToniArts
2008-11-15 23:21 . 2008-11-15 23:21 <DIR> d-------- c:\program files\Aventail
2008-11-06 04:42 . 2008-11-06 04:42 <DIR> d-------- C:\TEMP

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-06 01:05 --------- d--h--w c:\program files\InstallShield Installation Information
2008-12-05 23:03 --------- d-----w c:\program files\Common Files\Adobe
2008-12-04 22:57 --------- d-----w c:\program files\Google
2008-11-11 09:59 --------- d-----w c:\users\Tino\AppData\Roaming\EPSON
2008-10-16 20:13 --------- d-----w c:\program files\Common Files\InstallShield
2008-10-16 20:12 --------- d-----w c:\programdata\UDL
2008-10-16 20:10 --------- d-----w c:\program files\epson
2008-10-16 20:04 --------- d-----w c:\programdata\EPSON
2008-10-10 22:01 --------- d-----w c:\program files\QuickTime
2008-10-10 22:00 --------- d-----w c:\programdata\Apple Computer
2008-10-10 22:00 --------- d-----w c:\program files\Common Files\Apple
2008-09-25 03:18 53,448 ----a-w c:\windows\System32\wuauclt.exe
2008-09-25 03:18 45,768 ----a-w c:\windows\System32\wups2.dll
2008-09-25 03:18 1,811,656 ----a-w c:\windows\System32\wuaueng.dll
2008-09-25 03:18 1,524,736 ----a-w c:\windows\System32\wucltux.dll
2008-09-25 03:17 83,456 ----a-w c:\windows\System32\wudriver.dll
2008-09-25 03:17 563,912 ----a-w c:\windows\System32\wuapi.dll
2008-09-25 03:17 36,552 ----a-w c:\windows\System32\wups.dll
2008-09-25 03:16 31,232 ----a-w c:\windows\System32\wuapp.exe
2008-09-25 03:16 163,904 ----a-w c:\windows\System32\wuwebv.dll
2006-11-02 12:48 174 --sha-w c:\program files\desktop.ini
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2006-11-02 1196032]
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2008-09-16 1833296]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2006-11-15 815104]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2006-11-06 98304]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2006-11-06 106496]
"Persistence"="c:\windows\system32\igfxpers.exe" [2006-11-06 81920]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"Launcher"="c:\windows\SMINST\launcher.exe" [2006-11-07 44128]

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"{48720D9E-8950-4866-BFA9-8F96F9AFAF02}"= UDP:c:\program files\HP\QuickPlay\QP.exe:QP
"{9A3DFC7B-A906-496E-8AB0-BB80065F6661}"= TCP:c:\program files\HP\QuickPlay\QP.exe:QP
"TCP Query User{53E27F0E-5518-40D1-BC95-FBAEF3EA0718}c:\\program files\\emule\\emule.exe"= UDP:c:\program files\emule\emule.exe:eMule
"UDP Query User{33AE4836-07AE-42D3-B274-7AD45B87C470}c:\\program files\\emule\\emule.exe"= TCP:c:\program files\emule\emule.exe:eMule
"TCP Query User{8A2B8590-FCF8-4ED7-B8A8-6E778DC8B6CC}c:\\program files\\real\\realplayer\\realplay.exe"= UDP:c:\program files\real\realplayer\realplay.exe:RealPlayer
"UDP Query User{D13A4E40-9854-4C07-8FD1-E48A5C2FD223}c:\\program files\\real\\realplayer\\realplay.exe"= TCP:c:\program files\real\realplayer\realplay.exe:RealPlayer

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\RestrictedServices\Static\System]
"DFSR-1"= RPort=5722|UDP:%SystemRoot%\system32\svchost.exe|Svc=DFSR:Allow inbound TCP traffic|

R0 Spssys;Toshiba SPS Service;c:\windows\system32\drivers\spssys.sys [2008-12-06 164256]
S3 getPlus(R) Helper;getPlus(R) Helper;c:\program files\NOS\bin\getPlus_HelperSvc.exe [2008-12-06 33752]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceNoNetwork REG_MULTI_SZ PLA DPS BFE mpssvc

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9befc622-c316-11dd-a04d-0016d4e7c7b3}]
\shell\AutoRun\command - f:\install\Install.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{d19cb981-8a73-11dd-8a33-0016d4e7c7b3}]
\shell\auto\command - F:\Knight.exe open
\shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL F:\Knight.exe open
\shell\explore\command - F:\Knight.exe open
\shell\find\command - F:\Knight.exe open
\shell\install\command - F:\Knight.exe open
\shell\open\command - F:\Knight.exe open

*Newly Created Service* - PROCEXP90
.
- - - - ORFÃOS REMOVIDOS - - - -

HKLM-Run-AliceRV_McciTrayApp - c:\program files\Alice ti aiuta\McciTrayApp.exe


.
------- Supplementare di scansione -------
.
uStart Page = hxxp://it.yahoo.com/
mStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE= ... &pf=laptop
IE: Ricerca - c:\program files\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
TCP: {28DBB6BB-DC31-471F-BF9B-BFA84D3D7F9E} = 85.37.17.14 85.38.28.78

c:\windows\Downloaded Program Files\EPUWALcontrol.dll - O16 -: {C1FDEE68-98D5-4F42-A4DD-D0BECF5077EB}
hxxp://tools.ebayimg.com/eps/wl/activex ... 0-27-0.cab
c:\windows\Downloaded Program Files\EPUWALcontrol.inf
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-07 00:54:47
Windows 6.0.6000 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************
.
Ora fine scansione: 2008-12-07 0.56.06
ComboFix-quarantined-files.txt 2008-12-06 23:56:04
Ultima modifica di Amantide il dom dic 07, 2008 11:42 am, modificato 1 volta in totale.
Motivazione: Inserito il tag LOG
Avatar utente
laylaandbirba
Neo Iscritto
Neo Iscritto
 
Messaggi: 3
Iscritto il: sab dic 06, 2008 8:53 pm


Re: Si puo' avere un file.exe pur non avendolo mai installato?

Messaggioda Amantide » dom dic 07, 2008 12:01 pm

Intanto Combofix ha rimosso il Webmediaplayer e qualche altro file infetto.
Ma tu nel pc oltre a Spybot non hai nessun altro software di sicurezza? Non vedo nessun antivirus nel log [uhm]

Ora dovresti rimuovere anche il worm Perlovga. Inserisci nel pc tutte le unità rimovibili come le pen drive, hard disk esterni, lettori mp3 ed esegui il Perlovga Removal Tool come descritto in questo articolo.

Siccome nel tuo pc si vedono alcuni file nascosti con i nomi sospetti ,la natura dei quali io ignoro, ti consiglio di fare anche la scansione completa con Kaspersky online e postare qui il report della scansione, così vediamo di cosa si tratta.

Per quanto riguarda mirc invece, se sei sicura di non averlo installato tu e visto anche che il tuo pc è praticamente sprotetto ed anche pieno di malware, non mi meraviglierei se quello è stato installato da uno di questi o da qualche software fraudolente tipo Webmediaplayer.
...per volare alto, bisogna saper cadere...
Avatar utente
Amantide
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 8126
Iscritto il: lun feb 06, 2006 4:13 pm
Località: Abruzzo

Re: Si puo' avere un file.exe pur non avendolo mai installato?

Messaggioda laylaandbirba » lun mar 23, 2009 5:39 pm

Forse ho capito cosa e' successo. Mio marito mi ha installato nuovamente emule ed esso ha il mirc, sara' quello che e' stato trovato nel pannello di controllo? Bah
Avatar utente
laylaandbirba
Neo Iscritto
Neo Iscritto
 
Messaggi: 3
Iscritto il: sab dic 06, 2008 8:53 pm

Re: Si puo' avere un file.exe pur non avendolo mai installato?

Messaggioda Palpas » gio apr 23, 2009 7:33 pm

aspe aspe...non entriamo in confusione.

-Mirc è un programma lecito, per chattare su IRC (ma è spesso rilevato come virus a causa della sua funzione....essendo un IRC-client) ed è standalone, quindi su "installazione applicazioni" non lo vedi.

-Se hai scaricato Webmediaplayer ed altre porcherie questo è un altro discorso.

-Emule ha all'interno un altro IRC client, per chattare in IRC proprio come Mirc (ma non è Mirc).
Zane grazie per l'esperienza MLI
Avatar utente
Palpas
Membro Ufficiale (Gold)
Membro Ufficiale (Gold)
 
Messaggi: 2544
Iscritto il: mar set 25, 2007 4:48 pm


Torna a Software

Chi c’è in linea

Visitano il forum: Nessuno e 4 ospiti

Powered by phpBB © 2002, 2005, 2007, 2008 phpBB Group
Traduzione Italiana phpBB.it

megalab.it: testata telematica quotidiana registrata al Tribunale di Cosenza n. 22/09 del 13.08.2009, editore Master New Media S.r.l.; © Copyright 2008 Master New Media S.r.l. a socio unico - P.I. 02947530784. GRUPPO EDIZIONI MASTER Spa Tutti i diritti sono riservati. Per la pubblicità: Master Advertising