Antivir WebGuard esagerata..

[Skymon.mars]

Ciao a tutti, da un po di tempo mi sembra che la WebGuard di Avira Antivir (ho la versione completa ma ho disattivato il firewall) sia decisamente troppo restrittiva..
Spesso mi interrompe la navigazione con questa schermata:
"Warning
In order not to compromise your security, this page will not be accessed.

The requested URL has been identified as a potentially dangerous website.

In order not to compromise your security, the access to this page has been blocked.

For more information why this page has been blocked, please click here.

You can find a description how to bypass the blocking for this page here.
(only in German and English)."
Il fatto è che capita su normalissimi siti, oggi su uno in cui si parla di fotografia.. Mi tocca sempre disabilitare la webguard e poi rientrare..
Avete dei consigli da darmi, è normale, capita anche a voi?
Grazie

[crazy.cat]

Puoi inserire qualche link dove ti capita il problema?

[Skymon.mars]

Si, certamente. Inserisco il sito di cui vi parlavo:
http://www.clickblog.it/

[Mikleman]

Click destro sulla icon tray di avira antivir
configurazioni (configure antivir)
metti la spunta a modalità esperto (expert mode)
espandi WebGuard,espandi Scan,clicca exceptions e sotto URL skipped by WebGuard (url saltati dal webguard) metti l'indirizzo web che non vuoi venga bloccato e premi add (aggiungi).

[Seba:-)]

http://www.clickblog.it/

Strano, il mio Avira AntiVir Premium mi fa accedere alla pagina senza problemi...

[Skymon.mars]

Molte grazie Mikleman per la guida :)
Però il problema sussiste! Ho eseguito alla lettera, ma quando vado sulla pagina, la apre e dopo circa 1 secondo nella barra degli indirizzi l'indirizzo in questione cambia dall'originale a: "http://ad.yieldmanager.com/st?ad_type=iframe&ad_size=300x250&entity=131384&site_code=855&section_code=2027"
ovviamente senza le virgolette, insomma la schermata di avviso malware.. come è possibile!

[dado_93]

Si, certamente. Inserisco il sito di cui vi parlavo:
http://www.clickblog.it/

Anche a me lo apre senza proplemi.

Molte grazie Mikleman per la guida :)
Però il problema sussiste! Ho eseguito alla lettera, ma quando vado sulla pagina, la apre e dopo circa 1 secondo nella barra degli indirizzi l'indirizzo in questione cambia dall'originale a: "http://ad.yieldmanager.com/st?ad_type=iframe&ad_size=300x250&entity=131384&site_code=855&section_code=2027"
ovviamente senza le virgolette, insomma la schermata di avviso malware.. come è possibile!

Secondo me hai un virus o qualcosa del genere che ti reindirizza in questo ultimo sito che hai inserito.

[Seba:-)]

Sì allora non è colpa di AntiVir, che ti blocca giustamente quella pagina poichè è pericolosa...
Anche secondo me è colpa di un malware che ti reindirizza, prova a fare una scansione con MalwareBytes e magari anche a postarci un log di HijackThis.

[Skymon.mars]

ok, la faccio subito con malwarebytes, grazie ancora!

[Skymon.mars]

Dunque, ho fatto fare una scansione rapida a Malwarebytes, non mi ha trovato nessun elemento malevolo.
Questo è il file log di Hijackthisv2.0.2:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22.59.27, on 06/06/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
C:\Programmi\Intel\Wireless\Bin\WLKeeper.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Intel\Wireless\Bin\ZcfgSvc.exe
C:\PROGRA~1\Intel\Wireless\Bin\1XConfig.exe
C:\Acer\eManager\anbmServ.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\system32\ASTSRV.EXE
C:\Programmi\Bonjour\mDNSResponder.exe
C:\Programmi\Prevx\prevx.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\mdm.exe
C:\Programmi\File comuni\Nero\Nero BackItUp 4\NBService.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\OO Software\CleverCache\ooccag.exe
C:\Programmi\Intel\Wireless\Bin\OProtSvc.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Prevx\prevx.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\acer\epm\epm-dm.exe
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\Java\jre6\bin\jusched.exe
C:\WINDOWS\V0230Mon.exe
C:\Programmi\OO Software\CleverCache\ooccctrl.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Avira\AntiVir Desktop\avmailc.exe
C:\Programmi\Avira\AntiVir Desktop\AVWEBGRD.EXE
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\WISPTIS.EXE
C:\Programmi\Windows Live\Messenger\msnmsgr.exe
C:\Programmi\Windows Live\Contacts\wlcomm.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\uTorrent\uTorrent.exe
C:\Programmi\Malwarebytes' Anti-Malware\mbam.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Documents and Settings\Simone\Desktop\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Veoh Web Player Video Finder - {0FBB9689-D3D7-4f7a-A2E2-585B10099BFC} - C:\Programmi\Veoh Networks\VeohWebPlayer\VeohIEToolbar.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [AzMixerSel] C:\Programmi\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe
O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [V0230Mon.exe] C:\WINDOWS\V0230Mon.exe
O4 - HKLM\..\Run: [ooccctrl.exe] C:\Programmi\OO Software\CleverCache\ooccctrl.exe /tasktray
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programmi\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Aggiungi a PDF esistente - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Converti destinazione link in Adobe PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Converti destinazione link in file PDF esistente - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Converti i link selezionati in Adobe PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Converti i link selezionati in file PDF esistente - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Converti in Adobe PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Converti selezione in Adobe PDF - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Converti selezione in file PDF esistente - res://C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 0529764375
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
O23 - Service: Avira AntiVir MailGuard (AntiVirMailService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avmailc.exe
O23 - Service: Avira AntiVir Scheduler (AntiVirSchedulerService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Avira AntiVir WebGuard (AntiVirWebService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\AVWEBGRD.EXE
O23 - Service: Nalpeiron Licensing Service (ASTSRV) - Nalpeiron Ltd. - C:\WINDOWS\system32\ASTSRV.EXE
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: CSIScanner - Prevx - C:\Programmi\Prevx\prevx.exe
O23 - Service: EvtEng - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Programmi\File comuni\Nero\Nero BackItUp 4\NBService.exe
O23 - Service: O&O CleverCache Agent (OOCleverCacheAgent) - O&O Software GmbH - C:\Programmi\OO Software\CleverCache\ooccag.exe
O23 - Service: OwnershipProtocol - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\OProtSvc.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: WLANKEEPER - Intel® Corporation - C:\Programmi\Intel\Wireless\Bin\WLKeeper.exe

--
End of file - 9353 bytes

[Buzzi]

anche a me è cominciato a capitare da oggi ma su un sito che non è possibile che sia infettato! si tratta infatti di yahoo , escluderei quindi l'opzione sito infettato o meglio pc infettato....
comunque la soluzione è semplice: linux
su windows ho comunque disattivato il web guard solo per quanto riguarda i malware (infatti puoi scegliere quali voci omettere...),spero che avira risolva presto

[Seba:-)]

Strano, anche il log sembra pulito... a questo punto non saprei proprio cosa pensare.
L'evento non è normale, ma da quanto hai detto la probabilità che sia colpa di un malware è bassa... magari prova Combofix per un ultimo controllo.

[Mikleman]

Ma guarda che non devi mettere il sito,ma l'URL del banner infetto!
(ad.ecc...ecc..)

[Skymon.mars]

Ah vero! Si ora ho inserito l'URL, dunque è successa una cosa strana.. ho dovuto inserire ben 3 URL, simili a quello che vi ho copiato sopra e cioè: "http://ad.yieldmanager.com/st?ad_type=iframe&ad_size=300x250&entity=131384&site_code=855&section_code=2027" gli altri due differiscono per il numero finale, in un caso 2022 e nell'atro 2025.
Ora il sito mi è nuovamente accessibile, però non riesco a capire cosa sia, insomma il sito mi sembra più che innoquo, ma se poi effettivamente sono malware.. me li sto beccando proprio ora!

[Seba:-)]

Il problema che più mi preoccupa non è il fatto che si possa accedere o meno al sito, ma questi reindirizzamenti atipici e sicuramente non normali...

[dado_93]

Escludo la presenza di malware capita anche a me con altri browser e non con firefox perché ho adblock che blocca il banner pericoloso.

[Skymon.mars]

Si, hai ragione..
Ma scusate sul sito in questione, quando vi accedete nella barra in basso dove vengono caricati gli indirizzi, che scorrono velocemente, non lo vedete anche voi questo ad.yieldmanager.com etc etc?? perché a me è per questo che non mi faceva accedere, quando incontra questa stringa (che credo faccia parte del caricamento della pagina..) la blocca.. e me l'ha incontrata per 3 volte. Dovrebbe essere lo stesso anche per voi
Informandomi in rete sembra che anche altri lo classifichino come malware o spyware, insomma una cosa non tanto piacevole.
Nel mio task manager non sembra esserci traccia di questo ad.yieldmanager..

[Seba:-)]

Scusa, non ho capito che barra intendi... questa? Se non lo è, puoi postarci uno screenshot del tuo problema?

[Skymon.mars]

No, intendo quella in basso, che è vuota.. dove normalmente quando hai caricato una pagina compare "Completato" almeno in windows xp.. Si scusate l'ignoranza :)
Comunque grandioso questo AdBlock Dado 93!!! Lo consiglio a tutti! Ho inserito la lista, ho tolto le eccezioni di prima da avira, e ora mi apre il sito senza problemi, poichè filtra anche questo ad.yieldmanager

[Seba:-)]

Sì, hai ragione, compare... Scusa ma non avevo capito che intendevi la status-bar. Comunque a me Avira Premium non lo blocca ne in WinXP ne in Win7... Mha?! AdBlock tienilo, è uno degli add-on più apprezzati e utili ed effettivamente funziona molto bene .