Log HiJackThis

[Davide-Bruno]

Il computer XP mi da: impossibile trovare/caricare o eseguire "settings\utente\dati", verificare/rimuoverne il relativo riferimento nel registro.
Cosa devo fixare?
Grazie

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16.19.05, on 01/02/2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Programmi\Microsoft Shared Computer Toolkit\bin\SRVANY.EXE
C:\Programmi\Microsoft Shared Computer Toolkit\bin\SCTThresholdMonitor.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\PMObserv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\Programmi\RDS\RsiSvc.exe
C:\Programmi\RDS\srscandr.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\UPHClean\uphclean.exe
C:\Programmi\RDS\ddsschednt.exe
C:\Programmi\RDS\dds.exe
C:\Programmi\RDS\spooler.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file)
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - (no file)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - (no file)
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://wwwimages.adobe.com/www.adobe.co ... nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F5A63786-AB71-4D0D-9979-03D1113C8ADF}: NameServer = 131.175.13.13,131.175.12.1
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Dds Scheduler Deamon (DdsSched) - RICOH Company Ltd. - C:\Programmi\RDS\ddsschednt.exe
O23 - Service: PMObserv - RICOH CO.,LTD. - C:\WINDOWS\system32\PMObserv.exe
O23 - Service: Ridoc Server Information Service (RsiSvc) - RICOH Company Ltd. - C:\Programmi\RDS\RsiSvc.exe
O23 - Service: ScanRouterDriverV2 - Ricoh Co.,Ltd. - C:\Programmi\RDS\srscandr.exe
O23 - Service: SCTThresholdMonitor (SCTThresholdMon) - Unknown owner - C:\Programmi\Microsoft Shared Computer Toolkit\bin\SRVANY.EXE
O23 - Service: SOption - RICOH Company Ltd. - C:\Programmi\RDS\SOption.exe
O23 - Service: WDPOperations - Unknown owner - C:\Programmi\Microsoft Shared Computer Toolkit\bin\SRVANY.EXE

--
End of file - 3544 bytes

[crazy.cat]

Hai un log talmente corto che non si vede niente da eliminare.
Puoi scrivere il testo del messaggio con l'errore completo?

[Davide-Bruno]

Ho rifatto il log dall'utente che mi da questo problema, quello di prima era come admin, ma entrando come admin non mi vengono fuori le finestre che dicono:

<<Impossibile trovare il file "and". Verificare che il percorso e il nome del file siano corretti e ritentare. Per cercare un file fare clic sul pulsante Start, quindi scegliere Trova>>
Seguita da
<<Impossibile caricare o eseguire il file "and", specificato nel Registro di sistema. Controllare che il file esista, oppure rimuoverne il relativo riferimento nel Registro di sistema>>
E poi ripete con "Settings\utenteUSER\Dati" e con "applicazioni\Microsoft\mswinvks.exe"

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17.34.27, on 01/02/2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Programmi\Microsoft Shared Computer Toolkit\bin\SRVANY.EXE
C:\Programmi\Microsoft Shared Computer Toolkit\bin\SCTThresholdMonitor.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\PMObserv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\Programmi\RDS\RsiSvc.exe
C:\Programmi\RDS\srscandr.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\UPHClean\uphclean.exe
C:\Programmi\RDS\ddsschednt.exe
C:\Programmi\RDS\dds.exe
C:\Programmi\RDS\spooler.exe
D:\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file)
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - (no file)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - (no file)
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://wwwimages.adobe.com/www.adobe.co ... nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F5A63786-AB71-4D0D-9979-03D1113C8ADF}: NameServer = 131.175.13.13,131.175.12.1
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Dds Scheduler Deamon (DdsSched) - RICOH Company Ltd. - C:\Programmi\RDS\ddsschednt.exe
O23 - Service: PMObserv - RICOH CO.,LTD. - C:\WINDOWS\system32\PMObserv.exe
O23 - Service: Ridoc Server Information Service (RsiSvc) - RICOH Company Ltd. - C:\Programmi\RDS\RsiSvc.exe
O23 - Service: ScanRouterDriverV2 - Ricoh Co.,Ltd. - C:\Programmi\RDS\srscandr.exe
O23 - Service: SCTThresholdMonitor (SCTThresholdMon) - Unknown owner - C:\Programmi\Microsoft Shared Computer Toolkit\bin\SRVANY.EXE
O23 - Service: SOption - RICOH Company Ltd. - C:\Programmi\RDS\SOption.exe
O23 - Service: WDPOperations - Unknown owner - C:\Programmi\Microsoft Shared Computer Toolkit\bin\SRVANY.EXE

--
End of file - 3402 bytes

[crazy.cat]

I due log sono praticamente uguali e non si vede niente.
Prova a usare qualche programma di pulizia del registro di configurazione per vedere se riesci ad eliminare quello che c'è di sbagliato.

[Davide-Bruno]

Ho provato con svariati programmi, ma non è servito a niente

[tiger]

Secondo me hai un virus.

Esegui una scansione completa in modfalità provvisoria con Malwarebytes Anti-Malware 1.44 dopo averlo installato è necessario aggiornarlo e solo dopo eseguire la scansione completa del sistema, eliminare tutti gli oggetti identificati e salvare il log della scansione e postarlo.

Esegui inoltre una scansione con combofix (elimina i rootkit) e posta il risultato.

Alla fine facci sapere se da ancora i messaggi d'errore ....

[Davide-Bruno]

Provo e vi faccio sapere
Grazie

[Berga95]

Beh, secondo me (IMHO) potrebbero essere dei residui di virus, i quali venivano caricati all'avvio, ma sono stati eliminati, però sono rimasti nel registro di configurazione di sistema la chiave che li faceva partire all'avvio... hai già provato con CCleaner?

Se proprio ti dà fastidio il messaggio di errore (da quanto ho capito non c'è nient'altro, no?) puoi andare sul registro da start->esegui (con vista usa cerca) -> regedit e eliminare le stringhe manualmente.

[Davide-Bruno]

Ho provato sia con ccleaner che con easycleaner ma non è servito.
Ho provato MalwareBytes, ha eliminato qualcosa ma non è cambiato niente. Combofix mi ha spaventato il disclaimer e non ho proceduto...
Agire direttamente sul registro non l'ho mai fatto...

[gioia271965]

Ho provato sia con ccleaner che con easycleaner ma non è servito.
Ho provato MalwareBytes, ha eliminato qualcosa ma non è cambiato niente. Combofix mi ha spaventato il disclaimer e non ho proceduto...
Agire direttamente sul registro non l'ho mai fatto...

Combofix è utile invece....può rimuovere infezioni che altri tool non riescono a fare, e ripristina molte funzioni di sistema.

[ricric]

scusate anche a me quando accendo il pc mi appare il messaggio "...system32/mswinvks.exe non trovato..." ecc... e che tra l'altro lo spybot mi segnala 2 grossi spam che questo problema mi impedisce di eliminarli. Quando tento di eliminarli mi dice "accesso negato per ..system32/mswinvks.exe". Ho provato quindi a scaricare l'antimaware Malwarebaytes e mi ha trovato diversi malware ma non quello in questione .
Qui ho letto che prima di avviare l'anti malware devo avviare l'"hjiek" e "Hijeckthis" e fixare il virus in questione ...ma cosa significa? come faccio a entrarci?
ringrazio moltissimo se qualcuno può aiutarmi
1 saluto
Ric