per favore un controllo al mio log...

[Vily]

grazie, ho trovato con virus total questo:MD5: d5a33465209c6c07f4aec31611f1ae5a
First received: 2009.05.20 23:20:53 UTC
Data 2010.06.04 15:30:38 UTC [<1D]
Rezultate 1/41
Permalink: analisis/cb7aae84c6fe543e6cf608b5ee97139f408d56323472399faecfdb9d88cb18b8-1275665438
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 17.15.59, on 04/06/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\RegService.exe
C:\Programmi\Intel\Intel Matrix Storage Manager\IAANTMon.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\PC Tools Firewall Plus\FWService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Intel\Intel Matrix Storage Manager\iaanotif.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\Programmi\PC Tools Firewall Plus\FirewallGUI.exe
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\WINDOWS\system32\igfxext.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\SANDA\Desktop\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.giustizia.it/giustizia/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [IAAnotif] C:\Programmi\Intel\Intel Matrix Storage Manager\iaanotif.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [00PCTFW] "C:\Programmi\PC Tools Firewall Plus\FirewallGUI.exe" -s
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKLM\..\Run: [HitmanPro35] "C:\Programmi\Hitman Pro 3.5\HitmanPro35.exe" /scan:boot
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [DWQueuedReporting] "C:\PROGRA~1\FILECO~1\MICROS~1\DW\dwtrig20.exe" -t (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupda ... 9906866726
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 9951163015
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Communication Modem Device Manager II - Unknown owner - C:\WINDOWS\system32\RegService.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Programmi\Intel\Intel Matrix Storage Manager\IAANTMon.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: PC Tools Firewall Plus (PCToolsFirewallPlus) - Unknown owner - C:\Programmi\PC Tools Firewall Plus\FWService.exe
O23 - Service: PEVSystemStart - Unknown owner - C:\ComboFix\PEV.cfxxe

--
End of file - 4936 bytes
e adesso non l'ho so che cosa fare per gentileza un aiuto...
grazie di nuovo,vily.

[ste_95]

Hai qualche problema con il computer?

[markinson]

Dalle piccole ricerche che ho fatto, il problema potrebbe essere questo: C:\WINDOWS\system32\RegService.exe
Dai una occhiata QUI e QUI.

Provare una passatina con Malwarebytes' Anti-Malware?
Poi caricare il programma in questione su VirusTotal?
Come antipasto.

[Vily]

si, grazie, siete molto gentili, è proprio lui:C:\WINDOWS\system32\RegService.exe, ma come che sono una grande "frana" con il pc, non l'ho so che cosa fare? l'ho devo cancellare con HijackThis cosi l'ho levo per sempre?, poi con Hitman Pro ho trovato un Rootkit drwtsn.32.ex, che adesso è in quarantina ( fosse questo?)
vi ringrazio di nuovo e aspetto direttive, grazie,vily.

[stevens]

ciao Vily facciamo un controllo piu' approfondito del sistema

- disattiva l'antivirus

scarica combofix sul desktop
(non installare la recovery console)
esegui ComboFix.exe
- digita 1
- segui le instruzioni
- finita la scansione portati in C:\ e copia/incolla, nella tua prossima risposta, il contenuto del file di testo Combofix.txt

[Vily]

ciao, stevens,già fatto ieri e combofix si e blocato: 1. c\:\docume-1\sanda\impost-1 \temp\wer c 134.dir.00\mini060410-1.dhp.
2.---------------------------------------------------134.dir.00\sysdata.xml
o preso una paura....adesso non l'ho so che devo fare, o paura riprovare con combofix.
grazie di cuore,vily.

[stevens]

nessuno ti obbliga quando ti vengono dati dei procedimenti , anche se ti consiglierei di rieseguirlo

combofix e' un tool che cerca ed elimina molte infezioni, ma se non ne sei certo lascia stare

scarica KASPERSKY Virus Removal Tool

● al termine della installazione verrà mostrata la schermata principale del tool
● verrà creata una cartella sul Desktop dal nome Virus Removal Tool
● seleziona la partizione da scansionare e clicca su Scan per avviare la scansione
● terminata la scansione, in caso di rilevazione di infezioni, clicca su Neutralize all
● si apriranno dei popup dove potrai scegliere se Cancellare o Disinfettare l'oggetto
● metti la spunta su Apply to all e clicca su Quarantine
● per salvare il Report che verrà rilasciato, clicca sul tasto Reports: salvalo sul Desktop poi allegalo sul forum.

Caricalo su un server in una cartella zippata

[Vily]

grazie stevens, ma podarsi che non mi sono spiegata bene, io vorei fare tutto quello che mi dici, ma come che non capisco niente volevo solo spiegare quello che mi e capitato con combofix ieri, è rimasto blocato dicendo che non può continuare per non creare gravi danni al pc e aparsa una finestrina blu dove era scritto quello che o scritto sopra, ecco tutto, se mi dici che devo riprovare, io riprovo. Comunque io ti ringrazio tanto e chiedo scusa del disturbo. vily.

[stevens]

guarda se in C:\ trovi il log di combofix , puo' darsi che qualcosa e' riuscito a creare lo trovi come combofix.txt

esegui la scansione col removal della kaspersky

[markinson]

@stevens
Vily, potrebbe anche (dopo Kaspersky, intendo):

• provare Dr.Web CureIt! (che proprio recentemente ha aggiornato il suo motore) e salvare/postare il suo log;
• cercare di caricare il file presunto incriminato su VirusTotal.

Che ne pensi?

@Vily

... Comunque io ti ringrazio tanto e chiedo scusa del disturbo. vily.

Vily, non ti preoccupare assolutamente, chiedi senza problemi e, soprattutto, senza aver timore di chiedere.
Chi più (come stevens! ) chi meno (magari come me ) siamo qui per cercare di dare una mano e condividere soluzioni con gli altri.

[stevens]

ciao markinson

credo sia meglio usare kaspersky, oltre ad essere piu' affidabile ha un database che cureit se lo sogna

[Vily]

oh, grazie mark, il problema è che io con il pc non capisco niente, mi serve per lavorare ( scrivere)e ogni tanto credo che adesso l'ho so, ma io non conosco nemeno come si apre un zip, figurati "di caricarlo su un server su una cartella zippata"caro steven ,ma sul pc ho il programino per aprire ( sta li bello, bello) quel poco che l'ho so ho imparato legendo il vostro sito e qua e la... poi scrico quello che vedo ( come una scimia) convinta che poi sono in grado di fare....ma nulla,capisco che do fastidio e per questo ho paura di chiedere le cose e anche mi vergogno.mah....adesso mi sento un può meglio, mi sono tolto un gran peso e procedo con Dr.Web Curelt, perché con Kaspersky o combinato un pasticio...ma di quelli grandi!
io vi ringrazio di cuore, vily.

[markinson]

oh, grazie mark, il problema è che io con il pc non capisco niente, mi serve per lavorare ( scrivere)e ogni tanto credo che adesso l'ho so, ma io non conosco nemeno come si apre un zip, figurati "di caricarlo su un server su una cartella zippata"caro steven ,ma sul pc ho il programino per aprire ( sta li bello, bello) quel poco che l'ho so ho imparato legendo il vostro sito e qua e la... poi scrico quello che vedo ( come una scimia) convinta che poi sono in grado di fare....ma nulla,capisco che do fastidio e per questo ho paura di chiedere le cose e anche mi vergogno.mah....adesso mi sento un può meglio, mi sono tolto un gran peso e procedo con Dr.Web Curelt, perché con Kaspersky o combinato un pasticio...ma di quelli grandi!
io vi ringrazio di cuore, vily.

Dai, tranquilla! ... ti dirò, sinceramente, che sentire una voce femminile, poi, nell'ampio coro maschile, è sempre molto piacevole.
Nessuno è nato imparato e tutti sbagliamo, presto o tardi.

Insomma, per farla breve, chiedi tutto quello che ti serve. Anche come si decomprime un file zip. La prima volta ... è stata la prima volta per tutti, eh!

Adesso fai la scansione con Dr.Web CureIt!. Ok. Così vediamo pure l'efficacia di questo tool.
Una volta finita la scansione, non chiudere il programma, ma segui questi passaggi: File Salva lista report.
Poi facciamo i passi successivi.

Ultima cosa: leggi bene tutte le schermate e gli avvertimenti che Dr.Web ti propone dopo averlo lanciato, ok? In alcuni casi sono solo rimandi pubblicitari.

[markinson]

ciao markinson

credo sia meglio usare kaspersky, oltre ad essere piu' affidabile ha un database che cureit se lo sogna

Scusa stevens, ho visto solo ora il tuo intervento!
Guarda, la versione 6 del tool dichiara di poter vedere oltre 1.390.000 virus. Proprio pochini non sono.
Poi, per la mia piccola esperienza, Dr.Web CureIt, sotto il profilo malware, mi ha rintracciato dei software impiegati in ambito aziendale per il controllo remoto delle macchine, mentre Kaspersky non si era accorto di nulla. Non dico che fossero programmi cattivi, però hanno le medesime prerogative dei cavalli di troia (visto che da remoto e in maniera trasparente per l'utilizzatore della macchina consentono al CED di turno di mettere le mani sull'elaboratore).
Finale: ok per il database di partenza, magari però recupera un po' sul lato motore di scansione. Magari ...

[Vily]

miei cari, ci sono riuscita non ci credo proprio, si vede che voi mi portate fortuna, grazie, grazie.
ComboFix 10-06-03.01 - SANDA 05/06/2010 19.51.00.6.2 - x86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.39.1040.18.1014.624 [GMT 2:00]
Eseguito da: c:\documents and settings\SANDA\Desktop\ComboFix.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated) {001300D4-0000-0000-1000-00007454927C}
AV: avast! Antivirus *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}
FW: PC Tools Firewall Plus *disabled* {ABBD5028-5A95-4B6D-996E-98D64AE88D52}
FW: ZoneAlarm Firewall *disabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}

ATTENZIONE - QUESTO PC NON HA LA CONSOLE DI RIPRISTINO DI EMERGENZA INSTALLATA !!
.

((((((((((((((((((((((((( Files Creati Da 2010-05-05 al 2010-06-05 )))))))))))))))))))))))))))))))))))
.

2010-06-05 15:39 . 2010-06-05 15:39 7168 ----a-w- c:\windows\system32\drivers\utmynjc3.sys
2010-06-05 14:44 . 2009-10-22 11:54 37392 ----a-w- c:\windows\system32\drivers\02213742.sys
2010-06-05 14:44 . 2009-10-09 21:31 315408 ----a-w- c:\windows\system32\drivers\0221374.sys
2010-06-05 14:44 . 2009-09-25 15:59 128016 ----a-w- c:\windows\system32\drivers\02213741.sys
2010-06-03 17:09 . 2010-06-03 17:09 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\Thinstall
2010-06-03 16:13 . 2010-06-03 16:13 -------- d-----w- c:\windows\XSxS
2010-06-03 16:13 . 2010-06-03 16:13 -------- d-----w- c:\programmi\Xenocode
2010-06-01 13:30 . 2010-05-06 20:39 46672 ----a-w- c:\windows\system32\drivers\aswTdi.sys
2010-06-01 13:30 . 2010-05-06 20:39 164048 ----a-w- c:\windows\system32\drivers\aswSP.sys
2010-06-01 13:30 . 2010-05-06 20:34 23376 ----a-w- c:\windows\system32\drivers\aswRdr.sys
2010-06-01 13:30 . 2010-05-06 20:33 100432 ----a-w- c:\windows\system32\drivers\aswmon2.sys
2010-06-01 13:30 . 2010-05-06 20:33 94800 ----a-w- c:\windows\system32\drivers\aswmon.sys
2010-06-01 13:30 . 2010-05-06 20:33 19024 ----a-w- c:\windows\system32\drivers\aswFsBlk.sys
2010-06-01 13:30 . 2010-05-06 20:33 28880 ----a-w- c:\windows\system32\drivers\aavmker4.sys
2010-06-01 13:30 . 2010-05-06 20:59 38848 ----a-w- c:\windows\system32\avastSS.scr
2010-06-01 13:30 . 2010-05-06 20:59 165032 ----a-w- c:\windows\system32\aswBoot.exe
2010-06-01 13:30 . 2010-06-01 13:30 -------- d-----w- c:\programmi\Alwil Software
2010-06-01 13:30 . 2010-06-01 13:30 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Alwil Software
2010-05-31 14:22 . 2010-05-31 14:22 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\PhotoFiltre
2010-05-30 11:03 . 2010-05-30 11:03 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\Anthropics
2010-05-28 07:46 . 2010-05-30 10:55 -------- d-----w- c:\programmi\Google
2010-05-21 15:09 . 2010-06-04 15:58 12872 ----a-w- c:\windows\system32\bootdelete.exe
2010-05-21 15:04 . 2010-06-05 12:05 15944 ----a-w- c:\windows\system32\drivers\hitmanpro35.sys
2010-05-21 15:04 . 2010-06-04 15:58 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Hitman Pro
2010-05-21 15:03 . 2010-05-21 15:03 -------- d-----w- c:\programmi\Hitman Pro 3.5
2010-05-16 13:29 . 2010-05-16 13:29 -------- d-----w- c:\programmi\AVG
2010-05-10 23:56 . 2010-05-10 23:56 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Softland
2010-05-10 23:56 . 2010-02-08 15:24 173056 ----a-w- c:\documents and settings\SANDA\Dati applicazioni\Softland\FBackup 4\Plugins\OutlookExpressSources.dll
2010-05-10 23:55 . 2010-05-10 23:55 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\Softland
2010-05-10 23:41 . 2010-05-10 23:41 -------- d-----w- c:\programmi\Panda USB Vaccine

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-06-05 16:44 . 2009-01-16 09:24 83438 ----a-w- c:\windows\system32\perfc010.dat
2010-06-05 16:44 . 2009-01-16 09:24 486718 ----a-w- c:\windows\system32\perfh010.dat
2010-06-05 16:41 . 2009-12-21 23:08 -------- d---a-w- c:\documents and settings\All Users\Dati applicazioni\TEMP
2010-06-04 17:30 . 2010-03-08 14:33 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\Disk Cleaner
2010-06-04 17:02 . 2010-01-28 10:37 -------- d-----w- c:\programmi\Startup Manager
2010-06-04 13:22 . 2010-05-06 10:53 -------- d-----w- c:\programmi\SpywareBlaster
2010-06-04 12:37 . 2009-09-13 10:51 -------- d-----w- c:\programmi\Microsoft Silverlight
2010-05-28 12:12 . 2009-08-24 18:53 -------- d-----w- c:\programmi\CCleaner
2010-05-24 11:42 . 2009-09-11 12:17 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\U3
2010-05-20 22:07 . 2010-01-20 14:21 -------- d-----w- c:\programmi\IZArc
2010-05-20 06:41 . 2009-09-22 16:56 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\SUPERAntiSpyware.com
2010-05-20 06:41 . 2010-04-19 12:05 -------- d-----w- c:\programmi\SUPERAntiSpyware
2010-05-13 10:38 . 2009-01-16 01:39 -------- d-----w- c:\programmi\Microsoft Works
2010-05-10 23:41 . 2009-11-18 15:25 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Panda Security
2010-05-03 17:34 . 2010-01-16 18:12 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\IncrediMail
2010-05-03 11:51 . 2010-05-03 11:51 -------- d-----w- c:\programmi\Speccy
2010-04-30 14:54 . 2010-01-26 18:33 -------- d-----w- c:\programmi\Malwarebytes' Anti-Malware
2010-04-29 13:39 . 2010-01-26 18:33 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-04-29 13:39 . 2010-01-26 18:33 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-04-23 20:30 . 2009-08-10 12:29 75680 ----a-w- c:\documents and settings\SANDA\Impostazioni locali\Dati applicazioni\GDIPFONTCACHEV1.DAT
2010-04-23 15:39 . 2010-04-23 15:39 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\Lingoes
2010-04-23 15:39 . 2010-04-23 15:39 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\Lingoes
2010-04-23 15:39 . 2010-04-23 15:39 -------- d-----w- c:\programmi\Lingoes
2010-04-22 21:10 . 2010-04-22 21:10 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\SAU KP
2010-04-22 21:10 . 2010-04-22 21:10 -------- d-----w- c:\programmi\SAU KP
2010-04-21 21:23 . 2010-04-21 21:23 -------- d-----w- c:\programmi\Trend Micro
2010-04-21 12:56 . 2010-04-21 12:38 -------- d-----w- c:\programmi\PC Tools Firewall Plus
2010-04-21 12:53 . 2010-04-21 12:52 -------- d-----w- c:\documents and settings\SANDA\Dati applicazioni\PCToolsFirewallPlus
2010-04-20 17:05 . 2010-04-20 17:05 339984 ----a-w- c:\windows\system32\drivers\TM_CFW.sys
2010-04-15 15:27 . 2010-04-15 15:27 -------- d-----w- c:\programmi\File comuni\Java
2010-04-15 15:26 . 2010-04-15 15:26 411368 ----a-w- c:\windows\system32\deployJava1.dll
2010-04-15 15:26 . 2010-04-15 15:26 -------- d-----w- c:\programmi\Java
2010-04-12 22:24 . 2010-04-12 22:24 -------- d-----w- c:\documents and settings\All Users\Dati applicazioni\RoboForm
2010-03-10 06:15 . 2009-01-16 09:24 420352 ----a-w- c:\windows\system32\vbscript.dll
.

((((((((((((((((((((((((((((((((((((( Punti Reg Caricati ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* i valori vuoti & legittimi/default non sono visualizzati.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IAAnotif"="c:\programmi\Intel\Intel Matrix Storage Manager\iaanotif.exe" [2008-04-15 178712]
"SynTPEnh"="c:\programmi\Synaptics\SynTP\SynTPEnh.exe" [2009-02-06 1430824]
"LManager"="c:\progra~1\LAUNCH~1\LManager.exe" [2008-12-30 875016]
"00PCTFW"="c:\programmi\PC Tools Firewall Plus\FirewallGUI.exe" [2010-01-12 3168216]
"avast5"="c:\progra~1\ALWILS~1\Avast5\avastUI.exe" [2010-05-06 2815192]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
"DWQueuedReporting"="c:\progra~1\FILECO~1\MICROS~1\DW\dwtrig20.exe" [2007-08-24 437160]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS]
@=""

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"

[HKLM\~\startupfolder\C:^Documents and Settings^SANDA^Menu Avvio^Programmi^Esecuzione automatica^PandaUSBVaccine.lnk]
backup=c:\windows\pss\PandaUSBVaccine.lnkStartup
path=c:\documents and settings\SANDA\Menu Avvio\Programmi\Esecuzione automatica\PandaUSBVaccine.lnk

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HitmanPro35]
2010-05-30 03:42 5937984 ----a-w- c:\programmi\Hitman Pro 3.5\HitmanPro35.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
2010-02-18 09:43 248040 ----a-w- c:\programmi\File comuni\Java\Java Update\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\Programmi\\Messenger\\msmsgs.exe"=
"c:\\WINDOWS\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\Network Diagnostic\\xpnetdiag.exe"=

R0 02213742;02213742 Boot Guard Driver;c:\windows\system32\drivers\02213742.sys [05/06/2010 16.44.16 37392]
R1 02213741;02213741;c:\windows\system32\drivers\02213741.sys [05/06/2010 16.44.16 128016]
R1 aswSP;aswSP;c:\windows\system32\drivers\aswSP.sys [01/06/2010 15.30.45 164048]
R1 OADevice;OADriver;c:\windows\system32\drivers\OADriver.sys [29/01/2010 16.31.01 223312]
R1 OAmon;OAmon;c:\windows\system32\drivers\OAmon.sys [29/01/2010 16.31.01 24656]
R1 OAnet;OAnet;c:\windows\system32\drivers\OAnet.sys [29/01/2010 16.31.01 29776]
R1 pctgntdi;pctgntdi;c:\windows\system32\drivers\pctgntdi.sys [21/04/2010 14.39.24 233136]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [01/06/2010 15.30.45 19024]
R2 PCTAppEvent;PCTAppEvent Driver;c:\windows\system32\drivers\PCTAppEvent.sys [24/12/2009 12.35.43 88040]
R3 M3000Srv;USB2.0 UVC WebCam Driver;c:\windows\system32\drivers\M3000KNT.sys [10/08/2009 14.33.03 145408]
R3 PCTFW-PacketFilter;PCTools Firewall - Packet filter driver;c:\windows\system32\drivers\pctNdis-PacketFilter.sys [21/04/2010 14.39.09 70664]
R3 pctNDIS;PC Tools Driver;c:\windows\system32\drivers\pctNdis.sys [21/04/2010 14.39.09 58816]
R3 pctplfw;pctplfw;c:\windows\system32\drivers\pctplfw.sys [21/04/2010 14.39.05 115216]
S2 Communication Modem Device Manager II;Communication Modem Device Manager II;c:\windows\system32\RegService.exe [10/08/2009 14.57.40 135168]
S3 cmnsusbser;Mobile Connector USB Device for Legacy Serial Communication LCT2053s;c:\windows\system32\drivers\cmnsusbser.sys [02/09/2009 19.31.33 103424]
S3 cmusbser;Mobile Connector USB Device for Legacy Serial Communication LCT2051;c:\windows\system32\drivers\cmusbser.sys [10/08/2009 14.57.42 103552]
S3 ewusbnet;HUAWEI USB-NDIS miniport;c:\windows\system32\drivers\ewusbnet.sys [20/11/2009 19.45.25 112640]
S3 hwusbfake;Huawei DataCard USB Fake;c:\windows\system32\drivers\ewusbfake.sys [20/11/2009 19.45.25 102656]
S3 MEMSWEEP2;MEMSWEEP2;\??\c:\windows\system32\1.tmp c:\windows\system32\1.tmp
S3 nmwcdnsu;Nokia USB Flashing Phone Parent;c:\windows\system32\drivers\nmwcdnsu.sys c:\windows\system32\drivers\nmwcdnsu.sys
S3 nmwcdnsuc;Nokia USB Flashing Generic;c:\windows\system32\drivers\nmwcdnsuc.sys c:\windows\system32\drivers\nmwcdnsuc.sys
S3 RSUSBSTOR;RTS5121.Sys Realtek USB Card Reader;c:\windows\system32\Drivers\RTS5121.sys c:\windows\system32\Drivers\RTS5121.sys
S3 Rts516xIR;Realtek IR Driver;c:\windows\system32\DRIVERS\Rts516xIR.sys c:\windows\system32\DRIVERS\Rts516xIR.sys
S3 utmynjc3;AVZ Kernel Driver;c:\windows\system32\drivers\utmynjc3.sys [05/06/2010 17.39.25 7168]
.
.
------- Scansione supplementare -------
.
uStart Page = hxxp://www.giustizia.it/giustizia/
uDefault_Search_URL = hxxp://www.google.com/ie
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: E&sporta in Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
Trusted Zone: giustizia.it\www
Trusted Zone: microsoft.com\update
Trusted Zone: microsoft.com\windowsupdate
FF - ProfilePath - c:\documents and settings\SANDA\Dati applicazioni\Mozilla\Firefox\Profiles\qr00g8m3.default\
FF - prefs.js: browser.search.defaulturl - hxxp://search.babylon.com/web/{searchTerms}?babsrc=browsersearch
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://it.start3.mozilla.com/firefox?cl ... t:official
FF - plugin: c:\programmi\Java\jre6\bin\npjpi160_20.dll

---- FIREFOX POLICIES ----
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\programmi\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\programmi\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\programmi\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\programmi\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\programmi\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation", false);
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\programmi\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-06-05 19:56
Windows 5.1.2600 Service Pack 3 NTFS

scansione processi nascosti ...

scansione entrate autostart nascoste ...

Scansione files nascosti ...

Scansione completata con successo
Files nascosti: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\MEMSWEEP2]
"ImagePath"="\??\c:\windows\system32\1.tmp"
.
--------------------- Dlls caricate dai processi in esecuzione ---------------------

- - - - - - - > 'explorer.exe'(2736)
c:\windows\system32\WININET.dll
c:\windows\system32\webcheck.dll
.
Ora fine scansione: 2010-06-05 19:58:28
ComboFix-quarantined-files.txt 2010-06-05 17:58

Pre-Run: 143.167.352.832 byte disponibili
Post-Run: 143.124.541.440 byte disponibili

- - End Of File - - 1C7A57FB4F223DDA7C84BB6E5CD55C0D
poi. per favore mi dite che cosa devo fare?????
di nuovo tante grazie,vily.

[stevens]

vily puoi controllare in C:\ se hai anche il log della precedente scansione con combofix? controlla sempre in C:\ se e' presente la cartella qoobox e quali file contiene

[Vily]

o si steven, già controllato quando mi hai detto prima, ma non ce, perché io mi sono spaventata quando il pc e rimasto blocato e o cancellato tutto di combofix...ho fatto male, vero? ( poi o letto che devi cancellare tutto dopo la scansione)ci sono problemi adesso con il log di combofix?
grazie, vily.

[stevens]

usi ancora sophos antirootkit?

[Vily]

l'ho scaricato oggi, l'ho devo togliere o fare una scansione?
p-s. che cosa dice il log di combofix? cose brute e cative?
grazie, vily.

[markinson]

Ciao Vily, prima di tutto, aspetta i suggerimenti di stevens che, sulla materia, è davvero bravo.
Intanto, mi ti dico quello che penso.

l'ho scaricato oggi, l'ho devo togliere o fare una scansione?

Parlando di Sophos Anti-Rootkit Io farei una scansione. Male non fa di sicuro.

p-s. che cosa dice il log di combofix? cose brute e cative? ...

A parte qualche elemento un po' ambiguo (tipo c:\windows\system32\1.tmp) non mi sembra che segnali malware ... ripeto: non mi sembra.
Da una rapida lettura, credo di aver capito che hai installato e rimosso parecchi programmi di protezione (antivirus, firewall, antispyware, etc.).
Adesso hai Avast! e PC Tools Firewall Plus, giusto? Quindi una buona protezione (sempre secondo me).

Dopo la scansione di Sophos Anti-Rootkit, fai fare un controllo anche ad Avast!.