Newsgroup: it.comp.sicurezza.varie
Titolo: siti porno al boot

ciao, ad ogni avvio mi appare una finestra in cui mi si invita in siti 
porno vietati ai minori ecc ecc poi si apre explorer, il desktop è pieno 
di icone porno... si insomma le "solite robe", googlando ho visto che 
molti hanno avuto sti problemi, ho cancellato diversi file in 
/windows/system32 ma tutti non li trovo... e ovviamente i vari 
anti-tutto non servono a niente. ho visto che molti hanno risolto con 
HijackThis, sapete dirmi cosa devo fixare tra tutta sta roba?
grazie
ecco il log
Logfile of HijackThis v1.99.1
Scan saved at 20.27.06, on 07/07/2005
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\TEXTBR~1.0\BIN\INSTAN~1.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\itDDD.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
C:\Programmi\LG PC Suite\LG PC Sync\LGSyncManager.exe
C:\WINDOWS\SYSTEM32\siscmon.exe
C:\Programmi\MSI\PC Alert 4\PCAlert4.exe
C:\Programmi\MemoRex\MemoRex.exe
C:\Documents and Settings\Federica\Desktop\jjryj\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
www.skymasters.biz?2015
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = 
http://www.msn.it
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
C:\WINDOWS\SYSTEM\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - 
C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - 
C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: @msdxmLC.dll,-1@1040,&Radio - 
{8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} 
- C:\Programmi\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [InstantAccess] C:\PROGRA~1\TEXTBR~1.0\BIN\INSTAN~1.EXE /h
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [MemoREX] "C:\Programmi\MemoRex\MemoRexStart.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File 
comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [Systems] C:\WINDOWS\System32\itDDD.exe
O4 - HKLM\..\Run: [Anti Trojan Elite] C:\Programmi\Anti Trojan 
Elite\TJEnder.exe :NO
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec 
Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programmi\File comuni\Symantec 
Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [eTrust PestPatrol Active Protection] none
O4 - Startup: PC Alert 4.lnk = C:\Programmi\MSI\PC Alert 4\PCAlert4.exe
O4 - Global Startup: Controllo del Calendario di Ulead Photo Express.lnk 
= C:\Programmi\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
O4 - Global Startup: LG SyncManager.lnk = ?
O4 - Global Startup: siscmon.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - 
C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - 
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O12 - Plugin for .pdf: C:\PROGRA~1\INTERN~1\PLUGINS\nppdf32.dll
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O15 - Trusted Zone: 
www.archiviosex.net
O15 - Trusted Zone: 
www.redfunny.com
O15 - Trusted Zone: 
www.skymasters.biz
O16 - DPF: {10000000-1000-0000-1000-000000000000} - 
ms-its:mhtml:file://C:\foo.mht!
http://www.free32.com/POP.CHM::/sp.exe
O16 - DPF: {15320607-1001-1831-1000-118599957123} - 
ms-its:mhtml:file://C:\PATH.MHT!
http://195.225.176.5//d//nxdqloh//lgivarx//vrvrrtv//irkqpg//IT//arct.chm::/painter.exe
O16 - DPF: {B54CEBFE-9BB6-11D5-BA31-204C4F4F5020} (SoleCd.clsSolecd) - 
file://C:\Programmi\ilSoleCD\Solecd.CAB
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash 
Object) - 
https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DB893839-10F0-4AF9-92FA-B23528F530AF} - 
http://deposito.hostance.net/dialer/506832.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation 
- C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec 
Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec 
Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - 
C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Servizio Auto-Protect di Norton AntiVirus (navapsvc) - 
Symantec Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - 
Symantec Corporation - C:\Programmi\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation 
- C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmi\Norton 
AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation 
- C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec 
Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - 
C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - 
C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe

 /windows/system32 ma tutti non li trovo... e ovviamente i vari
11 passi @ 
http://www.romanelmondo.com/sugg/spy.htm
 + una passata con 
VirIt 
http://www.tgsoft.it/italy/index_ita.html
-- 
Andrea
« - » « - » « - » « - » « - »
 
www.amicideltibet.it
« - » « - » « - » « - » « - » 

Azz...
Il solo visualizzare il msg a capo del thread mi manda in allarme sia 
Antivir che Norton


Sono un pelino paranoici.
Beh, certo, se leggi il newsgroup con un reader settato per onorare
l'HTML, anche la sola lista di hijackthis puo' contenere codice maligno
(beh, e' un link maligno, per l'esattezza) oppure si fida del nome di
qualche eseguibile, o di qualche class-id come firma del malware.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 HijackThis, sapete dirmi cosa devo fixare tra tutta sta roba?
prova con elite toolbar remover (da google) col pc avviato in modalità
provvisoria.
Poco tempo fa ho avuto un problema simile presso 3 o 4 clienti e questo
programmino me l'ha risolto alla grande. ;)
-- 
Davide