Newsgroup: it.comp.os.win.xp
Titolo: Impossibile ripristinare la homepage

Ciao a tutti.
E' successo anche a me: con IE 6 SP1 mi è stata cambiata
la homepage da qualche popup del cavolo. Il problema sussiste
anche dopo aver fatto passo-passo sia quanto scritto a riguardo
sulla MS Knowledge Base, sia nell'articolo di Vincenzo Di Russo.
Spybot S&D e Ad-aware rilevano giusto qualche cookie;
CWSrhedder non rileva nulla;
Hijack This rileva i cambi di home page nel registro.
Allora gli faccio eliminare le rispettive voci dal registro,
ma riapro IE e magicamente ricompaiono. Allora riavvio Hijack This ed
eccoli di nuovo rilevati.
Anche se provo a rimuoverli manualmente (con regedit.exe), nisba.
Ricompaiono magicamente. Noon c'è neanche bisogno di riavviare
Windows...
L'antivirus (Antivir P.E., aggiornato) non rileva nulla. Per la
verità aveva rilevato un'intrusione, quando è avvenuto il fattaccio,
di un trojan. Sul momento non ci ho prestato più di tanto
attenzione e l'ho fatto rimuovere. 
Ora il sistema è pulito, ma questa diamine di home Page di
IE non riesco a ripristinarla.
Come posso fare?
Grazie e ciao!
-- 
capitan harlock
"It took me four days to hitch-hike from Saginaw
And now I've come to look for America" -- S. & G.

 sulla MS Knowledge Base, sia nell'articolo di Vincenzo Di Russo.
[...]
Quale home page si reimposta automaticamente?
Mi occorre l'URL esatto.
--
Vincenzo Di Russo
Microsoft® MVP - Windows - Internet Explorer/OE
news:microsoft.public.it.internet_explorer
http://support.microsoft.com/newsgroups
http://mvp.support.microsoft.com

 Grazie e ciao!
Ciao,
    probabilmente hai la macchina contaminata da qualche eseguibile non
ancora mappato dai tuoi software anti-spyware/hijack.
    Devi cercare nei vari "punti" di avvio di Windows un'applicazione che
c'é ma non dovrebbe esserci. Se sai quali software lecitamente vanno ad
avviarsi in automatico non è così difficile come sembra. Se vai sul sito
http://www.sysinternals.com
 hanno un'utility che si chiama AutoRuns,
assolutamente free, che ti fa vedere tutti i posti da dove Windows esegue
l'avvio automatico dei programmi. Scaricala ed eseguila. Consente di
esportare un report in formato testo dello stato del sistema. Se lo posti ci
si da un'occhiata.
Un salutone.
Andrea Alberto "Twin Aces" Martinoli
From Italy with a smile! :-)
(L'indirizzo di posta elettronica utilizzato per questo messaggio è un
indirizzo societario. I contenuti del messaggio sono proprietà intellettuale
dello scrivente e possono non coincidere minimamente con le idee della
società.)

 Mi occorre l'URL esatto.
Qualche altra domanda: hai provato ad eseguire tutto l'armamentario di tools
antispy/malware in modalità provvisoria?
Credo che in questo caso sia proprio necessario.
Hai aggiornato SpyBot e Ad-aware prima di eseguirli?


 Hai aggiornato SpyBot e Ad-aware prima di eseguirli?
ciao.
L'url è 
http://213
 punto 159 punto 117 punto 132/redir.php.
Hijack this lo rileva in 6 chiavi del registro:
3 sotto HKCU e 3 sotto HKLM, entrambe in
\Software\Microsoft\Internet Explorer\Main, chiavi
Start Page, Local Page e Default Page.
Mi sono dimenticato di scriverlo prima, ma ho eseguito i
test sia in modalità normale che provvisoria.
I due software erano aggiornati ma... nulla di fatto.
Grazie mille per l'aiuto!


 si da un'occhiata.
Ti faccio sapere subitissimo 
ciao


 ciao
Eccolo quà, ma mi sembra che non ci sia nulla di sbagliato....
%%%BEGIN QUOTE%%%%
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify			
+ cscdll	Agente rete disconnessa	Microsoft Corporation	
C:\WINDOWS\system32\cscdll.dll
+ ScCertProp	DLL comune per ricevere le notifiche di Winlogon	Microsoft
Corporation	C:\WINDOWS\system32\wlnotify.dll
+ Schedule	DLL comune per ricevere le notifiche di Winlogon	Microsoft
Corporation	C:\WINDOWS\system32\wlnotify.dll
+ SensLogn	DLL comune per ricevere le notifiche di Winlogon	Microsoft
Corporation	C:\WINDOWS\system32\wlnotify.dll
+ termsrv	DLL comune per ricevere le notifiche di Winlogon	Microsoft
Corporation	C:\WINDOWS\system32\wlnotify.dll
+ wlballoon	DLL comune per ricevere le notifiche di Winlogon	Microsoft
Corporation	C:\WINDOWS\system32\wlnotify.dll
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit			
+ C:\WINDOWS\system32\userinit.exe	Applicazione accesso Userinit	Microsoft
Corporation	C:\WINDOWS\system32\userinit.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell			
+ Explorer.exe	Esplora risorse	Microsoft Corporation	
C:\WINDOWS\explorer.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run			
+ SynTPLpr	TouchPad Driver Helper Application	Synaptics, Inc.	
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
+ SynTPEnh	Synaptics TouchPad Enhancements	Synaptics, Inc.	
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
+ QuickTime Task		Apple Computer, Inc.	
C:\Programmi\Utilities\QuickTime\qttask.exe
+ CPQEASYACC	STARTEAK	Compaq Computer Corporation	C:\Programmi\COMPAQ\Easy
Access Button Support\STARTEAK.exe
+ AVGCtrl	AntiVir Guard Control Program	H+BEDV Datentechnik GmbH	
C:\Programmi\Utilities\AVPersonal\AVGNT.EXE
C:\Documents and Settings\All Users\Menu Avvio\Programmi\Esecuzione
automatica			
+ Microsoft Office.lnk	Microsoft Office 2000 component	Microsoft
Corporation	C:\Programmi\Microsoft Office\Office\OSA9.EXE
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components			
+ Windows Media Player	Utilità di configurazione di Microsoft Windows Media
Player	Microsoft Corporation	C:\WINDOWS\inf\unregmp2.exe
+ Internet Explorer	Windows NT User Data Migration Tool	Microsoft
Corporation	C:\WINDOWS\system32\shmgrate.exe
+ Outlook Express	Windows NT User Data Migration Tool	Microsoft Corporation	
C:\WINDOWS\system32\shmgrate.exe
+ Themes Setup	Microsoft(C) Register Server	Microsoft Corporation	
C:\WINDOWS\system32\regsvr32.exe
+ Microsoft Outlook Express 6	Libreria dell'installazione di Outlook
Express	Microsoft Corporation	C:\Programmi\OUTLOOK EXPRESS\setup50.exe
+ NetMeeting 3.01	ADVPACK	Microsoft Corporation	
C:\WINDOWS\system32\advpack.dll
+ Windows Messenger 4.0	ADVPACK	Microsoft Corporation	
C:\WINDOWS\system32\advpack.dll
+ Microsoft Windows Media Player	ADVPACK	Microsoft Corporation	
C:\WINDOWS\system32\advpack.dll
+ Rubrica 6	Libreria dell'installazione di Outlook Express	Microsoft
Corporation	C:\Programmi\OUTLOOK EXPRESS\setup50.exe
+ Windows Desktop Update	Microsoft(C) Register Server	Microsoft Corporation	
C:\WINDOWS\system32\regsvr32.exe
+ Internet Explorer 6	Internet Explorer 5.0 - Utilità di installazione per
utente	Microsoft Corporation	C:\WINDOWS\system32\ie4uinit.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad			
+ PostBootReminder	DLL comune della shell di Windows	Microsoft Corporation	
C:\WINDOWS\system32\shell32.dll
+ CDBurn	DLL comune della shell di Windows	Microsoft Corporation	
C:\WINDOWS\system32\shell32.dll
+ WebCheck	Utilità di monitoraggio siti Web	Microsoft Corporation	
C:\WINDOWS\system32\webcheck.dll
+ SysTray	Oggetto servizio shell Systray	Microsoft Corporation	
C:\WINDOWS\system32\stobject.dll
+ System			C:\WINDOWS\system32\system32.dll
%%% END QUOTE %%%%
Grazie mille dell'aiuto anche a te!


 Start Page, Local Page e Default Page.
[...]
Probabilmente un parassita di recentissima generazione.
Puoi postare la parte del file di .log di HJT relativa alle chiavi
modificate?


 modificate?
certamente:
%%BEGIN
Logfile of HijackThis v1.97.7
Scan saved at 17.51.00, on 28/05/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Utilities\AVPersonal\AVGUARD.EXE
C:\Programmi\Utilities\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\Explorer.EXE
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Programmi\Utilities\QuickTime\qttask.exe
C:\Programmi\Compaq\Easy Access Button Support\StartEAK.exe
C:\Programmi\Utilities\AVPersonal\AVGNT.EXE
C:\Programmi\Compaq\Easy Access Button Support\CPQEADM.EXE
C:\Compaq\EAKDRV\EAUSBKBD.EXE
C:\PROGRA~1\Compaq\EASYAC~1\BttnServ.exe
C:\Programmi\Utilities\Dialog\dialog.exe
C:\Documents and Settings\carlo\Desktop\incoming\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://213.159.117.132/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
http://213.159.117.132/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
http://213.159.117.132/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
http://213.159.117.132/redir.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
http://213.159.117.132/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
http://213.159.117.132/redir.php
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programmi\Utilities\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
C:\Programmi\Utilities\SpybotS&D\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QuickTime Task]
"C:\Programmi\Utilities\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [CPQEASYACC] C:\Programmi\Compaq\Easy Access Button
Support\StartEAK.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Programmi\Utilities\AVPersonal\AVGNT.EXE
/min
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft
Office\Office\OSA9.EXE
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX
Control) -
http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} -
http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} -
http://www.xblock.com/download/xclean_micro.exe
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} -
http://a1540.g.akamai.net/7/1540/52/20040105/qtinstall.info.apple.com/mickey/it/win/QuickTimeFullInstaller.exe
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) -
http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38026.499837963
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object)
- 
http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
%%%END
grazie e ciao


 O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} -
[...]
Ho quotato l'immondizia che ritengo "colpevole".
Vai qui:
http://www.spywareinfo.com/forums/index.php
?
- Premi il pulsante "Register" -> Welcome Guest (Log In | Register) e ti
trovi qui:
http://www.spywareinfo.com/forums/index.php?act=Reg&CODE=00
- Completa la procedura di registrazione e vai:
http://www.spywareinfo.com/forums/index.php?showforum=30
- Premi il pulsante "New Topic" e posta il file di .log di Hijackthis.
E anche qui: 
http://forum.mvps.org/viewforum.php?f=28
- Registrati: 
http://forum.mvps.org/profile.php?mode=register
- Quindi torna alla pagina del forum e premi il pulsante "New Topic".
- Posta il file di .log di HJThis e vedrai che in brevissimo tempo qualche
esperto ti risponderà.


 capitan harlock wrote:

Problema risolto!
Grazie veramente di tutto l'aiuto
Ciao
