Newsgroup: it.comp.aiuto
Titolo: Btcar.com

Ciao
infettato da DNS HIJACKER.85-255 ho acquistato l'ultima versione di
SpyNoMore. Purtroppo dopo aver fatto la scansione del PC e pulito alcuni
spyware il problema permane. In effetti ad ogni ricerca con un motore il
browser viene indirizzato su btcar. com oppure su altri siti. Cosa fare?
Saluti



Google è pieno di casi del genere. Solo che come spesso accade, non c'è una
soluzione univoca, perché questo genere di disgrazie vengono installate in
verie forme. Per prima cosa verifica che ci sia questo file nel PC:
C:\WINNT\system32\kd*.exe  dove al posto dell'asterisco ci sono tre lettere
a caso, del tipo qyc o yuk
nella maggioranza dei casi che ho esaminato è implicato.
Poi fai il solito log con HijackThis, e copia-incollalo su:
http://www.ilsoftware.it/hijackthis.asp
Fattelo controllare e vedi che genere di malware lui rileva. Dopo se non
sai cosa fare posta qui i risultati che qualcuno ti darà qualche
indicazione.
-- 
Ciao, Guglielmo.

Grazie il file indicato non è presente. Comunque ecco il log:
Logfile of HijackThis v1.99.1
Scan saved at 19.37.42, on 31.03.2007
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\NVSVC.EXE
C:\PROGRAMMI\
MCAFEE.COM
\VSO\MCSHLD9X.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMMI\
MCAFEE.COM
\VSO\OASCLNT.EXE
C:\PROGRAMMI\
MCAFEE.COM
\VSO\MCVSSHLD.EXE
C:\PROGRAMMI\
MCAFEE.COM
\VSO\MCVSESCN.EXE
C:\PROGRAMMI\
MCAFEE.COM
\AGENT\MCAGENT.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAMMI\LOGITECH\MOUSEWARE\SYSTEM\EM_EXEC.EXE
C:\PROGRAMMI\
MCAFEE.COM
\AGENT\MCTSKSHD.EXE
C:\WINDOWS\SYSTEM\HPNRA.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\SBPCI\CTMIX32.EXE
C:\PROGRAMMI\MICROSOFT OFFICE\OFFICE\MSOFFICE.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAMMI\HIJACKTHIS.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.bluewin.ch/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet
Settings,ProxyServer = 
proxyzh.bluewin.ch:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet
Settings,ProxyOverride =
127.0.0.1;
bin.mcafee.com
;
download.mcafee.com
;
it.mcafee.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
O1 - Hosts: 66.40.16.218 
auto.search.msn.com
O1 - Hosts: 66.40.16.227 
www.yahoo.org
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\PROGRAMMI\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} -
C:\PROGRAMMI\
MCAFEE.COM
\VSO\MCVSSHL.DLL
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\LOGITECH\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE
c:\windows\SYSTEM\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [VSOCheckTask] "C:\PROGRA~1\
MCAFEE.COM
\VSO\MCMNHDLR.EXE"
/checktask
O4 - HKLM\..\Run: [MCAgentExe] C:\PROGRA~1\
MCAFEE.COM
\AGENT\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\
MCAFEE.COM
\AGENT\MCUPDATE.EXE
O4 - HKLM\..\Run: [MCTskShd] C:\PROGRA~1\
MCAFEE.COM
\AGENT\mctskshd.exe
O4 - HKLM\..\Run: [HP Network Registry Agent] C:\WINDOWS\SYSTEM\HPNRA.EXE
O4 - HKLM\..\Run: [CreativeMixer] C:\SBPCI\ctmix32.exe /T
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [NVSvc] c:\windows\SYSTEM\nvsvc.exe -runservice
O4 - HKLM\..\RunServices: [McShld9x]
C:\Programmi\McAfee.com\VSO\mcshld9x.exe
O4 - Startup: Barra degli strumenti Microsoft Office.lnk =
C:\Programmi\Microsoft Office\Office\MSOFFICE.EXE
O8 - Extra context menu item: &Search -
http://kn.bar.need2find.com/KN/menusearch.html?p=KN
O9 - Extra button: MP3 - {1537E842-0000-11D2-8059-111111111111} -
C:\WINDOWS\SYSTEM\SHDOCVW.DLL
O9 - Extra 'Tools' menuitem: &WinMp3Locator -
{1537E842-0000-11D2-8059-111111111111} - C:\WINDOWS\SYSTEM\SHDOCVW.DLL
O9 - Extra button: Files - {1537E842-0001-11D2-8059-111111111111} -
C:\WINDOWS\SYSTEM\SHDOCVW.DLL
O9 - Extra 'Tools' menuitem: &FileLocator -
{1537E842-0001-11D2-8059-111111111111} - C:\WINDOWS\SYSTEM\SHDOCVW.DLL
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) -
http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_ansi.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer =
85.255.116.71,85.255.112.130
O18 - Filter: text/html - (no CLSID) - (no file)
"Guglielmo" <mmemmoTO...@tiscali.it.invalid> ha scritto nel messaggio
news:1ad31fdjb31d3$.vftvyqg981fb$.dlg@40tude.net...


 
http://kn.bar.need2find.com/KN/menusearch.html?p=KN
Intanto procedi a queste operazioni, riavvia il PC e verifica se il
problema persite. Nel caso sia così, rifai un log e vediamo se si sono
ricreati o c'è dell'altro da fare. Tipo aprire il file hosts e darci una
occhiata più diretta.
-- 
Ciao, Guglielmo.

Quando dice fixare ^questi due..........................come si fa?
"Guglielmo" <mmemmoTO...@tiscali.it.invalid> ha scritto nel messaggio
news:14xdtibb2aw1u.s6736lwelk8y$.dlg@40tude.net...


 Quando dice fixare ^questi due..........................come si fa?
Seleziona la voce mettendogli il segno di spunta accanto ad essa, e clicca
in basso su "Fix checked"
Ah quandoa hai un po' di tempo a disposizione, cerca di capire come si fa a
quotare in maniera corretta i post cui rispondi:
http://wiki.news.nic.it/QuotarBene
-- 
Ciao, Guglielmo.

 occhiata più diretta.
Fatto ed ecco il log rifatto:
Logfile of HijackThis v1.99.1
Scan saved at 18.11.41, on 01.04.2007
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\NVSVC.EXE
C:\PROGRAMMI\
MCAFEE.COM
\VSO\MCSHLD9X.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMMI\
MCAFEE.COM
\VSO\OASCLNT.EXE
C:\PROGRAMMI\
MCAFEE.COM
\VSO\MCVSSHLD.EXE
C:\PROGRAMMI\
MCAFEE.COM
\VSO\MCVSESCN.EXE
C:\PROGRAMMI\
MCAFEE.COM
\AGENT\MCAGENT.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAMMI\LOGITECH\MOUSEWARE\SYSTEM\EM_EXEC.EXE
C:\PROGRAMMI\
MCAFEE.COM
\AGENT\MCTSKSHD.EXE
C:\SBPCI\CTMIX32.EXE
C:\PROGRAMMI\MICROSOFT OFFICE\OFFICE\MSOFFICE.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.bluewin.ch/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet
Settings,ProxyServer = 
proxyzh.bluewin.ch:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet
Settings,ProxyOverride =
127.0.0.1;
bin.mcafee.com
;
download.mcafee.com
;
it.mcafee.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\PROGRAMMI\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} -
C:\PROGRAMMI\
MCAFEE.COM
\VSO\MCVSSHL.DLL
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\LOGITECH\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE
c:\windows\SYSTEM\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [VSOCheckTask] "C:\PROGRA~1\
MCAFEE.COM
\VSO\MCMNHDLR.EXE"
/checktask
O4 - HKLM\..\Run: [MCAgentExe] C:\PROGRA~1\
MCAFEE.COM
\AGENT\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\
MCAFEE.COM
\AGENT\MCUPDATE.EXE
O4 - HKLM\..\Run: [MCTskShd] C:\PROGRA~1\
MCAFEE.COM
\AGENT\mctskshd.exe
O4 - HKLM\..\Run: [CreativeMixer] C:\SBPCI\ctmix32.exe /T
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [NVSvc] c:\windows\SYSTEM\nvsvc.exe -runservice
O4 - HKLM\..\RunServices: [McShld9x]
C:\Programmi\McAfee.com\VSO\mcshld9x.exe
O4 - Startup: Barra degli strumenti Microsoft Office.lnk =
C:\Programmi\Microsoft Office\Office\MSOFFICE.EXE
O9 - Extra button: MP3 - {1537E842-0000-11D2-8059-111111111111} -
C:\WINDOWS\SYSTEM\SHDOCVW.DLL
O9 - Extra 'Tools' menuitem: &WinMp3Locator -
{1537E842-0000-11D2-8059-111111111111} - C:\WINDOWS\SYSTEM\SHDOCVW.DLL
O9 - Extra button: Files - {1537E842-0001-11D2-8059-111111111111} -
C:\WINDOWS\SYSTEM\SHDOCVW.DLL
O9 - Extra 'Tools' menuitem: &FileLocator -
{1537E842-0001-11D2-8059-111111111111} - C:\WINDOWS\SYSTEM\SHDOCVW.DLL
O18 - Filter: text/html - (no CLSID) - (no file)
grazie

 Fatto ed ecco il log rifatto
[CUT]
Il problema persite vero?
Il log sembra a posto stavolta. Immagino che hai seguito quello che ti ho
indicato e hai riavviato il PC prima di rifare il log. 
Hai scritto nel primo post che avevi usato  SpyNoMore, ma non hai
specificato se hai ripulito il registro con un'altra utility apposita.
OK, per precauzione rifai una passata con il tool SpyNoMore e poi subito
dopo usa questo Registry Cleaner Tool:
http://install.regcure.hop.clickbank.net/?aid=3125&p=download
E vediamo che succede così.
-- 
Ciao, Guglielmo.

 E vediamo dopo che succede cosě.
un bl di guerra: 650 errori

 un bl di guerra: 650 errori
LOL!!! bella battuta :)
Hai riavviato il PC e verificato che la navigazione non venga reindirizzata
altrove?
-- 
Ciao, Guglielmo.

 altrove?
..anche senza aver corretto alcuno di questi 650 errori?