Newsgroup: it.comp.aiuto
Titolo: virus Email-Worm.Win32.Agent.e

Spero di aver più fortuna in questo forum.
Kaspersky  trova ed elimina il virus in oggetto, ma ad ogni riavvio 
ricompare. Non sono riuscito a trovare nulla per eliminarlo definitvamente.
spero in un vostro aiuto.
ps un occhiata al log? Grazie :-)
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23.57.08, on 22/02/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Uniblue\SpyEraser\SpyEraser.exe
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Outlook Express\msimn.exe
C:\Documents and Settings\utente\Documenti\HiJackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
http://www.ansa.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = 
http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = 
http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = 
http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = 
http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - 
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File 
comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - 
{AE7CD045-E861-484f-8273-0445EE161910} - C:\Programmi\Adobe\Acrobat 
8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - 
C:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [AWMON] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-Watch.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE 
C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [AVP] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 
7.0\avp.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Uniblue SpyEraser] 
"C:\Programmi\Uniblue\SpyEraser\SpyEraser.exe" -m
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 
'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 
'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 
'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 
'Default user')
O8 - Extra context menu item: Aggiungi a PDF esistente - 
res://C:\Programmi\Adobe\Acrobat 
8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Converti destinazione link in Adobe PDF - 
res://C:\Programmi\Adobe\Acrobat 
8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Converti destinazione link in file PDF 
esistente - res://C:\Programmi\Adobe\Acrobat 
8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Converti i link selezionati in Adobe PDF - 
res://C:\Programmi\Adobe\Acrobat 
8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Converti i link selezionati in file PDF 
esistente - res://C:\Programmi\Adobe\Acrobat 
8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Converti in Adobe PDF - 
res://C:\Programmi\Adobe\Acrobat 
8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Converti selezione in Adobe PDF - 
res://C:\Programmi\Adobe\Acrobat 
8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Converti selezione in file PDF esistente - 
res://C:\Programmi\Adobe\Acrobat 
8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - 
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - 
C:\Programmi\Java\jre1.5.0_03\bin\npjpi150_03.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - 
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - 
C:\Programmi\Java\jre1.5.0_03\bin\npjpi150_03.dll
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - 
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - 
C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - 
{e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network 
Diagnostic\xpnetdiag.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - 
http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} - 
http://www.eset.eu/buxus/docs/OnlineScanner.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 
1.5.0) - 
http://javadl-esd.sun.com/update/1.5.0/jinstall-1_5_0_03-windows-i586.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} - 
http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} - 
http://ax.emsisoft.com/asquared.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - 
http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - 
HKLM\System\CCS\Services\Tcpip\..\{94C96F53-7E15-479A-B1C5-D2E480084210}: 
NameServer = 85.37.17.12 85.38.28.79
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll
O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - 
Unknown owner - C:\Programmi\Adobe\Photoshop Elements 
6.0\PhotoshopElementsFileAgent.exe (file missing)
O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Kaspersky Lab - 
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - 
C:\Programmi\File comuni\Macrovision Shared\FLEXnet 
Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - 
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision 
Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 
32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - 
C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SmartLinkService (SLService) -   - 
C:\WINDOWS\SYSTEM32\slserv.exe
--
End of file - 6816 bytes

 ps un occhiata al log? Grazie :-)
Il log dice che c'è ancora. Hai già fatto ripulire dalla modalità 
provvisoria? Hai gia cancellato tutti i punti di ripristino disattivando 
la relativa  utility di Windows?
Sicuro che non c'è un rootkit che si occupa di installartelo ad ogni 
avvio? Già fatte scansioni in tal senso con gmer, ed altri tool rileva 
rootkit analoghi?
Già fatta una prova con combofix?
Ti sei preparato per una formattazione e reinstallazione da zero? :)
-- 
Ciao, Guglielmo.

 Ti sei preparato per una formattazione e reinstallazione da zero? :)
oddio....questo no...ma è cosi tremendo sto cavolo di virus? :-((((( 

 oddio....questo no...ma è cosi tremendo sto cavolo di virus? :-((((( 
Non so se è tremendo, di sicuro so che è più facile evitare di esserne 
colpiti piuttosto che colpire lui per ritorsione :)
-- 
Ciao, Guglielmo.

 colpiti piuttosto che colpire lui per ritorsione :)
insomma guerra preventiva :-)
grazie 1000
proverň a fare cio che mi hai detto... 

 Già che ci sei puoi provare quell'SDFix lì segnalato.
ha funzionato :-)
grazie 

 ha funzionato :-)
Benissimo, ma aspetta a cantar vittoria. Aziona l'ugola canterina solo 
tra qualche giorno, e parecchi riavvii :)
-- 
Ciao, un Guglielmo... no non voglio portar sfiga, ma son cose che succedono.

 succedono.
ossignore pietą:-/