Newsgroup: it.comp.sicurezza.windows
Titolo: Rimozione chiave ISTBAR

Controllando con Ad-aware ho come unico risultato una chiave di registro di
istbar, la cancello ma all'accensione successiva me la ritrovo di nuovo.
Avreste qualche suggerimento su come risalire al programma che la iinstalla?
Si tenga conto che con uno scan approfondito non viene trovato nulla sul
disco e neppure fra i programmi caricati in memoria.
p.s. In precedenza era stato rimosso istbar con ad-aware ma è rimasto questo
inconveniente
Seguono dettagli dello scan
Grazie
Massimo
 
Memory scan result:
New critical objects: 0
Started registry scan
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
 istbar Object Recognized!
    Type : RegValue
    Data :
    Category : Malware
    Comment : "{FAA356E4-D317-42A6-AB41-A3021C6E7D52}"
    Rootkey : HKEY_USERS
    Object :
S-1-5-21-3289672537-1523729450-3845334816-1003\software\microsoft\internet
explorer\toolbar\webbrowser
    Value : {FAA356E4-D317-42A6-AB41-A3021C6E7D52}
Registry Scan result:
New critical objects: 1
Deep registry scan result:
New critical objects: 0
Tracking cookie scan result:
New critical objects: 0
File Information Resources+
+File name : webbrowser
+File path :
S-1-5-21-3289672537-1523729450-3845334816-1003\software\microsoft\internet
explorer\toolbar\
+Size : 0 Bytes
PE Information+
Exported functions+
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 nuovo.
[...]
Informazioni:
http://securityresponse.symantec.com/avcenter/venc/data/adware.istbar.html
Removal tool: 
http://securityresponse.symantec.com/avcenter/FxIstbar.exe
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyquick.mspx
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer/OE 2003/2004/2005
http://mvp.support.microsoft.com/


Grazie a tutti ma nč Hijackthis ne' FxIstbar.exe hanno risolto il problema;
FxIstbar.exe ha cancellato qualcosa ma non ha trovato adware.istbar e la
chiave di registro č rimasta, la ho individuata e cancellata con ad-aware ma
poi al reboot č ricomparsa.
Probabilmente non crea nessun danno perchč le altre componenti di istbar
erano state rimosse pero' non posso averne la certezza.
Faccio una domanda piu generica:
esiste un software che durante il boot, oltre che monitorare modifiche al
registro riesce a dirmi la causa e a scriverlo su log? mi sembra strano che
tecnicamente non si sia in grado di vedere da cosa č generata.
Grazie
Massimo
segue log Adware.Istbar / Trojan.ISTsvc Removal Tool 1.1.0
registry:
HKEY_USERS\S-1-5-21-3289672537-1523729450-3845334816-1003\Software\Microsoft\Internet
Explorer\Extensions\CmdMapping: {10E42047-DEB9-4535-A118-B3F6EC39B807}
(value deleted)
registry:
HKEY_USERS\S-1-5-21-3289672537-1523729450-3845334816-1003\Software\Microsoft\Internet
Explorer\Main: BandRest (value deleted)
registry:
HKEY_USERS\S-1-5-21-3289672537-1523729450-3845334816-1003\Software\Microsoft\Internet
Explorer\Main: Search Bar (value deleted)
registry:
HKEY_USERS\S-1-5-21-3289672537-1523729450-3845334816-1003\Software\Microsoft\Internet
Explorer\Main: Search Page_bak (value deleted)
registry:
HKEY_USERS\S-1-5-21-3289672537-1523729450-3845334816-1003\Software\Microsoft\Internet
Explorer\Main: Start Page_bak (value deleted)
registry:
HKEY_USERS\S-1-5-21-3289672537-1523729450-3845334816-1003\Software\Microsoft\Internet
Explorer\Main: Use Search Assistant (value deleted)
registry:
HKEY_USERS\S-1-5-21-3289672537-1523729450-3845334816-1003\Software\Microsoft\Internet
Explorer\Search: SearchAssistant (value deleted)
registry: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main:
BandRest (value deleted)
C:\System Volume Information: (not scanned)
Adware.Istbar has not been found on your computer.


poi al reboot č ricomparsa.
Hai abilitato la visualizzazione dei file nascosti prima?
-- 
Buon cammino!
il_pellegrino
"Leggo per legittima difesa." - Woody Allen

 tecnicamente non si sia in grado di vedere da cosa è generata.
Metti in avvio automatico Regmon di SyInternals, ma provalo prima e usa un
filtro altrimenti
ti fa un log mostruoso.
Comunque, io consiglio un tot di passi: sempre da 
www.sysinternals.com
,
tira giù Autoruns e Process Explorer. Avvia in modalità provvisoria,
poi con il primo vedi quello che parte in automatico (ah, spunta "hide
microsoft signed entries" e fai un refresh) col secondo vedi cosa gira,
killa *l'intero program tree* di quello che è anche solo un po' sospetto,
torni al primo e ne togli l'avvio automatico.
A questo punto, puoi finalmente far girare i vari tools di pulizia,
AV eccetera. Poi vai di windowsupdate.
Bye, G.