Newsgroup: it.comp.sicurezza.windows
Titolo: malaware (aquatic) AIUTOOO

Qualcuno mi aiuti! Ho installato quello stupido screen saver da 
aquatic ed ora non riesco più a rimuoverlo.Dalla scansione col 
Norton e con la versione pova di security task manager(non è che 
è un tranello?) molti files di programma risultano infetti; 
alcuni sono riuscita ad eliminarli, ma non quelli di 
AQ3HelperStartUp. C'è qualcuno che può darmi una mano?
Incollo qui il prospetto di hijackthis che ho appena scaricato
(ragazzi, non so neppure cosa sia, io di computer non so nulla, 
sto semplicemente andando a naso. anzi, a caso):AIUTATEMI
Logfile of HijackThis v1.99.0
Scan saved at 3.36.36, on 23/01/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton AntiVirus\SAVScan.exe
C:\Programmi\File comuni\Symantec Shared\Security 
Center\SymWSC.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Programmi\ltmoh\Ltmoh.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\Winamp\winampa.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\prova\Desktop\taskmanager16\TaskMan.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Messenger\msmsgs.exe
C:\DOCUME~1\prova\IMPOST~1\Temp\Directory temporanea 1 per 
hijackthis.zip\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
http://www.splinder.com/
R1 - HKLM\Software\Microsoft\Internet 
Explorer\Main,Default_Page_URL = 
http://global.acer.com
R0 - HKCU\Software\Microsoft\Internet 
Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-
784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0
\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-
CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-
FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - 
c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-
7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [LtMoh] C:\Programmi\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [SynTPLpr] 
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] 
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1
\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32
\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32
\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32
\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI 
Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec 
Shared\ccApp.exe"
O4 - HKLM\..\Run: [NAV CfgWiz] C:\Programmi\File comuni\Symantec 
Shared\CfgWiz.exe /GUID NAV /CMDLINE "REBOOT"
O4 - HKLM\..\Run: [WinampAgent] C:\Programmi\Winamp\winampa.exe
O4 - HKLM\..\Run: [AQ3HelperStartUp] C:\PROGRA~1\AQUATI~1
\AQ3HEL~1.EXE /partner AQ3
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File 
comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [CMESys] C:\Programmi\File 
comuni\CMEII\CMESys.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: MeowPal.LNK = C:\Documents and 
Settings\prova\Impostazioni locali\Temp\Directory temporanea 1 
per MeowPal.zip\MeowPal.exe
O4 - Global Startup: Microsoft Office.lnk = 
C:\Programmi\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: GStartup.lnk = C:\Programmi\File 
comuni\GMT\GMT.exe
O8 - Extra context menu item: &Google Search - 
res://C:\Programmi\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Collegamenti a ritroso - 
res://C:\Programmi\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pagine simili - 
res://C:\Programmi\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - 
res://C:\Programmi\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-
00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-
11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .mov: C:\Programmi\Internet 
Explorer\PLUGINS\npqtplugin.dll
O23 - Service: Ati HotKey Poller - Unknown - C:\WINDOWS\system32
\Ati2evxx.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - 
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation - Symantec 
Corporation - C:\Programmi\File comuni\Symantec 
Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation -
 C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: Servizio Norton AntiVirus Auto-Protect - Symantec 
Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - 
C:\Programmi\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - 
C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: SymWMI Service - Symantec Corporation - 
C:\Programmi\File comuni\Symantec Shared\Security 
Center\SymWSC.exe
-- 
Inviato da Virgilio 
http://newsgroup.virgilio.it
Filtra gli antipatici, segnala le risposte, segue i thread, e tutto da web

 aquatic 
Non so che estensione abbia questo screensaver, ma normalmente
avevano estensione .scr.
Io fare una bella ricerca *.scr in "cerca", poi cercherei nei 
risultati
l'scr in questione e lo ficcherei nel cestino.
[E' anche vero che potrebbe essere un .exe, nel caso restringi la 
ricerca
degli exe solo alle cartelle di windows, o di windows/system dove
è più probabile si trovi]
bye
stanz

 Explorer\PLUGINS\npqtplugin.dll
*Fix checked* !
Prima di riavviare il computer segui queste indicazioni alla lettera :
Chiudi tutte le istanze di Internet Explorer.
Pannello di controllo -> Opzioni internet -> scheda "Generale":
- elimina tutti i file temporanei Internet, anche non in linea
- Cancella Cronologia
- Elimina Cookies.
- Opzioni internet -> Impostazioni: imposta la cache dei Temporary Internet
Files a 50/60 mb
- Opzioni internet -> Contenuto -> Completamento automatico: "Cancella
moduli" + "Cancella password".
- Elimina tutti i files contenuti nella cartella "Temp" di Windows
Opzioni internet -> Programmi: "Ripristina impostazioni Web".
Opzioni internet -> Avanzate -> "Ripristina predefinite".
Riavvia il computer.
--
Vincenzo Di Russo
Microsoft® MVP - Windows - Internet Explorer/OE
http://support.microsoft.com/newsgroups
http://mvp.support.microsoft.com/

 aquatic ed ora non riesco più a rimuoverlo.
Se stai parlando di questo
http://www.clubaquatica.com/
è tutt'altro che stupido, anzi è uno dei pochi belli in circolazione
e si disinstalla tranquillamente (e parrebbe proprio questo, data la
presenza del file aq3) a meno che ci sia qualche sito partner che ti
rifila anche qualcos'altro insieme allo screen saver.
Se stai parlando di altri... beh, tempo fa ho fatto qualche ricerca,
e su una trentina che avevo testato, solo uno (*uno*!), e per giunta
proprio poverello, non aveva l'inghippo (o erano solo in versione di
prova, o portavano con loro regalini spia).
Se stai parlando di qualcosa che credevi uno screen saver, ed invece
non lo era, allora può essere di tutto.
A prima vista, direi che hai installato anche altra porcheria.
-- 
Bye by V.

 è tutt'altro che stupido, anzi è uno dei pochi belli in circolazione
Aggiungo che nel download della versione free è specificato bello
chiaro "Ad Supported" (fino a un po' di tempo fa neppure esisteva
la versione free).
-- 
Bye by V.

innanzitutto, grazie a tutti voi che m'avete risposto! Si, 
Vipera, credo porprio si trattasse dello screen saver di cui 
parli tu, ma stando a quanto mi dici devo proprio aver scaritato 
una versione fasulla, per nulla innocente e per giunta stupida 
(è già tanto se ci stan due pesci che si muovono, nessun suono, 
pubblicità che scorre a caratteri cubitali nella zona 
superiore...). Il problema è che olre alllo screen saver deve 
avermi installato un bel po' di altre componenti e applicazioni 
nascoste che sembrano non volersene andare. Ho seguito i vostri 
consigli (strade che però per la maggior parte avevo già preso 
ma senza risultati). Per ultimo ho cancellato ed eliminato 
completamente il contenuto della cartella temp da windows e 
questo mi pare abbia miglorato le cose:infatti al riavvio mi è 
stato possibile eliminare i files di programma e far scomparire 
lo screen saver. Il punto è che ad una successiva scansione col 
task (la solita versione di prova...anzi, qualcuno mi saprebbe 
indicare un buon antivirus e un buon antispam per windows xp? Il 
norton comincia a sembrarmi un po' imbranato) il prospetto 
appare identico: e il programma a maggior rischio, quello di AQ3
(con un 86% di  pericolosità....il norton però già sembra averne 
un buon 20% , acrobat reader anche e la google toolbar 
50%...possibile?) risulta indicato senza nome (solo con un . )e 
nascosto. Ad ogni modo se prima non riuscivo nemmeno a metterlo 
nel cestino,ora apparentemente me l'ha eliminato (la 
disistallazione, quella cominciava ma poi trovava un errore e si 
bloccava). Restano però un mucchio di altri files a rischio e il 
computer mi sembra eesere diventato più lento. Ricontrollerò.
Allora, ultima cosa: chi mi sa dare qualche dritta per avere sul 
pc un buon livello di protezione? E' necessario lasciar perdere 
i programmini gratis che si trovano un po' ovunque e cominciare 
a tirar fuori le monetine? ditemi di no....
mariasole
