Newsgroup: it.comp.sicurezza.windows
Titolo: problema barra strumenti (iwantsearch.com)

da un po' di gg mi e' successo quello di avere una barra degli
strumenti "estesa" con voci tipo "search", "spyware removal" "real
estate"... e la pagina di avvio costantemente settata su
iwantsearch.com
.
Ho rimosso un po' di spyware che avevo grazie ad alcuni link suggeriti
(non sono il primo con questo problema vd.
 
http://groups.google.it/groups?q=iwantsearch+group:it.*&hl=it&lr=&ie=UTF-8&group=it.*&selm=cgv994%24pud%241%40lacerta.tiscalinet.it&rnum=1
) , ma la barra rimane.
Come faccio ad eliminarla??
grazie e ciao
V.

 Come faccio ad eliminarla??
[...]
http://www.mvps.org/sramesh2k/utils/ToolbarCop.exe
http://mvps.org/winhelp2002/unwanted.htm
 - Removing
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
--
Vincenzo Di Russo
Microsoft® MVP - Windows - Internet Explorer/OE
news:microsoft.public.it.internet_explorer
http://support.microsoft.com/newsgroups
http://mvp.support.microsoft.com/

...


 
Ma usi un template o sei li davanti a non fare nulla ?

 ha scritto nel messaggio
news:20040906174...@lbartolomai.localdomain...

... buona la seconda ...
il bambinetto con la faccia da pirla è solo capace di rompere
i coglioni.... alla gente!
-- 
Walter

Iwantsearch è uno spyware  persistente ed invadente.
Cambia la pagina iniziale di IE dirottandola sul sito 
www.iwantsearch.com
Inserisce una barra degli strumenti nelle finestre di windows e 
di Ie.
Monitora il ns traffico sulla rete a scopi pubblicitari.
Lo spyware installa:
-	una cartella SB Soft in C:\Windows\Application Data
-	un controllo active x di nome "search" in 
C:\Window\Downloaded program files
-	nella stessa cartella inserisce 2 file visibili solo in 
modalità dos di nome RUNDLG32.DLL e     
      RUNDLG32.INF
-	inserisce 4 chiavi nel registro di windows (vedi foto)
Rimedi:
Ad-aware 6.0(debitamente aggiornato) e Spybot Search & Destroy 
1.2.0.8 si sono rivelati inefficaci.
L unico sistema all altezza si è dimostrato HIJACKTHIS che ha 
rilevato le chiavi nel registro(v. foto) permettendo 
l eliminazione. 
Nb: con questo software non eliminare voci di cui non conosci il 
significato; causa danni al sistema
In seguito ho proceduto alla rimozione manuale dei file residui 
nelle cartelle menzionate.
Per ricordare la battaglia ho prelevato lo scalpo di 
iwantsearch: ho inserito le icone che       
            posizionava nella fastidiosa barra degli strumenti 
nella mia libreria di icone. 
  Logfile of HijackThis v1.98.2
Scan saved at 17.30.40, on 11/10/2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAMMI\NORTON SYSTEMWORKS\NORTON ANTIVIRUS\NAVAPW32.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRAMMI\ZONE LABS\ZONEALARM\ZLCLIENT.EXE
C:\WINDOWS\RunDLL.exe
C:\PROGRAMMI\COUNTDOWN\COUNTDOWN.EXE
C:\PROGRAMMI\STOPDIALERS\STOPDIALER.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAMMI\FREERAM XP PRO 1.40\FREERAM XP PRO 1.40.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SM56HLPR.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAMMI\MICROSOFT OFFICE\OFFICE\WINWORD.EXE
D:\SOFTWARE\NUOVI\HIJACKTHIS\HIJACKTHIS.EXE
C:\PROGRAMMI\INTERNET EXPLORER\IEXPLORE.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
http://www.iwantsearch.com
R0 - HKCU\Software\Microsoft\Internet 
Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: StartBHO Class - {30192F8D-0958-44E6-B54D-
331FD39AC959} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\RUNDLG32.DLL
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - 
C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-
784B7D6BE0B3} - C:\PROGRAMMI\ADOBE\ACROBAT 5.0
\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: StartBHO Class - {30192F8D-0958-44E6-B54D-
331FD39AC959} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\RUNDLG32.DLL
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-
7859DF00B1D6} - C:\Programmi\Norton SystemWorks\Norton 
AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - 
C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: Search Bar - {0E1230F8-EA50-42A9-983C-
D22ABC2EED3B} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\RUNDLG32.DLL
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] 
C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe 
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\NORTON~1
\NAVAPW32.EXE
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1
\ZONEAL~1\zlclient.exe
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe 
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [*StateMgr] 
C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [StillImageMonitor] 
C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\RunServices: [TrueVector] 
C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE -service
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL 
deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - Startup: CountDown.lnk = 
C:\Programmi\CountDown\CountDown.exe
O4 - Startup: StopDialer.lnk = 
C:\Programmi\StopDialers\StopDialer.exe
O4 - Startup: Post-it® Software Notes Lite.lnk = 
C:\Programmi\3M\PSNLite\PsnLite.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-
00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-
11CF-AAA5-00401C608501} - C:\WINDOWS\SYSTEM\MSJAVA.DLL
-- 
Inviato da Virgilio 
http://newsgroup.virgilio.it
..un servizio di news via web con in piu' l'antispam