Newsgroup: it.comp.sicurezza.windows
Titolo: Possibile virus??

Ogni volta che accendo il pc dopo che il sistema ha caricato Win ( win 2000)
si apre una finestra dos con su scritto C:\WINNT\system32\svchost.exe . e
nello stesso istante si apre Msconfig. Chiudo le  due finestre e msconfing
mi dice che è stata apportata una variazione e che bisogna far ripartire Win
cosa che io non faccio.
Dopo di che trovo il file DATA:exe nella directory di c che io subito
cancello.
PReposto che uso come antivirus AVG e  come anti Troyan Ad-ware che non
trovano nessuna anomalia nel pc e tanto meno virus volevo sapere che cosa
c'è che non va e  perche ogni volta si apre la finestra dos all'accensione
del pc. Ho effettuato una scannerizzazione del pc anche con KASPERSKY
ON-LINE  ma non ha rilevato nessun virus.
Faccio presente anche un'altra anomalia , quando tento di aggiornare win con
Windows update mi viene sempre notificato il fatto che non ho attivo gli
aggiornamenti automatici , il servizio trasferimento intelligente in
background e il registro eventi che si trovano in services.msc  ,e che io
ogni volta sono costretto ad attivare.
Grazie

 wrote in message,
449657d5$0$3108$
4faf...@reader1.news.tin.it

esegui hijackthis e posta qui il log.
-- 
Edoardo Benussi - 
e...@mvps.org
Microsoft® MVP - Windows Server
http://mvp.support.microsoft.com
 

 cancello.
Hai provato a caricare questo file su 
www.virustotal.com
 ?
Quanto č grande ? Hai provato a mandarlo a qualche virus lab ?

Logfile of HijackThis v1.99.1
Scan saved at 23.38.25, on 19/06/2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINNT\System32\svchost.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\PROGRA~1\Alice\ALICEE~1\app\pppoeservice.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\Explorer.EXE
C:\WINNT\Mixer.exe
C:\Programmi\File comuni\Real\Update_OB\realsched.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\PROGRA~1\AQUATI~1\AQ3HEL~1.EXE
C:\WINNT\System32\svchost.exe
C:\Programmi\Telecom Italia\Alice\app\EnterNet.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\eMule\emule.exe
C:\Programmi\Samsung\SAMSUNG PC Studio 2.0.9\Sync ML Desktop
Server\EasyStudio.exe
C:\PROGRA~1\Samsung\SAMSUN~1.9\MOBILE~1\EPMWOR~1.EXE
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOCUME~1\User\IMPOST~1\Temp\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=userinit.exe
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [DXM6Patch_981116] C:\WINNT\p_981116.exe /Q:A
O4 - HKLM\..\Run: [LVCOMS] C:\WINNT\system32\LVCOMS.EXE
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Programmi\File comuni\Symantec
Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File
comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AQ3HelperStartUp] C:\PROGRA~1\AQUATI~1\AQ3HEL~1.EXE
/partner AQ3
O4 - HKLM\..\Run: [QuickTime Task]
"C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [.nvsvc] C:\WINNT\system\smss.exe /w
O4 - HKLM\..\Run: [MSConfig] C:\WINNT\system32\msconfig.exe /auto
O4 - HKLM\..\RunServices: [System Information Manager] navcpe.exe
O4 - HKLM\..\RunServices: [faq] faq.exe
O4 - HKLM\..\RunServices: [sys33] Sys33.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check.lnk =
C:\WINNT\system32\spool\drivers\w32x86\3\E_SRCV03.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: 免费精彩视频超流畅在线观看 -
{022C4009-5283-4365-97BF-144054B40E2E} - 
http://itv.mop.com
 (file missing)
O9 - Extra 'Tools' menuitem: 播霸电视 -
{022C4009-5283-4365-97BF-144054B40E2E} - 
http://itv.mop.com
 (file missing)
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -
C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} -
C:\WINNT\system32\Shdocvw.dll
O16 - DPF: Yahoo! Dominoes -
http://download.games.yahoo.com/games/clients/y/dot8_x.cab
O16 - DPF: Yahoo! Scopa - 
http://yog72.games.scd.yahoo.com/yog/y/sct5_x.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) -
http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage
Validation Tool) - 
http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -
http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1139667700811
O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} -
http://www.netvenda.com/sites/gampr-it/itp/games26.cab
O16 - DPF: {D81CA86B-EF63-42AF-BEE3-4502D9A03C2D} (MMRadioHostX Class) -
http://wwws.mmjbdata.com/graphics/WebPlayer/MMLRadio_Nt.cab
O17 -
HKLM\System\CCS\Services\Tcpip\..\{53B8A680-FBAD-49CD-B0D3-FCCA5C737B16}:
NameServer = 212.216.112.112,212.216.172.62
O17 -
HKLM\System\CCS\Services\Tcpip\..\{C51DA7D3-BF6E-401D-9D77-73945E3DF594}:
NameServer = 212.216.112.112,212.216.172.62
O20 - Winlogon Notify: ModuleUsage - C:\WINNT\system32\davoice.dll (file
missing)
O20 - Winlogon Notify: StillImage - C:\WINNT\system32\en68l1ju1.dll (file
missing)
O23 - Service: Ati HotKey Poller - Unknown owner -
C:\WINNT\System32\Ati2evxx.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. -
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. -
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. -
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: Servizio amministrativo di Gestione disco logico (dmadmin) -
VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Network Monitor - Unknown owner - C:\Programmi\Network
Monitor\netmon.exe (file missing)
O23 - Service: ocldo - Unknown owner -
\\82.57.77.129\print$\Sys33.exe" -service (file missing)
O23 - Service: PPPoE Service (PPPoEService) - Unknown owner -
C:\PROGRA~1\Alice\ALICEE~1\app\pppoeservice.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation -
C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: Windows Log - Unknown owner - C:\WINNT\system32\nvsvcd.exe


 O23 - Service: Windows Log - Unknown owner - C:\WINNT\system32\nvsvcd.exe
*Fix*
*Istruzioni*
- Scarica LSPFix: 
http://www.cexx.org/lspfix.htm
 (potrebbe essere utile per
ristabilire la connettivit�internet una volta rimossa l'infezione).
- Lancia di nuovo Hijackthis e seleziona con attenzione solo le caselle di
controllo a lato di ogni singola voce che ti ho indicato sopra, quindi premi
il pulsante "Fix checked".
- Lascia che HJT esegua la pulizia, se non riesce del tutto, riavvia il
computer, lancia ancora una volta HJT, seleziona le stesse caselle di
controllo o quelle rimanenti rispetto alla precedente scansione e premi di
nuovo il pulsante "Fix checked".
- Una volta terminata l'operazione di disinfezione con Hijackthis, apri
Pannello di controllo -> Opzioni internet -> Programmi -> premi il pulsante
"Ripristina impostazioni web".
Riavvia Internet Explorer.
-- 
Vincenzo Di Russo
Microsoft� MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
My home: 
http://mvp.support.microsoft.com/
My Blog:  
http://blogs.dotnethell.it/vincent/

 ristabilire la connettivitą internet una volta rimossa l'infezione).
L'ho scaricato il programma ma non l'ho utilizzato.  Internet funziona
bene. Che mi consigli di fare?
 Grazie per l'attenzione e i consigli che mi hai dato

 Questo č il nuovo logfile dopo la pulizia . Va bene??
pulito.
-- 
Edoardo Benussi - 
e...@mvps.org
MicrosoftŽ MVP - Windows Server
http://mvp.support.microsoft.com
 

  Grazie per l'attenzione e i consigli che mi hai dato
Fai sapere se va tutto bene, se il computer funziona come si deve.
E la prossima volta stai un pochino più attento, il computer aveva "in
corpo" almeno tre worm/trojan.
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
My Blog: 
http://blogs.dotnethell.it/vincent/
My Home: 
http://mvp.support.microsoft.com/

 corpo" almeno tre worm/trojan.
Ad-Ware e Spybot.........che fanno dormono????
Ciao


 Ciao
Ciao, a presto.
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
