Newsgroup: it.comp.sicurezza.windows
Titolo: hijackers, spyware ecc. su win xp he sp1

ciao a tutti.
spero di essere sul ng giusto.
ho un pc con win xp he sp.
tutti gli aggiornamenti ok, salvo sp2, che non ho più installato perchè mi
rallentava drammaticamente la navigazione.
dopo la disintallazione di sp2 ho formattato e ricaricato tutto.
l'antivirus è trend micro office scan aggiornato.
ho una connessione adsl sempre attiva.
navigando mi sono beccato *qualcosa* che produce i seguenti effetti:
ie viene costantemente dirottato su una pagina pubblicitaria quasi normale e
mi compaiono popup che mi dicono che il pc è infetto ecc. ecc.
interventi finora effettuati:
caricato spybot s&d, con patch per il bug dso exploit
caricato adaware
caricato anche l'anti spy di ms
caricato anche hijackthis
disabilitato ripristino configurazione del sistema
riavviato il pc il modalità provvisoria
disabilitato l'antivirus
riavviato ancora il pc il modalità provvisoria
ho quindi seguito passo a passo le istruzioni rilevate sul sito microsoft
italy (articolo: *spyware e malware: chi ci spia?* ), pulendo tutto il
pulibile ed anche di più, cioè dando la caccia in tutti i buchi dell'hd ad
un file se.dll che credo sia la causa del problema.
faccio girare (alternativamente) tutti i sw sopracitati e mi trovano vari
problemi che vengono fixati.
faccio rigirare e non mi trovano più nulla.
tutto questo, per sicurezza, in tutti i profili utente presenti sul pc (!)
riavvio in modalità normale.
se solo provo a lanciare ie, mi si torna a infettare tutto.
se navigo con firefox nessun problema.
chiedo:
prima di riformattare tutto, cosa altro posso provare?
allego il log file di hijackthis dopo tutte le terapie di cui sopra:
grazie in anticipo a tutti e scusatemi per la lunghezza del testo + file.
andrea
***
Logfile of HijackThis v1.99.0
Scan saved at 2.43.55, on 18/02/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\QuickTime\qttask.exe
C:\WINDOWS\System32\rundll32.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programmi\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Programmi\Messenger\msmsgs.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Programmi\Microsoft AntiSpyware\gcasDtServ.exe
C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\Programmi\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Programmi\HijackThis\HijackThis.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
res://C:\DOCUME~1\Andrea\IMPOST~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page =
about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar =
res://C:\DOCUME~1\Andrea\IMPOST~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =
about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {C3CF43F0-C780-49A8-A2DD-DE8091A6C87F} -
C:\WINDOWS\System32\lalf.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [OfficeScanNT Monitor] "C:\OfficeScan
NT\pccntmon.exe" -HideWindow
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE
C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [QuickTime Task]
"C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [sp] rundll32
C:\DOCUME~1\Andrea\IMPOST~1\Temp\se.dll,DllInstall
O4 - HKLM\..\Run: [gcasServ] "C:\Programmi\Microsoft
AntiSpyware\gcasServ.exe"
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE
C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search &
Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Programmi\File
comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: hp psc 2000 Series.lnk =
C:\Programmi\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk =
C:\Programmi\WinZip\WZQKPICK.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel
present
O8 - Extra context menu item: E&sporta in Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -
C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage
Validation Tool) - 
http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409
O18 - Filter: text/html - {9CD14CD6-462D-4079-A171-206D4FF4B8D2} -
C:\WINDOWS\System32\lalf.dll
O18 - Filter: text/plain - {9CD14CD6-462D-4079-A171-206D4FF4B8D2} -
C:\WINDOWS\System32\lalf.dll
O23 - Service: OfficeScanNT RealTime Scan - Unknown - C:\OfficeScan
NT\ntrtscan.exe (file missing)
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation -
C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: OfficeScanNT Personal Firewall - Unknown - C:\OfficeScan
NT\OfcPfwSvc.exe (file missing)
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe
O23 - Service: OfficeScanNT Listener - Unknown - C:\OfficeScan
NT\tmlisten.exe (file missing)

 C:\DOCUME~1\Andrea\IMPOST~1\Temp\se.dll,DllInstall
Anche questo qui sopra.
In pratica, un primo consiglio e':
Tutto cio' che nel registry parte da una directory temp, e' al 99,99%
un troiano.
Nello 0,01% e' un troiaio fatto da un programmatore che non si merita
che tu esegua i suoi programmi.
Ripulire tutti i temporanei e' la prima mossa.
Seconda: eseguire un backup del registro, e cancellare quelle chiavi.
Se hai voglia, cercare nel registro le occorrenze di quelle chiavi
con la prima parte del numero tra parentesi graffe come chiave di
ricerca, ed eliminarle.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 ...
Fai fare un giro a sysclean package e guarda cosa succede.
* 
http://www.romanelmondo.com/sugg/spy.htm#difesa
 *
-- 
Andrea
~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~
  Yahoo ID andrea260272
~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ : ~ 

Grazie a Roberto e TheElf, e a chi altri mi risponderà in seguito: ho
trovato da fare per il w.e.!
ciao.

 ciao.
In bocca al lupo e facci sapere ;-)


	ragazzi buonasera
ho un piccolissimo problema ma fastidioso.
all'avvio di windows mi appare ultimamente una finestra che dice
prj mensagemen
guardate ragazzi e' un mese che le provo tutte
antitroiani antivirus
blocca popup ammazza popup
cani da tartufo cacciavite veleno insetticida
aho niente, sta finestra maledetta e' sempre li all'avvio di windows.
dimenticavo, sul desktop mi crea update.ini, dentro e' vuoto
	grazie, siete forti

dimenticavo, sul desktop mi crea update.ini, dentro e' vuoto
provo l'antspyre di microsoft, anche se in beta funziona molto bene..
ciao

Ciao, sono sempre io da newsland.
ho fatto tutto il possibile.
sysclean (girato in modalità provvisoria)mi ha trovato un po' di sbobba,
tra cui un trojan.
dopo pulito tutto con sysclean, sempre in modalità provvisoria, ho pulito
tutti i temporanei, cartelle, cestini ed ho dato la caccia manuale al
maledetto se.dll.
prima di rilanciare il cesso (i.e.), ho perfino scaricato e caricato
l'odiato sp2.
esito: niente.
appena rilanciato i.e., ha tenuto botta 5 secondi, poi ha ripuntato deciso
alla pagina dirottata.
dal che è ricominciato il bombardamento di pop-up.
vado a formattare, sigh!
grazie comunque per l'aiuto.
penso che, una volta formattato, cancellerò definitivamente i.e. per usare
solo firefox.
ciao.
andrea
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it