Newsgroup: it.comp.sicurezza.windows
Titolo: Firefox mi apre altre finestre

Premetto che qualche giorno fa l'accoppiata Avast e Ad-Aware mi ha
eliminato un certo Backdoor.Prorat (ancora non ho capito come l'ho
preso, non eseguo niente di sospetto), ho un problema con Firefox:
Quando visito un qualsiasi sito, mi si apre, casualmente,  un'altra
pagina con sempre le stesse 2-3 pubblicità(non una pop-up, che peraltro
Firefox mi blocca): che più essere?
Sia Avast che Ad-aware non rilevano nessun virus o malware.

 ha scritto nel messaggio 
news:470a6c90$0$37200$4faf...@reader3.news.tin.it...


 ha scritto nel 
messaggio news:dauOi.403$ga...@tornado.fastwebnet.it...


 mai Ad-Watc con la protezione all' avvio di avast! attiva; o uno o l' altro.
Forse non hai letto bene il mio messaggio o sono io che non ho ben
capito la tua risposta, ma quello che volevo sapere era "perchè su
Firefox mi si aprono quelle pagine"?
Il problema ce l'avevo anche quando i due programmi non erano installati.

 di no!
Ma che idiozie vai farneticando? Un conflitto tra due
programmi farebbe aprire una popup pubblicitario
secondo te?

di no!
[cut]
Guarda che lui non ha speecificato quale versione di Adaware usa: la
free non ha Adwatch. E poi non vorrei dire castronate, ma non mi
risulta che Avast abbia un suo firewall.
Per restare in tema: Max, prova una passata con Spybot e magari anche
con Avg Antispyware (entrambi free); un controllo con Hijackthis non
farebbe male.

 farebbe male.
Spybot l'ho provato e non ha trovato niente di sospetto, appena ho tempo
provo gli altri.
Comunque proprio adesso si č aperta l'ultima finestra a sorpresa, questo
il link: 
http://it.sso.dada.net/love/specialoffer_it5.html

 il link: 
http://it.sso.dada.net/love/specialoffer_it5.html
E questa è un' altra:
http://fp.pc-on-internet.com/sws/017/?al2=1&nums=N03PITHAZ-FBrUQCkAMj&login=672125&mediaid_prefix=005&asked_billing_id=2&time=312e3931
Che peraltro mi avverte che il mio pc è infettato e mi chiede(in 
inglese) di fare un
controllo(che io non faccio ovviamente).

Max ha scritto:

magari EVITA  di postare questi indirizzi.......
non hai detto che S.O. hai( si lo so che è uindovs... ma quale?)inoltre...
svuota la cache del browser (compresi i cookie
io disattiverei il "ripristino di sistema" se presente
farei una bella scansione con tutto quello che può scandire qualcosa
(magari compreso GMER  o altro antirootkit )
fai una passata anche con CCLEANER....
e solo DOPO  riattiverei "ripristino di sistema" anzi no io non lo
riattiverei , io.....
-- 
enne

 
non arrabiarti o mio "quasi ononimo" :) : il buon "asus eccetera" non č
cattivo č un acher (cit. sua ROTFL & stralol :) )e cerca di aiutare
tutto e tutti se lo trovi in giro seguilo perché spassoso........ :)
-- 
enne

 cattivo č un acher (cit. sua ROTFL & stralol :) )
Cioč uno che fa soffrire(da ache= dolore)? :-)

 riattiverei , io.....
Ho già fatto tutto questo, tranne GMER che non conosco.
Il ripristino l'ho disattivato appena installai XP, deve essere qualche 
spyware raro che non è presente nelle
liste dei tool più importanti...uffa.

Max ha scritto:

www.gmer.net
 se non vado errato...ma non è un software proprio "facile"
da usare... come antirootkit ho sentito parlare bene anche di quello  di
casa GRISOFT ( 
WWW.GRISOFT.COM
 )
Prova anche a faranalizzare il log che ti fornisce "hijack"
(dovrebbe essere 
www.hijack.de
 ma non ne sono sicuro ... google ti sarà
amico.....
ma .. gli aggiornamenti di uindovs li hai tutti tutti tutti... VERO?
se no un bel formattone (TM) a volte è la soluzione migliore
-- 
enne

 Prova anche a faranalizzare il log che ti fornisce "hijack"
Da chi devo farlo analizzare? :-) Lo posto qui?

 Da chi devo farlo analizzare? :-) Lo posto qui?
puoi postarlo qui oppure farlo analizzare su
http://www.ilsoftware.it/hijackthis.asp
-- 
enne

enneti ha scritto:

Inizio a postarlo qui:
(a proposito: non ho ancora capito per bene che fa questo programma, 
analizza i processi che vengono avviati all'avvio?
E che fa precisamente il tasto "fix checked"? Cosa significano quelle 
sigle iniziali? R0,Q2...)
Logfile of HijackThis v1.99.1
Scan saved at 16.16.38, on 12/10/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\PROGRA~1\WINABI~1\FOLDER~1\FGKEY.EXE
C:\WINDOWS\Explorer.EXE
C:\Programmi\Trust\250S Series\lwbwheel.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe
C:\PROGRAMMI\ATI TECHNOLOGIES\ATI CONTROL PANEL\ATIPTAXX.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Mozilla Thunderbird\thunderbird.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\regedit.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Max\Impostazioni locali\Temp\wze037\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
http://www.alice.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet 
Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
Collegamenti
O2 - BHO: Spybot-S&D IE Protection - 
{53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - 
C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: QUICKfind BHO Object - {C08DF07A-3E49-4E25-9AB0-D3882835F153} 
- C:\Programmi\TEXTware\QUICKfind\PlugIns\IEHelp.dll
O2 - BHO: EpsonToolBandKicker Class - 
{E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON 
Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} 
- C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programmi\Trust\250S Series\lwbwheel.exe
O4 - HKLM\..\Run: [EPSON Stylus C46 Series] 
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0T1.EXE /P23 "EPSON 
Stylus C46 Series" /O6 "USB001" /M "Stylus C46"
O4 - HKLM\..\Run: [EPSON Stylus C46 Series (Copia 1)] 
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S4I0T1.EXE /P33 "EPSON 
Stylus C46 Series (Copia 1)" /O5 "LPT1:" /M "Stylus C46"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" 
-atboottime
O4 - HKLM\..\Run: [RemoteControl] 
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] 
"C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programmi\Google\Google 
Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" 
/Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [IMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE
O4 - HKLM\..\Run: [MSPY2002] 
C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] 
C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] 
C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ATIPTA] C:\PROGRAMMI\ATI TECHNOLOGIES\ATI CONTROL 
PANEL\ATIPTAXX.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & 
Destroy\TeaTimer.exe
O4 - Startup: Adobe Gamma.lnk = C:\Programmi\File 
comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - 
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Scarica con Download &Express - 
C:\Programmi\Download Express\Add_Url.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - 
C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - 
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - 
C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - 
C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Organizzatore ricerche - 
{9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programmi\File 
comuni\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - 
C:\Programmi\File comuni\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - 
C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - 
{DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - 
C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - 
{FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O15 - Trusted Zone: *.
rossoalice.it
O15 - Trusted Zone: *.
rossoalice.virgilio.it
O16 - DPF: {EFD3EA56-234D-4240-90EA-CC9FA3AF5A01} (ConnectivityTester 
Class) - 
http://aiuto.alice.it/ata/static/installers/WebflowActiveXInstaller_4-1-4.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - 
C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O18 - Protocol: textwareilluminatorbase - 
{CE5CD329-1650-414A-8DB0-4CBF72FAED87} - 
C:\WINDOWS\system32\textwareilluminatorbaseProtocol.dll
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
O20 - Winlogon Notify: FolderGuard - 
C:\PROGRA~1\WINABI~1\FOLDER~1\FGuard32.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - 
C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - 
C:\Programmi\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programmi\File 
comuni\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - Unknown owner - 
C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Servizio iPod (iPod Service) - Unknown owner - 
C:\Programmi\iPod\bin\iPodService.exe (file missing)
O23 - Service: Sandra Data Service (SandraDataSrv) - SiSoftware - 
C:\Programmi\SiSoftware\SiSoftware Sandra Pro Home 
2007.SP1\Win32\RpcDataSrv.exe
O23 - Service: Sandra Service (SandraTheSrv) - SiSoftware - 
C:\Programmi\SiSoftware\SiSoftware Sandra Pro Home 2007.SP1\RpcSandraSrv.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket 
Division Software - C:\Programmi\Alcohol Soft\Alcohol 
120\StarWind\StarWindService.exe

 No, copi/incolli il log generato da HJT su 
www.hijackthis.de
.
Fatto, non mi sembra risulti niente di male, l'unica voce che definisce
insicura č quella relativa ai driver Trust per il mouse.
una cosa strana l'ho notata perň:
Spybot all'avvio mi chiede di consentire o negare una modifica al
registro che riguarda questa voce:
c:\documents and settings\max\impostazioni locali\dati
applicazioni\sfgzfa.exe sfgzfa
Se la nego, mi escono  finestre di resident in continuazione che mi
avvertono del fatto che viene negata la modifica del quella voce.
Che abbia almeno isolato il problema?
Grazie comunque per i preziosi suggerimenti.

 Mi puzza come un cadavere di gatto spiaccicato sulla strada. I
Ho fatto una ricerca  e quel file sul mio pc non esiste, esiste solo nel 
registro una voce relativa a quel collegamento(che ho eliminato).
Il problema delle pagine che si aprono dopo aver avviato Firefox  c'č 
ancora :-(

 Dipende forse dai siti che visiti? 
No, me lo fa con siti casuali...
Io non ci capisco più niente sembra un malware fantasma, chissà dove è 
camuffato....

 ovviamente previo aggiornamento delle definizioni.
Già fatto(che rappresenta quel "SE"? Io ho "Ad-Aware 2007"), insieme ad 
altri 300 software....

 ancora :-(
Hai un rootkit a bordo, molto probabilmente.
Sparagli con rootkit revealer, gmer, combofix e prev1x.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 possa risolverlo il mio aiuto, allora?
Ma infatti, sei tu che gentilmente ci stai provando :-)
A parte gli scherzi un aiuto umano può rivelarsi molto più utile di 
tutti i software del mondo...

 a dare fastidio, poi ne riparliamo.
ad esempio spybot è un vero e proprio "coltellino svizzero" che , se
usato in modalità avanzato puo risolvere varie grane.... purtroppo
essendo passato ad un sistema operativo libero che in alcuni ng non si
può neppure nominare (vero effegi) non ricordo molto bene le varie
procedurema , se non sbaglio , si poteva controllare la carrtella degli
"activeX(sbaglierò ma forse il tuo guaio è lì ) ,oppure "blindare" il
file hosts"... comunque ricorda che a volte il Formattone (TM) è una
buona soluzione... :(
-- 
enne 
http://ennetidue.spaces.live.com/

avvertono del fatto che viene negata la modifica del quella voce.
Lancia Process Explorer, e aspetta che Spybot s'incazzi.
Quando cio' avviene, il processo che ha chiesto la scrittura sara'
attivo in memoria e sospeso da Spybot. NON CONSENTIRE NE' NEGARE e
lascialo li' appeso.
Con Process Explorer guarda quali applicazioni sono attive - togli
dall'elenco (almeno all'inizio) le robe che in "Description" hanno
Microsoft e altra roba affidabile, ed esamina le altre.
Metti "Update Speed: PAUSE" per tenere l'elenco fisso :-)
Quelle piu' sospette puoi aprirle con "Properties" e cercare se in
memoria o nell'immagine su disco ("Strings") hanno 'sfgzfa'.
Inoltre, puoi anche cercare dati su ogni applicazione via Google -
e' una delle funzioni di ProcExp [1].
Leonardo
[1] di serie adesso usa MSN Search
-- 
 What do you make, so fair and bright;
 What do you build with sails for flight;
 What do you weave with wool so white?

 memoria o nell'immagine su disco ("Strings") hanno 'sfgzfa'.
Forse ho risolto:
Avevo detto che il file sfgzfa.exe non c'era in quella directory.
Ebbene, senza troppe speranze, ho avviato il pc in modalità provvisoria
e sono andato in "c:\documents and settings\max\impostazioni locali\dati
applicazioni\" e sorpresa:  non solo c'era quell'exe ma anche altri
file(3-4) con
estenzioni diverse ma sempre con quel nome(sfgzfa.xxx), li ho eliminati,
e da allora le finestre non si aprono più...spero solo non sia solo un
caso e voglio aspettare qualche giorno di navigazione per esserne
sicuro(già in precedenza ero convinto di aver eliminato il problema, e
poi firefox mi tradiva...).
Chissà come facevano quei file ad autonascondersi....

Max ha scritto:

bubucettete.. :)
consiglio la disattivazione del fw di uindovs e l'installazione di un
firewall (ce ne sono di ottimi anche free )
-- 
enne
http://ennetidue.spaces.live.com/