Newsgroup: it.comp.sicurezza.windows
Titolo: AIUTO HO CONTRATTO UN HI JACK

Recentemente ho contratto un virus spyware che mi impone la pagina iniziale
di IE impedendomi di modificarla dal menù strumenti/opzioni Internet/ pagina
iniziale di IE stesso
Il sito è questo
http://www.specialgoods.info/ad/ad0411/pharmacy.html
ed altre sue pagine con annunci che vanno dal sesso ai viaggi ai computers
ecc ecc
Ho anche un'icona che visualizzo ottagonale rossa con croce di S.andrea
bianca cliccando sulla quale produce l'apertira di IE sul sito suddetto sia
col pulsante destro che col sinistro del mouse.
Ogni tanto l'apertura va è verso il seguente sito
http://antispy.specialgoods.info/index.php?qq=remove+spyware&id=30777&said=a
d0411
che mi allarma in questo modo
Detected SPYware! YOU ARE IN REAL DANGER!
Your IP address is 80.182.122.217. Using this address a remote computer
'83.116.72.11' has gained an access to your computer and is collecting the
information about the sites you've visited and the files contained in the
folder 'My Documents'. Attention! Choose and download the software to kill
this spyware.
Your private info is collected by winSock.cfg
ISP of trnsmission: INTERBUSINESS
Your IP address: 80.182.122.217
They know you're using: Mozilla/4.0 (compatible; MSIE 6.0; Windows 98;
Sgrunt|V109|29|S742858248|dialno; snprtz|S77747635900066#2015|isdn)
Your computer is: Windows 98
Risk status for further investigation: VERY HIGH RISK
Time of investigation: 06/11/05 02:17:31 PDT
e mi sforna un elenco di antispyware a pagamento in grado di annullare
l'effetto di quello che ho
Praticamente mi hanno infettato e poi per disinfettarmi chiedono del denaro.
DELINQUENTI!
Questo è il log file effettuato con HijackThis
Logfile of HijackThis v1.99.1
Scan saved at 23.35.32, on 10/06/05
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MSG32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAMMI\FILE COMUNI\SYMANTEC SHARED\CCEVTMGR.EXE
C:\PROGRAMMI\FILE COMUNI\SYMANTEC SHARED\CCSETMGR.EXE
C:\PROGRAMMI\FILE COMUNI\SYMANTEC SHARED\CCPROXY.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\ECHO24\ECHOCON2.EXE
C:\PROGRAMMI\FILE COMUNI\SYMANTEC SHARED\CCAPP.EXE
C:\PROGRAMMI\FILE COMUNI\REAL\UPDATE_OB\REALSCHED.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.specialgoods.info/ad/ad0411/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
http://gw.aliceadsl.it/home
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft
Internet Explorer fornito da Alice
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} -
C:\PROGRAMMI\YAHOO!\COMPANION\INSTALLS\CPN\YCOMP5_5_7_0.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\PROGRAMMI\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} -
C:\Programmi\Norton AntiVirus\NavShExt.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} -
C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: IEHlprObj Class - {01FB9C55-FC66-4476-A199-389241193188} -
C:\WINDOWS\SYSTEM\ROFVHELD.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} -
C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} -
C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} -
C:\PROGRAMMI\YAHOO!\COMPANION\INSTALLS\CPN\YCOMP5_5_7_0.DLL
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} -
C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O4 - HKLM\..\Run: [Echo Gals2 Jump Start] echostr2.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor]
C:\PROGRA~1\SYMNET~1\SNDMON.EXE /Consumer
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\File
comuni\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\RunServices: [ccEvtMgr] "C:\Programmi\File comuni\Symantec
Shared\ccEvtMgr.exe"
O4 - HKLM\..\RunServices: [ccSetMgr] "C:\Programmi\File comuni\Symantec
Shared\ccSetMgr.exe"
O4 - HKLM\..\RunServices: [ccProxy]
C:\PROGRA~1\FILECO~1\SYMANT~1\CCPROXY.EXE
O8 - Extra context menu item: &Search -
http://bar.mywebsearch.com/menusearch.html?p=ZRxdm077YYUS
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Alice - {4A51A3E0-6B36-11D8-B013-D66C9567EA77} -
http://gw.aliceadsl.it/alice
 (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=
http://gw.aliceadsl.it/home
O15 - Trusted Zone: 
www.master69.biz
O15 - Trusted Zone: 
www.master70.biz
O15 - Trusted Zone: 
www.master71.biz
O15 - Trusted Zone: 
www.sgrunt.biz
O15 - Trusted Zone: 
www.redfunny.com
O15 - Trusted Zone: 
www.skymasters.biz
O15 - Trusted Zone: 
www.archiviosex.net
O16 - DPF: {A8F2B9BD-A6A0-486A-9744-18920D898429} (ScorchPlugin Class) -
http://www.sibelius.com/download/software/win/ActiveXPlugin.cab
O16 - DPF: {469C7080-8EC8-43A6-AD97-45848113743C} -
http://akamai.downloadv3.com/binaries/IA/nethv32_EN.cab
O16 - DPF: {0594AF7E-573B-40DF-8165-E47AB2EAEFE8} -
http://akamai.downloadv3.com/binaries/P2EClient/EGAUTH_1019_EN.cab
O16 - DPF: {10000000-1000-0000-1000-000000000000} -
ms-its:mhtml:file://C:\foo.mht!
http://www.free32.com/POP.CHM::/sp.exe
O16 - DPF: {15320607-1001-1831-1000-118599957123} -
ms-its:mhtml:file://C:\PATH.MHT!
http://195.225.176.5//d//lzkswrx//nmyteoj//d
gmjisc//irkqpg//IT//arct.chm::/painter.exe
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) -
http://www2.incredimail.com/contents/setup/downloader/imloader.cab
O16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab
O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab
O16 - DPF: {2048B51E-8D74-4762-82CE-B48CF545EEEA} -
http://www.a99b.com/go/sc.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) -
http://software-dl.real.com/23a08df7c94ddf694605/netzip/RdxIE601_it.cab
Grazie a chiunque sia in grado di darmi lumi!
DAVE 70

 O15 - Trusted Zone: 
www.sgrunt.biz
[...]
Prova questo Removal Tool di Francy De Lorenzi:
http://www.francydelorenzi.it/stats/click.php?id=2
Una volta eseguito il tool, _spiana a zero_ la cache dei file temporanei di
Internet Explorer, svuota _completamente_ la cartella Temp di Windows,
riavvia la macchina e lancia di nuovo HJT.
Ah, disinstalla Yahoo! Companion che è una schifezza.
--
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer/OE 2003/2004/2005
http://mvp.support.microsoft.com/

 ha scritto nel messaggio
news:3gv8slF...@individual.net...


 Questo č il log file effettuato con HijackThis


Off Topic ma doveroso: HTML.REDIR.EXPLOIT è il virus che mi rileva Norton 
quando leggo il primo messaggio del topic.
Ciao 

 quando leggo il primo messaggio del topic.
Idem qui ma il post è stato prontamente rimosso dal news server.
A titolo di cronaca: NAV Corporate lo ha beccato ma ha schiaffato in
Quarantine *Folders.dbx* senza riuscire ovviamente a ripararlo.
Risultato: blocco di Olexp (poi risolto smadonnando a destra e a manca),
riconfigurazione a manina di 28 newsgroup, reimpostazione della
sincronizzazione e download ex novo di tutti i post.
Maledettissimo.


 della sincronizzazione e download ex novo di tutti i post.
Scusa, ma non bastava cancellare il folders.dbx ?
AFAIK lo ricrea automaticamente. Poi dovrebbe bastare spostare,
se necessario, le "cartelle" di OE per avere la situazione precedente...
almeno questo è quello che ricordo di una volta che ci ho smanettato.
'spe', ora backuppo tutto e ci provo. :-)
Bye, G.

"Paperino" ha scritto nel messaggio

Fatto, e senza il minimo problema. Anzi, folders.dbx si è ridotto di
un bel po'... svariati mega :-). E le situazioni dei NG sono rimaste
invariate, compresi i post letti. L'unica cosa da rimettere a posto
sono state le regole di posta che fanno riferimento ad una cartella,
che vanno riattivate.
Un'altra cosa che mi pare strana, è che NAV se la sia presa proprio
con quel file, che AFAIK non dovrebbe contenere dati dei post.
Bye, G.

 almeno questo è quello che ricordo di una volta che ci ho smanettato.
[...]
http://www.microsoft.com/windows/IE/community/columns/filecorruption.mspx#EFAA
http://insideoe.tomsterdam.com/problems/errors.htm#crash
"... the file Folders.dbx is probably damaged. In that case, close OE and
move all the other *.dbx files back into the store folder. When you re-start
OE, it will build a new index of all the *.dbx files it can read, and create
a new Folders.dbx. *Understand though that you will lose the mail tree
structure, all lists of newsgroups, and all synchronization options, and
that message rules will likely need to be edited*..."
Ciao Gae! ;-)
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer/OE 2003/2004/2005
http://support.microsoft.com/newsgroups
http://mvp.support.microsoft.com/