Newsgroup: it.comp.os.win.win2000
Titolo: problema spyware?

Salve, e' la prima volta che scrivo in questo newsgroup.
Vorrei sottoporvi il mio problema: da un paio di giorni la pagina iniziale
dell' internet explorer 6 viene automaticamente cambiata con about:blank che
visualizzza il sito 
search.com
.
Mi e' stato consigliato di installare spybot (1.3): mi trova 1 spyware: DSO
Exploit che contiene 2 chiavi del registro.
Purtroppo anche se lo elimino ad ogni scansione mi ritorna.
Ho provato anche noadware che non visualizza nessun problema, cwshredder che
anche lui non visualizza  nessun problema e spywareguard che + o - ogni 2
minuti mi avvisa che la pagina iniziale di IE e' stata cambiata ma mi offre
la possibilita' di reimpostare la mia.
E' gia' qualcosa ma vorrei risolvere definitivamente il problema.
Aiutatemi per favore.
Grazie infinitamente per l'aiuto.

 mia.
[CUT]
Ciao, prova a leggere il seguente articolo e a seguire tutti i passi
indicati:
L'impostazione della home page si modifica in modo inatteso o risulta
impossibile modificarla.
http://support.microsoft.com/?id=320159
Ciao!
-- 
_______________________________
        Microsoft® Technical Advice
         news://
news.microsoft.com
http://support.microsoft.com/newsgroups

 about:blank che visualizzza il sito 
search.com
.
[...]
http://snipurl.com/MS_Technet_Spy
Segui con attenzione i passi dell'articolo.
Considera che negli ultimi tempi sono state "rilasciate" nuove varianti di
CoolWebSearch (allo stato attuale sono più di diecimila!) sulle quali
lavorano numerosi "specialisti" nella lotta antispy/malware.
In particolare:
- CWShredder:
http://www.spywareinfo.com/~merijn/cwschronicles.html
http://www.spywareinfo.com/~merijn/downloads.html
Chiudi tutte le istanze di Internet Explorer ed esegui CWSHredder.exe.
- Hijackthis: 
http://tomcoyote.com/hjt/
Tutorial: 
http://www.spywareinfo.com/~merijn/htlogtutorial.html
Utilizza HJT con Windows eseguito in modalità provvisoria (F8 all'avvio).
Una volta lanciata la scansione e completata la prima pulizia (fix dei
problemi rilevati), riavvia di nuovo la macchina in modalità provvisoria e
riesegui Hijackthis.
Poi vai qui: 
http://forums.spywareinfo.com/
- Premi il pulsante "Register"
- Completa la procedura di registrazione e vai:
http://forums.spywareinfo.com/index.php?showforum=18
- Premi il pulsante "New Topic" e posta il file di .log di Hijackthis.
E anche qui: 
http://forum.aumha.org/index.php
- Registrati (premi il pulsante "Register").
- Quindi torna alla pagina del forum e scegli il forum "HijackThis Logs"
http://forum.aumha.org/viewforum.php?f=30
- premi il pulsante "New Topic".
- Posta il file di .log di HJThis.
In entrambi i forum operano specialisti che ti risponderanno in breve tempo
consigliandoti le soluzioni più adeguate.
--
Vincenzo Di Russo
Microsoft® MVP - Windows - Internet Explorer/OE
news://microsoft.public.it.internet_explorer
http://support.microsoft.com/newsgroups
http://mvp.support.microsoft.com/

Anche io con Spybot1.3 mi rileva 1 spyware: DSO Exploit che contiene 2
chiavi
dil registro.
Anche se lo elimino ad ogni scansione ritorna.
Cosa e' meglio io faccia?
Per quanto riguarda la pagina iniziale di IE6 non ho avuto problemi.
nab


 Cosa e' meglio io faccia?
***Attenzione con le modifiche del registro***
Il consiglio in generale č di cambiare le chiavi di registro con il valore
DWORD 3. Perň ti
accorgerai che le chiavi DWORD sono state modificate come chiavi stringa o
REG_SZ ((distinguibili
per il fatto che presentano una iconetta o piccola figura in cui c'č scritto
"ab"). Questo
spiegherebbe il fatto spiega perché Spyboth non risolve il problema:
semplicemente non trova le
chiavi perchč sono in un formato diverso.
Allora cosa fare? Supponendo che il problema sia in questa chiave di
registro (per me era cosě):
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet
Settings\Zones\0\1004
(ma tu controlla esattamente quale chiave ti trova spybot)
1) Se la chiavi in questione č in formato REG_DWORD modifichi il suo valore
a 3 (clicchi col
pulsante dx del mouse sulla chiave 1004 -> modifica -> sostituisci il valore
che trovi con il
valore 3).
2) Se invece la chiave č in formato REG_SZ allora:
a) la cancelli (cancelli la chiave 1004)
b) crei a mano una chiave REG_DWORD con nome 1004 e valore 3.
Per creare un nuovo valore REG_DWORD basta cliccare con il pulsante destro
del mouse sulla
cartella 0 -> nuovo ->valore DWORD (scrivendoci 1004). Clicchi col pulsante
dx del mouse sulla
chiave 1004 -> modifica -> sostituisci il valore che trovi con il valore 3.
Fatto questo dovresti risolvere il problema.
Ciao

Ho seguito esattamente le tue istruzioni (in fondo alla presente) ma
Spybot1.3 mi rileva ancora 1 problema:
DSO Exploit: Data source object exploit (Modifica al registro, nothing done)
  HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet
Settings\Zones\0\1004!=W=3
Da quanto ho potuto apprendere questo DSO Exploit e' un vecchio problema
gia' risolto 2 anni fa con un patch di microsoft ma che ancora Spybot1.3
rileva per errore.
Che ne pensi?
nab



è lo stesso problema che ti ho indicato nell'altro post, solo che la chiave
interessata è un'altra; valgono le stesse istruzioni del post precedente :)
ciao

 ciao
Non mi sono spiegato bene.
Prima avevo 1 problema di DSO Exploit con 2 Entries.
Seguendo le tue indicazioni:
"2) Se invece la chiave è in formato REG_SZ allora:
a) la cancelli (cancelli la chiave 1004)
b) crei a mano una chiave REG_DWORD con nome 1004 e valore 3.
Per creare un nuovo valore REG_DWORD basta cliccare con il pulsante destro
del mouse sulla
cartella 0 -> nuovo ->valore DWORD (scrivendoci 1004). Clicchi col pulsante
dx del mouse sulla chiave 1004 -> modifica -> sostituisci il valore che
trovi con il valore 3."
 ho "sanato" 1 Entrie ma la seconda persiste:
DSO Exploit: Data source object exploit (Modifica al registro, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet
Settings\Zones\0\1004!=W=3
Ti viene in mente qualcosa di ulteriore?
In ogni caso grazie molte per la dritta.
nab


hai controllato quella chiave nel registro? che valore ha? č un valore dword
o no?
ciao

 ciao
Valore dword
Dati valore 3
Ho provato (sempre con cautela) a cancellare le chiavi 1004 dalle Zone
0,1,2,3,4 ma niente.
Naturalmente le ho rimesse al loro posto.
Compare sempre 1 DSO Exploit entrie.
nab

 Compare sempre 1 DSO Exploit entrie.
Stamattina ho trovato in Usenet la segnalazione a questo:
http://www.nsclean.com/dsostop.html
Chi sa se funge? :)
-- 
		Luca Amicone
		ICQ: 14890779
		Microsoft MVP
"Event ID 3870, 7023, 2504 and 7002 Messages Are Logged After You 
Restart a Windows NT-Based Computer" 
http://support.microsoft.com/?kbid=317140


ovviamente il valore č in esadecimale..ho fatto quella modifica su diversi
pc e spybot non ha piů rilevato problemi...spybot č aggiornato vero? E
rimettendo il valore a 0 che fa?
ciao

 rimettendo il valore a 0 che fa?
Anche rimettendo il valore 0 il DSO Exploit viene rilevato.
Appena ho del tempo provo a leggere ed eventualmente utilizzare
questo:
http://www.nsclean.com/dsostop.html
nab

 nab
buona idea. fammi sapere se risolvi
ciao!