Newsgroup: it.comp.aiuto
Titolo: Aiuto con internet: si aprono pagine strane

Salve, vi chiedo un aiuto per irisolvere un problema che ho con
internet. Ogn tot minuti, ma non i tratta di scadenze fisse, si aprono
pagine di pubblicità, dalla società telefonica, alla banca online alle
cht eotiche e ai poker online, non si tratt di popup ma di vere e
proprie pagine che non presentano la barra di ricerca (a tutto
schermo).
Ho fatto girare hijackthis e il risultato è questo (con solo questa
pagina aperta:
Logfile of Trend Micro HijackThis v2.0.3 (BETA)
Scan saved at 18.36.42, on 04/02/2010
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18349)
Boot mode: Normal
Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Symantec\Symantec Endpoint Protection\SmcGui.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\system32\igfxsrvc.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Common Files\Intel\Privacy Icon\PrivacyIconClient.exe
C:\Program Files\Fingerprint Sensor\ATSwpNav.exe
C:\Program Files\Fujitsu Siemens Computers\Mobile Software Suite\Common
\UiMdmTip\UIMdmTip.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\IBM\Personal Communications\tpam.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Google\Quick Search Box\GoogleQuickSearchBox.exe
C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\Google\GoogleToolbarNotifier
\GoogleToolbarNotifier.exe
C:\Program Files\uTorrent\uTorrent.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Users\asimone\AppData\Local\wgizdlbf.exe
C:\Program Files\Synaptics\SynTP\SynTPHelper.exe
C:\Program Files\Java\jre6\bin\jucheck.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\TrendMicro\HiJackThis\HiJackThis.exe
C:\Windows\system32\SearchFilterHost.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
http://www.google.it/webhp?sourceid=navclient&hl=it&ie=UTF-8
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL
= 
http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
http://intranet.inps/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant
=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch
=
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName
=
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} -
C:\Program Files\Common Files\Adobe\Acrobat\ActiveX
\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no
file)
O2 - BHO: Guida per l'accesso a Windows Live -
{9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files
\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-
CF10577473F7} - C:\Program Files\Google\Google Toolbar
\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-
CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier
\5.4.4525.1752\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-
BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F}
- C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender
\MSASCui.exe -hide
O4 - HKLM\..\Run: [IAAnotif] C:\Program Files\Intel\Intel Matrix
Storage Manager\iaanotif.exe
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP
\SynTPEnh.exe
O4 - HKLM\..\Run: [picon] "C:\Program Files\Common Files\Intel\Privacy
Icon\PrivacyIconClient.exe" -startup
O4 - HKLM\..\Run: [ATSwpNav] "C:\Program Files\Fingerprint Sensor
\ATSwpNav" -run
O4 - HKLM\..\Run: [COMImpersonator] C:\Program Files\Fujitsu Siemens
Computers\Mobile Software Suite\Common\UiMdmTip\UiMdmTip.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [Tpam.exe] "C:\Program Files\IBM\Personal
Communications\tpam.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe
\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin
\jusched.exe"
O4 - HKLM\..\Run: [Google Quick Search Box] "C:\Program Files\Google
\Quick Search Box\GoogleQuickSearchBox.exe"  /autorun
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero
\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero
BackItUp\NBKeyScan.exe"
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar
\sidebar.exe /autoRun
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier
\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [uTorrent] "C:\Program Files\uTorrent\uTorrent.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger
\msnmsgr.exe" /background
O4 - HKCU\..\Run: [wgizdlbf] "c:\users\asimone\appdata\local
\wgizdlbf.exe" wgizdlbf
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar
\Sidebar.exe /detectMem (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe
oobefldr.dll,ShowWelcomeCenter (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar
\Sidebar.exe /detectMem (User 'SERVIZIO DI RETE')
O8 - Extra context menu item: E&sporta in Microsoft Excel -
res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Program
Files\Google\Google Toolbar\Component
\GoogleToolbarDynamic_mui_en_60D6097707281E79.dll/cmsidewiki.html
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -
C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O13 - Gopher Prefix:
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = Risorse.inps
O17 - HKLM\Software\..\Telephony: DomainName = Risorse.inps
O17 - HKLM\System\CCS\Services\Tcpip\..\
{E5209FD2-5B88-4EAC-9632-3B6F8F7A42B1}: NameServer =
192.168.0.11,192.168.0.12
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = Risorse.inps
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = Risorse.inps
O22 - SharedTaskScheduler: Component Categories cache daemon -
{8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\Windows
\system32\browseui.dll
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) -
Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: AppnNode - IBM Corporation - C:\Windows\system32\Drivers
\appnnode.exe
O23 - Service: AuthenTec Fingerprint Service (ATService) - AuthenTec,
Inc. - C:\Program Files\Fingerprint Sensor\AtService.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec
Corporation - C:\Program Files\Common Files\Symantec Shared
\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec
Corporation - C:\Program Files\Common Files\Symantec Shared
\ccSvcHst.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program
Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Fujitsu Siemens Computers HaMDevMg.1.00 (HaMDevMg.1.00)
- Fujitsu Siemens Computers - C:\Program Files\Common Files\Fujitsu
Siemens Computers\Manageability\HaMDevMg.exe\1.00\HaMDevMg.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) -
Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager
\IAANTMon.exe
O23 - Service: IBM Enterprise Extender (IPv4) (ldlcserv) - IBM
Corporation - C:\Windows\system32\Drivers\ldlcserv.exe
O23 - Service: IBM Enterprise Extender (IPv6) (ldlcserv6) - IBM
Corporation - C:\Windows\system32\Drivers\ldlcserv6.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec
\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Intel(R) Active Management Technology Local Management
Service (LMS) - Intel Corporation - C:\Program Files\Intel\AMT\LMS.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files
\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common
Files\Nero\Lib\NMIndexingService.exe
O23 - Service: Symantec Management Client (SmcService) - Symantec
Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection
\Smc.exe
O23 - Service: Symantec Network Access Control (SNAC) - Symantec
Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection
\SNAC.EXE
O23 - Service: Symantec Endpoint Protection (Symantec AntiVirus) -
Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint
Protection\Rtvscan.exe
O23 - Service: Funzione di traccia (TrcBoot) - IBM Corporation - C:
\Windows\system32\Drivers\trcboot.exe
O23 - Service: Intel(R) Active Management Technology User Notification
Service (UNS) - Intel Corporation - C:\Program Files\Common Files\Intel
\Privacy Icon\UNS\UNS.exe
--
End of file - 8968 bytes
Cosa posso fare per risolvere questo problema?
Grazie
Sayd

 Sayd
analizza il Logfile qui:
http://www.hijackthis.de/it
poi fai sapere.
Prova ad installare e fai girare Spybot, A-Squared free (analisi 
completa) e antimalwarebyte (scansione completa).
Ciao.


Spybot
http://www.safer-networking.org/it/index.html
Malwarebytes
http://www.malwarebytes.org/
A-Squared Free
http://www.emsisoft.com/en/software/free/

 \wgizdlbf.exe" wgizdlbf
-- 
Postato da Virgilio Newsgroup: lo usi da web ma con le funzioni del newsreader 
http://newsgroup.virgilio.it
Gerarchie it, italia, it-alt, tin, it.binari. Unico!

 ha scritto:
 > Salve, vi chiedo un aiuto per irisolvere un problema che
 > ho con internet. Ogn tot minuti, ma non i tratta di scadenze
 > fisse, si aprono pagine di pubblicit�, dalla societ� telefonica,
 > alla banca online alle cht eotiche e ai poker online, non si
 > tratta di popup ma di vere e proprie pagine che non presentano
 > la barra di ricerca (a tutto schermo). [.................]
  - Sembra il trojan pubblicitario per windows ed internet explorer
  che avevo io, fa arrivare pagine pubblicitarie in tema con
  quello che fa l'utente in rete. Controlla nelle seguenti
  cartelle e vedi se trovi dei file come questi (mi
  sembra di averne gi� visto uno nella tua lista, lo
  stesso che ti aveva chiesto fraal di controllare):
  ---
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione].dat>
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione].exe>
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione]_[sigla].dat>
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione]_[sigla].dat>
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione]_[sigla].dat>
  ---
  <C:\WINDOWS\Prefetch\[nomeapplicazione].EXE-[numero].pf>
  ---
  (il file prefetch � una specie di centralino di indirizzi,
  e la stragrande maggioranza sono di dll di windows)
  ---
  Se li trovi, NON far intervenire l'antivirus
  o l'antispyware, o il malware cambier� nome.
  Con blocco note, oppure un altro editor di testo elementare, crea
  dei file vuoti con gli stessi nomi e le stesse estensioni (aggiungi
  l'estensione richiesta, e salva come all files - tutti i file).
  Una volta preparati, ed accertato che sembrano in tutto e per
  tutto quelli originali (a parte ovviamente il peso in kB/MB,
  praticamente nullo), prepara accanto le due cartelle con i
  vari file, e quindi seleziona la prima serie di file vuoti
  e spostali nella prima cartella (dove ci sono l'exe e i dat),
  windows ti chieder� se vuoi sostituire quei file gi� esistenti,
  tu non aspettare e conferma immediatamente. Subito dopo fai
  la stessa cosa con l'ultimo file pf nella cartella prefetch.
  Il trojan dovresti averlo trovato nell'installer di un programma,
  probabilmente un programma multimediale ma non � detto. Se
  reinstalli quel programma, reinstalli anche il trojan.
  Comunque non � pericoloso, fa solo arrivare pubblicit�
  su explorer e monitorizza il tuo comportamento in rete
  ---
  -*_ uniposta(at)
yahoo.it
  -*_ uniposta(at)
gmail.com


 > Salve, vi chiedo un aiuto per irisolvere un problema che
 > ho con internet. Ogn tot minuti, ma non i tratta di scadenze
 > fisse, si aprono pagine di pubblicit�, dalla societ� telefonica,
 > alla banca online alle cht eotiche e ai poker online, non si


   -*_ uniposta(at)
gmail.com
Grazie a tutti,
il problema pare risolto, nel senso che ho fatto girare spybot che
oltre a una serie di biscottini ha trovato anche un collegamento
potenzialmente dannoso che ho provveduto a rimuovere. Riavviato un
paio di volte il pc per testare e pare regga, adesso sono in rete da
un pò e va tutto bene. Il problema però è che non mi permette più
l'aggiornamento automatico di windows, ho provato a controllare come
da guida di windows uppdate ma niente, visto firew ma tutto ok, e se
gli da fastidio proprio spybot?
Sayd


 >
 >> [..]internet. Ogn tot minuti, ma non i tratta di scadenze
 >> fisse, si aprono pagine di pubblicit�[.................]
 >
 > - Sembra il trojan pubblicitario per windows ed internet explorer
 > che avevo io, fa arrivare pagine pubblicitarie in tema con
 > quello che fa l'utente in rete. Controlla nelle seguenti
 > cartelle e vedi se trovi dei file come questi (mi
 > sembra di averne gi� visto uno nella tua lista, lo
 > stesso che ti aveva chiesto fraal di controllare):
  - S�... ovviamente i nomi delle cartelle sono un po' diversi,
  oltretutto si trattava di xp e tu invece hai vista. Ma, in
  pratica, sono quelle. Anche la sigla casuale usata come nome dal
  trojan nel tuo caso � pi� lunga, 8 caratteri invece di cinque.
  M'ero dimenticato una cosa, per me sottintesa:
  Durante la procedura chiudi tutte le applicazioni e i
  processi che farebbero risultare il trojan "in uso" e
  quindi impossibile da sostituire/cancellare, ovvero:
  => internet explorer (se durante la procedura
  vuoi poter andare in internet, usa un altro browser :
  firefox,safari,opera,chrome, o altro di tua preferenza ma che
  non utilizzi le risorse di internet explorer per funzionare)
  => antivirus
  => antispyware
  => (eventuale antirootkit)
  => eventuali altri software
  => finestre di esplora risorse o di windows
  riguardanti quei file
  - Nota : i nomi dei file li puoi copiare. Se non vedi le
  estensioni, rendile visibile attraverso le propriet� di cartella.
  Se certe cartelle sono nascoste, rendile visibili allo stesso modo.
  Se interviene un antimalware e il trojan cambia nome, disattiva
  l'antimalware e fai (o rifai) la procedura col nuovo nome.
  il file segnalato da fraal era questo:
  C:\Users\asimone\AppData\Local\wgizdlbf.exe
  il cui indirizzo differisce, nel nome ma non nella sostanza,
  da quello indicato per i miei primi cinque file:
  ---
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione].dat>
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione].exe>
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione]_[sigla].dat>
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione]_[sigla].dat>
  <C:\Documents and Settings\Tuo Nome Utente\Impostazioni
  locali\Dati applicazioni\[nomeapplicazione]_[sigla].dat>
  ---
  - L'indirizzo dell'ultimo file invece
  dovrebbe essere uguale anche nel nome
  <C:\WINDOWS\Prefetch\[nomeapplicazione].EXE-[numero].pf>
 > ---
 >
 > (il file prefetch � una specie di centralino di indirizzi,
 > e la stragrande maggioranza sono di dll di windows)
 >
 > ---
 >
 > Se li trovi, NON far intervenire l'antivirus
 > o l'antispyware, o il malware cambier� nome.
 >
 > Con blocco note, oppure un altro editor di testo elementare, crea
 > dei file vuoti con gli stessi nomi e le stesse estensioni (aggiungi
 > l'estensione richiesta, e salva come all files - tutti i file).
 >
 > Una volta preparati, ed accertato che sembrano in tutto e per
 > tutto quelli originali (a parte ovviamente il peso in kB/MB,
 > praticamente nullo), prepara accanto le due cartelle con i
 > vari file, e quindi seleziona la prima serie di file vuoti
 > e spostali nella prima cartella (dove ci sono l'exe e i dat),
 > windows ti chieder� se vuoi sostituire quei file gi� esistenti,
 > tu non aspettare e conferma immediatamente. Subito dopo fai
 > la stessa cosa con l'ultimo file pf nella cartella prefetch.
  - Nel caso, al limite, il trojan reagisse a windows e tu
  non facessi in tempo a confermare la sostituzione (a me
  non era capitato, ma nell'eventualit� te lo dico), prova a
  impegnare il computer con qualche cosa che per esperienza sai
  che lo rallenta molto, in modo da darti pi� tempo. Sarai
  avvantaggiato nei confronti dei processi pi� complessi
 > Il trojan dovresti averlo trovato nell'installer di un programma,
 > probabilmente un programma multimediale ma non � detto. Se
 > reinstalli quel programma, reinstalli anche il trojan.
 >
 > Comunque non � pericoloso, fa solo arrivare pubblicit�
 > su explorer e monitorizza il tuo comportamento in rete
  - Aggiungo che fa in pratica quello che fa la maggioranza dei
  programmi, quello che fanno i motori di ricerca, a partire da
  google, quello che fanno molti siti internet, e spesso proprio
  con quella tecnologia che google mette a disposizione dei siti.
  Solo che... in quei casi non si parla di trojan.
  E' probabile inoltre che, analogamente ai programmi/motori/siti,
  anche questo malware invii una serie di dati (su di te) a
  un qualche indirizzo internet di una qualche azienda


 ha scritto:
 > Grazie a tutti,
 > il problema pare risolto, nel senso che ho fatto girare spybot che
 > oltre a una serie di biscottini ha trovato anche un collegamento
 > potenzialmente dannoso che ho provveduto a rimuovere.
 > Riavviato un paio di volte il pc per testare e pare regga, adesso
 > sono in rete da un p� e va tutto bene. Il problema per� � che non
 > mi permette pi� l'aggiornamento automatico di windows, ho provato
 > a controllare come da guida di windows uppdate ma niente,
 > visto firew ma tutto ok, e se gli da fastidio proprio spybot?
 > Sayd
  - Ma quei file c'erano?
  Non si tratta di biscottini e di un collegamento per un totale di
  tot kB, ma di alcuni file incluso un .exe per un totale di alcuni MB.
  Se spybot ha trovato quel malware, il malware ha cambiato
  nome e ha adottato delle strategie di camuffamento. E a
  proposito di questo malware, cito da un forum:
  "E' una variante del trojan CiD/Swizzor, che
  in questa variante � nascosto da un rootkit."
  E il codice � nascosto (compresso e crittato)
  -*_ uniposta(at)
yahoo.it
  -*_ uniposta(at)
gmail.com

   -*_ uniposta(at)
gmail.com
Ma? pare funzionare tutto perfettamente.
Sayd

    Per prima cosa disinstalla Messenger.
-- 
Gianluca