Ciao,

come molti altri, ho preso un virus fastidiosissimo che:

- impedisce l'aggiornamento degli antivirus (anche quelli online)
- dirotta i miei risultati su google
- apre finestre pop up indesiderate
- mi impedisce di passare da un account all'altro di windows xp
- non mi fa accedere alla modalità provvisoria.

Ho seguito tutti i vostri consigli, ma non mi è stato possibile metterli tutti in pratica proprio perchè gli antivirus e gli antispyware non si aggiornano, e molte scansioni online non funzionano. Inoltre non riuscendo ad accedere alla modalità provvisioria, non ho potuto tentare di farli girare da lì.

A questo punto, chiedo umilmente il vostro aiuto, sperando che possiate guidarmi verso la soluzione.

Posto qui sotto il log di hijackthis, ottenuto come da vostre indicazioni.

Grazie mille!!!


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 1.24.48, on 13/12/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Boot mode: Normal

Running processes:
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Belkin\Belkin Power Management Software\RupsMon.exe
C:\Programmi\SPAMfighter\sfus.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Belkin\Belkin Power Management Software\usbmate.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Ahead\InCD\InCD.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe
C:\Programmi\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\EPSON\EPSON SMART PANEL for Scanner\espmain.exe
C:\Programmi\Google\Google Updater\GoogleUpdater.exe
C:\Programmi\Logitech\SetPoint\KEM.exe
C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
C:\Programmi\Belkin\Belkin Power Management Software\Monw32.exe
C:\Programmi\Logitech\SetPoint\KHALMNPR.EXE
C:\WINDOWS\explorer.exe
C:\hijackthis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre6\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\3.1.807.1746\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [C:\WINDOWS\system32\kddoa.exe] C:\WINDOWS\system32\kddoa.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [C:\WINDOWS\system32\kdpub.exe] C:\WINDOWS\system32\kdpub.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O4 - Global Startup: EPSON SMART PANEL for Scanner.lnk = C:\Programmi\EPSON\EPSON SMART PANEL for Scanner\espmain.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE
O4 - Global Startup: Google Updater.lnk = C:\Programmi\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programmi\Logitech\SetPoint\KEM.exe
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
O4 - Global Startup: Rupsmon Daemon.lnk = ?
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O15 - Trusted Zone: www.928476362.com
O15 - Trusted Zone: www.brut4l3.com
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls...toUploader5.cab
O16 - DPF: {474F00F5-3853-492C-AC3A-476512BBC336} (UploadListView Class) - http://picasaweb.google.com/s/v/35.06/uploader2.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/res...can8/oscan8.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/...n/bin/cabsa.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/g...ash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{108983FC-1C41-404A-A064-1E378E66B0E7}: NameServer = 85.255.112.107;85.255.112.200
O17 - HKLM\System\CCS\Services\Tcpip\..\{6B98205F-2573-4DD2-900C-021EF99BB058}: NameServer = 85.255.112.107;85.255.112.200
O17 - HKLM\System\CCS\Services\Tcpip\..\{754D4ECF-7B1A-4BBD-BFDD-53F2CC3A6558}: NameServer = 212.216.112.112,212.216.172.62
O17 - HKLM\System\CCS\Services\Tcpip\..\{EFB01DDE-90E3-4555-B0B0-BF0FD864BC67}: NameServer = 212.216.112.112,212.216.172.62
O17 - HKLM\System\CS1\Services\Tcpip\..\{108983FC-1C41-404A-A064-1E378E66B0E7}: NameServer = 85.255.112.107;85.255.112.200
O17 - HKLM\System\CS2\Services\Tcpip\..\{108983FC-1C41-404A-A064-1E378E66B0E7}: NameServer = 85.255.112.107;85.255.112.200
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programmi\Ahead\InCD\InCDsrv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Rupsmon - Belkin - C:\Programmi\Belkin\Belkin Power Management Software\RupsMon.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SPAMfighter Update Service - SPAMfighter ApS - C:\Programmi\SPAMfighter\sfus.exe
O23 - Service: USBMate - Mega Corp. - C:\Programmi\Belkin\Belkin Power Management Software\usbmate.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 10362 bytes

Ciao,

scarica sul desktop
http://www.suspectfile.com/systemscan
aprilo ed assicurati che tutte le opzioni siano spuntate, clicca su "Scan Now" al termine della scansione verranno rilasciati (sempre sul desktop all'interno della cartella suspectfile) due file.
Vai su http://www.freefilehosting.net carica il file con estensione .zip e scrivi, nella tua prossima replica l'URL per poterlo scaricare.

Ricordati d'effettuare la scansione senza connessione attiva e con l'antivirus disabilitato salvo poi riattivarlo a scansione terminata.

NB
la durata della scansione può risultare lunga, potrebbe addirittura sembrare che il programma non stia lavorando, non preoccuparti non è così

SystemScan viene riconosciuto, erroneamente, da alcuni antivirus come infetto.

--

Grazie: ho fatto come hai detto, ecco il link al file generato da Suspectfile

http://freefilehosting.net/download/4316e

Grazie ancora!

Con il pc non connesso e con antivirus disabilitato:

Apri SystemScan>Clicca su "Removal Script".
Allinterno del box bianco copia ed incolla i valori riportati qui sotto



ora clicca su "Proceed with removal" e poi su OK.

Il pc dovrebbe riavviarsi da solo, diversamente riavvialo manualmente.

Sempre non connesso e con antivirus disabilitato:

Apri HijackThis
esegui una scansione, metti la spunta al finaco delle voci che riporterò più sotto. Clicca su "Fix checked". Riavvia.

O15 - Trusted Zone: www.928476362.com
O15 - Trusted Zone: www.brut4l3.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{108983FC-1C41-404A-A064-1E378E66B0E7}: NameServer = 85.255.112.107;85.255.112.200
O17 - HKLM\System\CCS\Services\Tcpip\..\{6B98205F-2573-4DD2-900C-021EF99BB058}: NameServer = 85.255.112.107;85.255.112.200
O17 - HKLM\System\CS1\Services\Tcpip\..\{108983FC-1C41-404A-A064-1E378E66B0E7}: NameServer = 85.255.112.107;85.255.112.200
O17 - HKLM\System\CS2\Services\Tcpip\..\{108983FC-1C41-404A-A064-1E378E66B0E7}: NameServer = 85.255.112.107;85.255.112.200

Sempre non connesso e con antivirus disabilitato:
Portati in


F:\
H:\

ed elimina:

autorun.inf

e la cartella (attenzione al nome esatto)

resycled

Svuota il cestino.

Senza riavviare portati in

Start>Esegui scrivi regedit dai l'OK.

Aiutandoti con i + portati in

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
click su "Winlogon".
Dal pannello di dx doppio click sul nome "System" ed elimina il dato kdpub.exe, il campo "Dati valore" dev'essere vuoto.
Premi F5.

Riavvia.

Esegui una nuova scansione con SystemScan e postami il link per scaricarlo insieme ad avenger.txt che troverai in C:\

Allora, intanto grazie ancora; ho fatto esattamente tutto quello che hai detto.

Qui trovi il file di SystemScan: http://freefilehosting.net/download/4320j

E sotto ti copio il file avenger.

Il punto è che ora non si connette più ad Internet!!! Io ora ti sto scrivendo da un altro PC, che è in rete con quell'altro e sul quale internet funziona ancora bene!

Aiuto... :-)

Ecco il file avenger.txt:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\dysspspv

*******************

Script file located at: \??\C:\pfixbpfq.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



File C:\WINDOWS\system32\kddoa.exe not found!
Deletion of file C:\WINDOWS\system32\kddoa.exe failed!

Could not process line:
C:\WINDOWS\system32\kddoa.exe
Status: 0xc0000034

File C:\WINDOWS\system32\kdpub.exe deleted successfully.


File C:\WINDOWS\Prefetch\KDPUB.EXE not found!
Deletion of file C:\WINDOWS\Prefetch\KDPUB.EXE failed!

Could not process line:
C:\WINDOWS\Prefetch\KDPUB.EXE
Status: 0xc0000034

File C:\autorun.inf deleted successfully.
Folder C:\resycled deleted successfully.
Registry value HKLM\Software\Microsoft\Windows\CurrentVersion\Run|C:\WINDOWS\system32\kdpub.exe deleted successfully.
Registry value HKLM\Software\Microsoft\Windows\CurrentVersion\Run|C:\WINDOWS\system32\kddoa.exe deleted successfully.
Program C:\Documents and Settings\Dario\Desktop\sys93209.exe successfully set up to run once on reboot.

Completed script processing.

*******************

Finished! Terminate.

da Start>Esegui scrivi cmd.exe e dai l'OK


ora scrivi (attento allo spazio fra i due nomi)e dai l'OK

ipconfig /renew

ti deve ritornare una schermata con i vari parametri dei DNS. Se così non è cercheremo di farli acquisire.

devi controllare se nelle Proprietà di connessione (Rete), TCP/IP (protocollo internet) e server DNS vengono ottenuti automaticamente.

I valori che ti ho fatto rimuovere

O17 - HKLM\System\CCS\Services\Tcpip\..\{108983FC-1C41-404A-A064-1E378E66B0E7}: NameServer = 85.255.112.107;85.255.112.200
O17 - HKLM\System\CCS\Services\Tcpip\..\{6B98205F-2573-4DD2-900C-021EF99BB058}: NameServer = 85.255.112.107;85.255.112.200
O17 - HKLM\System\CS1\Services\Tcpip\..\{108983FC-1C41-404A-A064-1E378E66B0E7}: NameServer = 85.255.112.107;85.255.112.200
O17 - HKLM\System\CS2\Services\Tcpip\..\{108983FC-1C41-404A-A064-1E378E66B0E7}: NameServer = 85.255.112.107;85.255.112.200

erano collegati con il malware.

Grande!

Ho fatto quello che mi hai detto e all'inizio sembrava non essere cambiato nulla.

Poi ho riavviato il PC e ora internet funziona nuovamente! Per curiosità ho provato ad aggiornare sia Antivir che Ad-aware che prima NON si aggiornavano e si sono aggiornati. Poi ho provato a passare da un account all'altro e ci son riuscito. Ho fatto anche una prova coi risultati di Google e sembra tutto ok!

C'è altro che devo fare o possiamo cantare vittoria?

Ti chiedo anche un consiglio: io ho sempre avuto AVG come antivirus, Antivir l'avevo messo solo per fare un tentativo visto che AVG non si aggiornava. Quale mi consigli di usare?

Grazie mille, veramente!

riguardo l'antivirus dei due ti consiglierei Avira.

Se vogliamo fare un controllo finale, postami un nuovo SystemScan.

Ecco qua, ti posto il link... Speriamo per l'ultima volta :-)

Grazie infinite, veramente!

http://freefilehosting.net/download/432e5

Tutto a posto

ciao

Grazie grazie grazie. Non ho altre parole!