Win32:Diamin_DJ[TMJ]

[agta]

Buongiorno a tutti!
Mi sono appena iscritta a questo forum perchè non so più cosa fare per eliminare il trojan che penso si sia infilato nel mio computer e che adesso non mi lascia collegare internet explorer... Stavo scaricando la nuova versione di Java quando avast mi ha segnalato il trojan... Ho provveduto a cancellarlo e l'installazione è proseguita... Successivamente però mi sono accorta che c'era qualcosa che non andava e così ho avviato una scansione con avast che... mi ha trovato il trojan ancora presente! L'ho eliminato, ho scansionato il pc sia in modalità provvisoria sia in normale, non ho più trovato nulla... Qualcosa però ci deve essere perchè internet explorer si blocca in continuazione non appena digito qualche indirizzo, facendo apparire le finestrelle di segnalazione errori... Ho cercato in internet informazioni in merito, ho scaricato programmini vari e scansionato nuovamente il pc, sembra tutto a posto... Prevx1 mi indica che il sistema è buono, ma explorer non "naviga"... Posto qui sotto il risultato dell'analisi con hijackthis, forse c'è qualcuno del forum che riesce a dirmi cosa sta succedendo al mio pc!!
Grazie in anticipo per le eventuali risposte alla mia domanda di aiuto!
Ornella!

P.S. scusate, non ho indicato che ho scansionato il computer con: avast, ad-aware, spybot-search&destroy, spyware doctor, prevx1, pulito con ccleaner, riprovato a fare le varie scansioni, scansionato con avast anche in modalità provvisoria, riavviato e riprovato, nessuna segnalazione particolare... ho provato anche a fare la scansione con il sito http://housecall.trendmicro.com e su www.kapersky.it/Servizi/Virusscan.asp ma si bloccano al momento di iniziare con la scansione, facendo apparire la finestrella di segnalazione errori a microsoft e chiudendo internet explorer... Non so più cosa fare, io non me ne intendo di logfile e quindi non so tradurre da sola la lista di HijackThis...


Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 13.51.11, on 16/05/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\Prevx1\PXConsole.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\CAPPSWK .EXE
C:\WINDOWS\system32\CAPRPCSK.EXE
C:\Programmi\Prevx1\PXAgent.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\CAPPSWK .EXE
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\User\Desktop\Programmi\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://192.168.1.1/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Malicious Scripts Scanner - {55EA1964-F5E4-4D6A-B9B2-125B37655FCB} - C:\Documents and Settings\All Users\Dati applicazioni\Prevx\pxbho.dll
O2 - BHO: (no name) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar3.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn0\yt.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar3.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [CAPON] C:\WINDOWS\system32\Spool\Drivers\w32x86\3\CAPONN. EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [PrevxOne] "C:\Programmi\Prevx1\PXConsole.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Finestra di stato di Canon LBP-810.LNK = C:\WINDOWS\system32\spool\drivers\w32x86\3\CAPPSWK .EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Programmi\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) -
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} -
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O16 - DPF: {CAFEEFAC-0015-0000-0009-ABCDEFFEDCBA} -
O16 - DPF: {CAFEEFAC-0015-0000-0010-ABCDEFFEDCBA} (Java Plug-in 1.5.0_10) -
O16 - DPF: {CAFEEFAC-0015-0000-0011-ABCDEFFEDCBA} -
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} -
O17 - HKLM\System\CCS\Services\Tcpip\..\{99BCBEA7-6700-43D6-89CF-84DD6E1FB9F9}: NameServer = 151.99.125.2,151.99.125.3
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Prevx Agent (PREVXAgent) - Prevx - C:\Programmi\Prevx1\PXAgent.exe
O23 - Service: Spyware Doctor Auxiliary Service (sdAuxService) - Unknown owner - C:\Programmi\Spyware Doctor\svcntaux.exe
O23 - Service: Spyware Doctor Service (sdCoreService) - PC Tools - C:\Programmi\Spyware Doctor\swdsvc.exe
O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/User/IMPOST~1/Temp/msohtml1/01/clip_image002.jpg

--
End of file - 7368 bytes

[OYS]

Qual'era il nome del virus?

[agta]

il virus che mi è stato segnalato è Win32 Diamin_DJ[TMJ]

[OYS]

Qual era il percorso del virus (C:\....)? Ogni quanto avast te lo risegnala?

Fai una scansione con systemscan.
Una volta eseguita la scansione portati in C:\suspectfile e carica il file report.txt su www.sendmefile.com e scrivi il link per poterlo scaricare

[agta]

avast non mi segnala più la presenza del virus, così come gli altri programmi però non riesco più ad usare internet explorer...

il percorso che mi segnalava era (se non ho ricopiato male) C:\Documents and setting\user\dati applicazione\sun\java\deployment\cache\java\v1.0\a ctiveXcomponent.class-601348b1-6ed34a5f.class\[UPX]

adesso provo a fare una scansione con systemscan sperando che internet explorer non si blocchi sul più bello!

Grazie per la risposta!

[agta]

ho provato a fare la scansione con systemscan... al sito si collega, ma quando sta per iniziare il download, appare la finestra di segnalazione errore di microsoft, si blocca tutto finchè non clicco o su invia o su non inviare e poi i.e. si chiude... potrebbe essere che si è danneggiato il windows installer??

[ste-95]

vedi se riesci a risolvere facendo così:

scarica avenger, vai su input script manully, clicca sulla lente d'ingrandimento e copia e incolla quanto segue:

Files to delete:
C:\Documents and setting\user\dati applicazione\sun\java\deployment\cache\java\v1.0\a ctiveXcomponent.class-601348b1-6ed34a5f.class

[ste-95]

scusa rileggendo ho dimenticato una parte

poi clic su done e poi sul semaforino

[OYS]

Originariamente inviato da agta
ho provato a fare la scansione con systemscan... al sito si collega, ma quando sta per iniziare il download, appare la finestra di segnalazione errore di microsoft, si blocca tutto finchè non clicco o su invia o su non inviare e poi i.e. si chiude... potrebbe essere che si è danneggiato il windows installer??

utilizza

questo
questo


Se non vanno neanche loro, click destro su questo link, "salva con nome" in inglese: "save link target as"

link

[agta]

Ho scaricato avenger e fatto tutto quanto suggeritomi... questo che segue è il risultato!

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Service s\txipmeuc

*******************

Script file located at: \??\C:\WINDOWS\tcjypjmp.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



Could not open file C:\Documents and setting\user\dati applicazione\sun\java\deployment\cache\java\v.10\a ctiveXcomponent.class-601348b16ed34a5f.class for deletion
Deletion of file C:\Documents and setting\user\dati applicazione\sun\java\deployment\cache\java\v.10\a ctiveXcomponent.class-601348b16ed34a5f.class failed!

Could not process line:
C:\Documents and setting\user\dati applicazione\sun\java\deployment\cache\java\v.10\a ctiveXcomponent.class-601348b16ed34a5f.class
Status: 0xc000003a


Completed script processing.

*******************

Finished! Terminate.

...Internet Explorer però non funziona ancora... inizio a demoralizzarmi ed a pensare che mi toccherà contattare un tecnico...