Sos.... Spyware.winspy

[*Divina* Rousel]

Habanero perdona le mie insicurezze da inesperta,
ma sei sicuro che questi file non siano importanti per il funzionamento di alcuni programmi quali MSN, OUTLOOK etc?

[Habanero]

tranquilla sono tutti file infetti. I file legittimi, se esistono, si trovano in altre cartelle.

[*Divina* Rousel]

Bene

adesso come si fa per eliminarli?
è la prima volta che uso questo programma...

Li ho lesezionati tutti spuntando il quadratino che c'è accanto al nome del file infetto ma poi non vedo alcuna voce su cui cliccare in cui ci sia scritto delete o qualcosa di simile...

le uniche opzioni sono:
1)Send
2)Save report as
3)Expand report

Che faccio?

[*Divina* Rousel]

Posso cercare i file ed eliminarli manualmente?

[*Divina* Rousel]

Ho eliminato i file manualmente, uno per volta, ho svuotato il cestino e ho riavviato il pc e rifatto la scanzione online,
e adesso mi trova di nuovo 7 file infetti e due virus ma questa volta localizzati in C:System Volume Information\_Restore\ e rinominati con un numero lunghissimo .exe

praticamente credo li abbia rinominati....

Ragazzi sto diventando matta , non so che fare

[amvinfe]

Devi disabilitare il Ripristino di configurazione di sistema
http://sicurezza.html.it/articoli/ar...i=23&npagina=1

[*Divina* Rousel]

Grazie mille....ho risolto

[*Divina* Rousel]

Ciao ragazzi, giorni fa sono stata alle prese con uno Spyware (Winspy)
ma dopo aver eliminato i file infetti uno alla volta e manualmente, adesso facendo scansione risulta essere tutto a posto....eppure noto ancora qualcosa di strano nel funzionamento del pc;

Posto il log di HijackThis....
mi dite per favore se è tutto a posto e se c'è qualcosa che devo fixare? Grazie


Logfile of HijackThis v1.99.1
Scan saved at 1.19.40, on 11/03/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccProxy.exe
C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\ASWLSVC.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\system32\slserv.exe
C:\Programmi\Speed Disk\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programmi\ltmoh\Ltmoh.exe
C:\Programmi\Launch Manager\LaunchAp.exe
C:\Programmi\Launch Manager\PowerKey.exe
C:\Programmi\Launch Manager\HotkeyApp.exe
C:\Programmi\Launch Manager\CtrlVol.exe
C:\Programmi\Launch Manager\Wbutton.exe
C:\Programmi\Java\jre1.5.0\bin\jusched.exe
C:\Programmi\Winamp\winampa.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\ASUS\WLAN Card Utilities\Center.exe
C:\Programmi\File comuni\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Programmi\Norton Utilities\SYSDOC32.EXE
C:\Programmi\File comuni\Symantec Shared\Security Console\NSCSRVCE.EXE
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\HJT\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.it/0SEITIT/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Norton Internet Security 2006 - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programmi\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\it\msntb.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\it\msntb.dll
O3 - Toolbar: Norton Internet Security 2006 - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programmi\File comuni\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programmi\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [LaunchApp] LaunApp
O4 - HKLM\..\Run: [HTpatch] C:\WINDOWS\htpatch.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [LtMoh] C:\Programmi\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Programmi\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [PowerKey] "C:\Programmi\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [HotkeyApp] C:\Programmi\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Programmi\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Programmi\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [WorksFUD] c:\Programmi\Microsoft Works\wkfud.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] c:\Programmi\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] c:\Programmi\Microsoft Works\WkDetect.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programmi\Winamp\winampa.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Control Center] C:\Programmi\ASUS\WLAN Card Utilities\Center.exe
O4 - Global Startup: Promemoria del Calendario di Microsoft Works.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O4 - Global Startup: Norton System Doctor.lnk = C:\Programmi\Norton Utilities\SYSDOC32.EXE
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english...an_unicode.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/S...in/AvSniff.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/reso...an8/oscan8.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2...ll/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/actives...ree/asinst.cab
O16 - DPF: {B1826A9F-4AA0-4510-BA77-9013E74E4B9B} - http://www.trendmicro.com/spyware-scan/as4web.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/Ms...Downloader.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/S.../bin/cabsa.cab
O23 - Service: ASWLSVC - Unknown owner - C:\WINDOWS\system32\ASWLSVC.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Internet Security Password Validation (ccISPwdSvc) - Symantec Corporation - C:\Programmi\Norton Internet Security\ccPwdSvc.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programmi\Norton Internet Security\comHost.exe
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
O23 - Service: Servizio Auto-Protect di Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Programmi\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Programmi\Norton Utilities\NPROTECT.EXE
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programmi\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\Programmi\Speed Disk\nopdb.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe

[Habanero]

Ho unito la discussione con quella precedente... inutile aprirne una nuova.

Sarebbe utile sapere cosa rilevi di strano nel funzionamento del pc...


Il log sembra ok.

[*Divina* Rousel]

Più di una volta in questi giorni e ieri sera per l’ennesima volta, all’accensione del pc durante il caricamento di windows “
tra l’altro avvolte lentissimo, non so perchè” avviene un improvviso riavvio del sistema e compare una schermata dove avverte che si è verificato un errore grave…
Altre volte invece, “non sempre”, noto all’aperura di una nuova pagina internet che la schermata di caricamento non compare subito ma dopo alcuni secondi, come se non avessi aperto nessuna pagina….


Inoltre ho notato che nella cartella di windows risulta installato in data recentissima (e coincidente con quella dello spyware)
un programma che a me non risulta di avere mai installato:
si chiama Sierra Wireless Inc , ed è localizzato appunto dentro la cartella di windows e a sua volta contenuto in una cartella chiamata Application Data..... non ho idea di cosa sia…

Altra cosa strana….Ho fatto scansione con Spybot e mi trova 2 voci da eliminare:
Windows Security Center.AntiVirusDisableNotify
Windows Security Center.FirewallDisableNotify

...entrambe posizionate tra i file di registro come “modifica registro”

Bene…. se clicco su “correggi problemi selezionati” mi dice che sono stati corretti ma ripetendo la scansione si ripresentano puntualmente invariati ogni volta.

Altra cosa…. usando RegSeeker per la pulizia di registro mi porta sempre 4 voci in rosso:

HKEY_CLASSES_ROOT
fwUI.NISIDSSettings.1
Extension not used

HKEY_CLASSES_ROOT
Interface\[01ED405-78A 0-496c-93F3-CF449D18078A]
Invalid ActiveX/COM entry (CLSID)


HKEY_CLASSES_ROOT
Interface\[A9CC9305-0A30-4015-92AO-0711EE24E720]
Invalid ActiveX/COM entry (CLSID)

HKEY_CLASSES_ROOT
NAVComUI.ScriptInocUI.1
Extension not used

….le elimio ogni volta ma anche quì accade la stessa cosa che succede con SpyBot…dice di averli eliminati ma ogni volta che rifaccio il controllo stanno sempre lì invariati…

E poi facendo scansione online con Panda mi trova 1 Spyware e 2 Adware:
Doubleclick (dentro documenti e settaggi\Kappa\Impostazioni….)
PowerStrip (dentro Windows Registry)
WinTools (C:\Programmi\Aspire 1600 screensaver\insthl….)

queste sono le uniche informazioni che mi da e non so come eliminarli…anche perché AD-Aware SE non li rileva.
Ho cancellato file temporanei e cookie ma non cambia nulla.


Oltretutto non so se tutto questo può essere collegato allo Spyware di alcuni giorni fa anche perchè mi è stato detto che alcuni tipi di Spyware, anche dopo essere stati eliminati, possono rigenerarsi attraverso piccole tracce apparentemente innocue che lasciano sul pc….Pensate che possa trattarsi di questo?







Per notizia: Mai fidarsi di nessuno!!!
Lo Spyware in questione è stato installato a mia insaputa, direttamente dal mio pc, da una persona di mia conoscenza e di cui mi fidavo ciecamente, lui aveva libero accesso al mio computer ma voleva entrare a conoscenza di cose strettamente personali che mi riguardavano e avendo un amico hacher ha pensato bene di…….
oltretutto me lo ha anche ammesso proprio 2 giorni fa; dice che lo ha fatto allo scopo di entrare in possesso di ogni mia pass per accedere ad email e accaunt vari in cui sono registrata…e controllare così ogni mio movimento sul pc….
che faccia tosta!
Vatti a fidare!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!