Risultati alterati nelle SERP dei motori

[s-day]

Però non è lsass.exe ...ho appena verificato...

..e allora dove vado a beccarlo all'interno del pc per eliminarlo?

[assia]

Bho....sembra un trojan che fa di tutto per fare scaricare tale "MegaToolbar" (che non oso pensare a sto punto cosa faccia la toolbar!!! VVoVe: )...però ho provato a cercare qualche info ma non ho trovato nulla...
Mi sa che ti conviene postare nel forum di sicurezza....magari li ti sanno dire qualcosa di più

[weppos]

Dato che l'argomento è variato sposto in Sicurezza e Software.
Lì avrai più probabilità di essere aiutato.

Modifico il titolo per renderlo coerente con la sezione di destinazione.

[inside1]

Sono qui per cercare di aiutarti e per chiedere anch' io una cosuccia senza aprire un altro 3D.

Avvia in modalità provvisoria, poi fai partire AD-AWARE, una volta terminata la scansione, se ti identifica dei file critici vai nella cartella degli oggetti critici, se sono dei cookie o li elimini a mano o li fai cancellare dal software, dove invece ti sengnala dei file tipo .exe .cab o cose del genere guardi la cartella e li vai ad eliminare a mano... ovviamente elimina a mano quelli che sei sicuro... poi una volta cancellato i file a mano con il software li selezioni tutti e li cancelli.... ovviamente devi stare all' occhio, generalmente i file sospetti si identificano facilmente quelli che non sei sicuro, chievi qui o lasciali stare dove sono....

La mia domanda era come faccio a riconoscere se è Isass.exe o Lsass.exe ? Nei processi sembra non lavorare cioè la percentuale di utilizzo della CPU e a zero... se mai posto i log dei file di registro e vediamo se qualcuno di voi sa riconoscere qualche porcheria... io pultroppo non sono sicuro di questi processi..

Ciaoooooooo

[s-day]

Ho già provato con adware..ma nulla

[cso]

prova hijackthis e posta i risultati...
attento: lo devi usare in modalità provvisoria senza far partire altri programmi ecc...insomma leggi questo e magari posta anche una tasklist /svc dal prompt...

[s-day]

Questi sono i risultati:


Logfile of HijackThis v1.98.2
Scan saved at 22.02.44, on 10/12/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
F:\WINDOWS\System32\smss.exe
F:\WINDOWS\system32\winlogon.exe
F:\WINDOWS\system32\services.exe
F:\WINDOWS\system32\lsass.exe
F:\WINDOWS\System32\Ati2evxx.exe
F:\WINDOWS\system32\svchost.exe
F:\WINDOWS\System32\svchost.exe
F:\WINDOWS\system32\spoolsv.exe
F:\WINDOWS\system32\Ati2evxx.exe
F:\WINDOWS\Explorer.EXE
C:\program files\interMute\SpySubtract\SpySub.exe
F:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
F:\Programmi\Alwil Software\Avast4\ashServ.exe
F:\WINDOWS\System32\drivers\CDAC11BA.EXE
F:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
F:\Programmi\Adobe\Acrobat 6.0\Reader\AcroRd32.exe
F:\Programmi\Internet Explorer\iexplore.exe
F:\PROGRA~1\WinZip\winzip32.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Search Relevancy - {1D7E3B41-23CE-469B-BE1B-A64B877923E1} - F:\PROGRA~1\SEARCH~1\SEARCH~1.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - F:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - f:\programmi\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - f:\programmi\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - F:\WINDOWS\System32\msdxm.ocx
O4 - Global Startup: SpySubtract.lnk = C:\program files\interMute\SpySubtract\SpySub.exe
O8 - Extra context menu item: &Google Search - res://f:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Collegamenti a ritroso - res://f:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Pagine simili - res://f:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://f:\programmi\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O16 - DPF: ppctlcab - http://www.my-etrust.com/includes/pscanner/ppctlcab.CAB
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://www.my-etrust.com/includes/ps.../axscanner.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/26714cbd...dxIE601_it.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1096017051603
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2...ll/xscan53.cab
O16 - DPF: {BB1B5064-1496-4E40-A80D-EFF7C5A953A6} (VacPro.italy_vdem) - http://207.234.185.217/italy_vdem.CAB

[cso]

da una prima visione (sono le 22.11 ) ti dico questo: F:\WINDOWS\System32\drivers\CDAC11BA.EXE

posta un tasklist /svc

[s-day]

Originariamente inviato da cso

posta un tasklist /svc

sarebbe? :master:

[assia]

F:\WINDOWS\System32\drivers\CDAC11BA.EXE non dovrebbe essere...almeno da quanto dice qua http://www.liutilities.com/products/...rary/cdac11ba/

s-day, hai dato un'occhiata al file hosts? Potrebbe anche darsi che lo scherzetto non te lo faccia qualcosa in esecuzione....ma che qualcosa ti abbia modificato il file hosts...e che invece di connetterti con google vai a finire da qualche altra parte....

Il file è in windows\system32\drivers\etc
lo devi aprire con il notepad e guardare cosa c'è scritto...dovrebbe contenere delle righe che inziano con # e solo una riga senza #

127.0.0.1 localhost

se invece ci sono altri IP seguiti da URL (ad esempio www.google.it) allora è quello....