Premiumsearch

[mariox83]

Ho un problema con un presunto trojan che mi rileva sempre spybotS&D dal nome PREMIUMSEARCH,ho gia provato a cercare un rimedio su internet,ma ho notato ke le altre persone ke hanno avuto il mio stesso problema hanno riscontrato alcuni simtomi diversi da quelli ke da a me:

-non mi si apre Messenger e se mi si apre è la versione vecchissima di nn so quanti anni fa!!!!
-non mi funziona più CCleaner
-mi si apre un dialer nelle connessioni ke mi fa cadere l'ADSL ogni 30 secondi
-quando cerco su internet qualcosa dal nome PREMIUMSEARCH oppure DIALER mi chiude il browser
-il PC si inceppa spesso quando chiudo explorer

Ho provato gia in tutti i modi a fare scansioni con vari programmi sia antivirus che antispyware,anke varie scansioni online e tool di vari tipi................il tutto sia in modalita provvisoria, sia al riavvio di windows,ma nn c'è modo di cancellarlo.
L'unico programma ke lo rileva è spybotS&D,ma non riesce a eliminarlo.


ringranzio anticipatamente chiunque possa darmi un mano
GRAZIE

[mariox83]

Questa è la scansione di HijackThis

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 0.07.57, on 03/01/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Sygate\SPF\smc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programmi\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Eset\nod32krn.exe
C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Mixer.exe
C:\Programmi\Ahead\InCD\InCD.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programmi\File comuni\TerraTec\Remote\TTTvRc.exe
C:\Programmi\File comuni\Nokia\MPlatform\NokiaMServer.exe
C:\Programmi\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\Windows Defender\MSASCui.exe
C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Nokia\Nokia PC Suite 6\PCSuite.exe
C:\Programmi\Nokia\Nokia PC Phone\NokiaPcPhoneTray.exe
C:\Programmi\Nokia\Nokia PC Phone\bin\NokiaPcPhoneService.exe
C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
C:\Programmi\PC Connectivity Solution\Transports\NclRSSrv.exe
C:\Programmi\PC Connectivity Solution\Transports\NclUSBSrv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Utente\Desktop\Protezioni\HiJackThis_v2\H iJackThis_v2.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://it.msn.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://it.msn.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://it.msn.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn0\yt.dll
R3 - URLSearchHook: Multi Media Italy Toolbar - {2e6f36ce-1217-4ba1-982f-24560c0eb677} - C:\Programmi\Multi_Media_Italy\tbMul1.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programmi\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Multi Media Italy Toolbar - {2e6f36ce-1217-4ba1-982f-24560c0eb677} - C:\Programmi\Multi_Media_Italy\tbMul1.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {86AA461F-2A5B-4889-B543-E1BBA6746D61} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - (no file)
O3 - Toolbar: Multi Media Italy Toolbar - {2e6f36ce-1217-4ba1-982f-24560c0eb677} - C:\Programmi\Multi_Media_Italy\tbMul1.dll
O3 - Toolbar: &TerraTec Home Cinema - {AD6E6555-FB2C-47D4-8339-3E2965509877} - C:\PROGRA~1\TerraTec\TERRAT~1\THCDES~1.DLL
O3 - Toolbar: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programmi\Yahoo!\Companion\Installs\cpn0\yt.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [SplashDisplayer] C:\WINDOWS\System32\ISTHTB.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programmi\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [bitdeinsa] C:\windows\bitdeinsa.com
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programmi\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [MAGIXautostart] E:\install\program\setup.exe
O4 - HKLM\..\Run: [TerraTec Remote Control] "C:\Programmi\File comuni\TerraTec\Remote\TTTvRc.exe"
O4 - HKLM\..\Run: [NokiaMServer] C:\Programmi\File comuni\Nokia\MPlatform\NokiaMServer /watchfiles
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Windows Defender] "C:\Programmi\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_03\bin\jusched.exe "
O4 - HKLM\..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [PC Suite Tray] "C:\Programmi\Nokia\Nokia PC Suite 6\PCSuite.exe" -onlytray
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Nokia PC Phone Tray Application.lnk = C:\Programmi\Nokia\Nokia PC Phone\NokiaPcPhoneTray.exe
O4 - Global Startup: Stop Dialers 4.3.lnk = C:\Programmi\StopDialers4\StopDialers.exe
O8 - Extra context menu item: &eBay Search - res://C:\Programmi\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Nokia Pc Phone: Text & Call - {71aa81cb-b31e-476b-b4f0-4b5c6689a2a3} - C:\Programmi\Nokia\Nokia PC Phone\Iexplorer_ext\startIE.js
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programmi\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partne ... nicode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?LinkID=39204
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/Shar ... vSniff.cab
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programmi\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {4FCFF034-6F56-4D65-8C31-70D98C475428} - http://bins.dynamicdesktopmedia.com/cab/ddm_control.CAB
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://207.188.7.150/048d1aabe14c6ab4f9 ... xIE601.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.co.uk/scan_uk/scan8/oscan8.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/Shar ... /cabsa.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microso ... 7830470531
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{36FA8086-85A5-4B1C-BD24-86E7FA819D63}: NameServer = 85.37.17.42 85.38.28.87
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: st3 - {86AA461F-2A5B-4889-B543-E1BBA6746D61} - (no file)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Programmi\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InCD File System Service (InCDsrv) - Unknown owner - C:\Programmi\Ahead\InCD\InCDsrv.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programmi\Sygate\SPF\smc.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programmi\File comuni\Ulead Systems\DVD\ULCDRSvr.exe
O24 - Desktop Component 0: Warning homepage - C:\WINDOWS\warnhp.html

--
End of file - 12088 bytes

[OYS]

Fixa:

O4 - HKLM\..\Run: [bitdeinsa] C:\windows\bitdeinsa.com

O22 - SharedTaskScheduler: st3 - {86AA461F-2A5B-4889-B543-E1BBA6746D61} - (no file)



Poi c'è una cosa che non mi convince, legata alla cartella C:\Programmi\File comuni\Nokia\MPlatform. La riconosci? Hai qualche software nokia installato nel tuo PC?

[mariox83]

cercando su internet ho trovato questo procedimento, qualcuno mi sa confermare se è buono per eliminare premiumsearch???
Lo avrei gia eseguito, ma dove l'ho trovato nn era stato specificato se l'utente ke aveva il mio stesso problema fosse riuscito a eliminare il virus.

Questo è quanto:

l'ideale sarebbe che postassi il log di hijackthis
per capire cosa c'è che non va di preciso.
intanto ti scrivo la procedura manuale per eliminare
il virus premium search e la procedura per eliminare
la chiave di registro incriminata.

elimanre manualmente premium search:


1)apri task manager e interrompi questi processi:
(tasto destro --interrompi)

actsie4.exe
usbhdctl.exe
b1dc153079.exe
45dd6cc479.exe



2)ora apri start esegui e scrivi:

regsvr32 /u utipwfubknk.dll

NB:c'è uno spazio tra il 32 e la / e un altro tra la le 2 u.
se il comando non va,nel senso che non riesce a trovare quella dll può darsi che debba scrivere il percorso completo
cerca la dll e facciamo finta che si trovi in C:\windows\system32

allora il comando sarà:
regsvr32 /u %SystemRoot%\system32\utipwfubknk.dll

tutto in un rigo.
%systemroot% equivale a c:\windows


3)cerca ed elimina questi files:
anti spyware soft.url
avir.ico
cheap viagra.url
cialis.ico
email spam filter.url
free online casino.url
free real-time dating service.url
freedating.ico
gamb.ico
nospam.ico


4)
apri start esegui
-scrivi regedit

ti si apre il registro di windows
a sinistra hai una struttura ad albero con le chiavi
mentre a destra hai i valori delle relative chiavi:
vai sulla sinistra dove ci sono le chiavi
apri HKEY_CURRENT_USER
al suo interno apri software
poi microsoft
poi internet explorer
ancora con toolbar
poi webbrowser

evidenzia webbrowser e spostati sulla destra
nel riquadro dei valori

individua il valore:
{3789cbf0-c4ca-4e98-b93b-22acf0587fba}
tasto destro elimina su quel valore.
stai attento:elimina solo quel valore
e non l'intera cartella.

sempre in regedit allo stesso modotrova la chiave:
HKEY_CURRENT_USER\software
\PremiumSearch
questa volta devi eliminare l'intera cartella
premium search



ancora in regedit trova la chiave:
HKEY_LOCAL_MACHINE\software
\microsoft\internetexplorer\toolbar\
evidenzia toolbar e spostati nei valori sulla destra

elimina solo la chiave:
{3789cbf0-c4ca-4e98-b93b-22acf0587fba}


per finire sempre in regedit trova la chiave:
HKEY_LOCAL_MACHINE\software
\microsoft\windows
\currentversion\uninstall\qidionqidion

elimina l'intera cartella qidionqidion

riavvia.


QUESTO PROCEDIMENTO SERVE AD ELIMINARE IL VIRUS PREMIUM SEARCH.SE NON DOVESSI TROVARE
QUALCOSA DEI PUNTI ELENCATI SIGNIFICA CHE I TUOI PROGRAMMI SONO RIUSCITI AD ELIMINARLO MA CHE E'
RIMASTA SOLO QUELLA CHIAVE.

PER ELIMINARLA MANUALMENTE SEMPRE DA REGEDIT
TROVA LA CHIAVE CHE HAI SCRITTO PRIMA ED ELIMINI
L'INTERA CARTELLA EXPLORER.EXE

SE NON DOVESSI RIUSCIRCI SIGNIFICA CHE TI MANCANO LE AUTORIZZAZIONI.PER OTTENERLE FAI
TASTO DESTRO SULLA CHIAVE EXPLORER.EXE
AUTORIZZAZIONI... E SPUNTA CONSENTI SU CONTROLLO COMPLETO. FATTO QUESTO PUOI ELIMINARLA.

[OYS]

Tentar non nuoce, il procedimento sembra buono.

[mariox83]

cmq i file li ho fixati,provo a riavviare e guardo se si ripresentano.
x colpa di premiumsearch credo mi siano entrati anke altri trojan:
-Prima mi sono trovato questo - HEUR/Crypted
-Oggi new entry - TR/Zlob.79872.2
Avira li riconosce ma nn fa nulla e tanto meno li elimina!!!

Domani sera provo a fare la cancellazione manuale ma ho gia capito ke prima o poi dovro formattare tutto.