Errori di sistema causa sospetti virus

**Pipetto** · 24-08-2010, 14:24

Ciao a tutti. Non é la prima volta che mi aiutate....sono nuovamente qui a chiedervi un favore.

Negli ultimi giorni quando chiudo le pagine di IE (come sistema ho XP) mi da sempre degli errori e si apre il messaggio che il programma é bloccato o non può essere chiusa l'applicazione.

Da ieri sono partiti un mare di messaggi di virus da parte di Avira.
Ho fatto tutto quello che si dice in questo forum prima di chiedere aiuto e mostrare i file di hijackthis

Ho fatto scansioni varie e ho eliminato dei virus.

Ho usato anche GMER ma un service con la scritta "hidden" e tutto rosso non viene eliminato nemmeno dopo il riavvio e la nuova scansione. Nella colonna Value riporta la scritta: [BOOT] xfghwnf

Questo invece é il file di hijackthis:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\acs.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\Photodex\ProShowGold\ScsiAccess.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Motorola\SMSERIAL\sm56hlpr.exe
C:\Programmi\ATK Hotkey\Hcontrol.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programmi\ASUS\ASUS Live Update\ALU.exe
C:\Programmi\ASUS\Splendid\ACMON.exe
C:\Programmi\Wireless Console 2\wcourier.exe
C:\Programmi\Atheros\ACU.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\ACEngSvr.exe
C:\Programmi\ASUS\Power4 Gear\BatteryLife.exe
C:\WINDOWS\ASScrPro.exe
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\Java\jre6\bin\jusched.exe
c:\Programmi\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\WINDOWS\Samsung\PanelMgr\SSMMgr.exe
C:\Programmi\File comuni\Nikon\Monitor\NkMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\Mike\qieine.exe
c:\Programmi\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programmi\OpenOffice.org 3\program\soffice.exe
C:\Programmi\OpenOffice.org 3\program\soffice.bin
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programmi\ATK Hotkey\ATKOSD.exe
C:\Documents and Settings\Mike\Documenti\Downloads\rzmy9obt (GMER).exe
C:\Programmi\ATK Hotkey\WDC.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe
C:\Programmi\Skype\Toolbars\Shared\SkypeNames2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fineco.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: SkypeIEPluginBHO - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugi n.dll
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [SMSERIAL] C:\Programmi\Motorola\SMSERIAL\sm56hlpr.exe
O4 - HKLM\..\Run: [ATKHOTKEY] "C:\Programmi\ATK Hotkey\Hcontrol.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ASUS Live Update] C:\Programmi\ASUS\ASUS Live Update\ALU.exe
O4 - HKLM\..\Run: [ACMON] "C:\Programmi\ASUS\Splendid\ACMON.exe"
O4 - HKLM\..\Run: [Wireless Console 2] "C:\Programmi\Wireless Console 2\wcourier.exe"
O4 - HKLM\..\Run: [ACU] C:\Programmi\Atheros\ACU.exe -nogui
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ABLKSR] C:\WINDOWS\ABLKSR\ABLKSR.exe
O4 - HKLM\..\Run: [StartCCC] c:\Programmi\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKLM\..\Run: [Power_Gear] C:\Programmi\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [ASUS Screen Saver Protector] C:\WINDOWS\ASScrPro.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Samsung PanelMgr] C:\WINDOWS\Samsung\PanelMgr\SSMMgr.exe /autorun
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programmi\File comuni\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [Nikon Transfer Monitor] C:\Programmi\File comuni\Nikon\Monitor\NkMonitor.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [] C:\Documents and Settings\Mike\nkheop.exe
O4 - HKCU\..\Run: [wueufe] C:\Documents and Settings\Mike\wueufe.exe /g
O4 - HKCU\..\Run: [quafe] C:\Documents and Settings\Mike\quafe.exe /y
O4 - HKCU\..\Run: [puguf] C:\Documents and Settings\Mike\puguf.exe /n
O4 - HKCU\..\Run: [juake] C:\Documents and Settings\Mike\juake.exe /Y
O4 - HKCU\..\Run: [zauerad] C:\Documents and Settings\Mike\zauerad.exe /Y
O4 - HKCU\..\Run: [qieine] C:\Documents and Settings\Mike\qieine.exe /i
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 3.1.lnk = C:\Programmi\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra 'Tools' menuitem: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/reso...an8/oscan8.cab
O16 - DPF: {8100D56A-5661-482C-BEE8-AFECE305D968} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/...Uploader55.cab
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O18 - Protocol: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Programmi\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: Servizio di configurazione Atheros (ACS) - Atheros - C:\WINDOWS\system32\acs.exe
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: ScsiAccess - Unknown owner - C:\Programmi\Photodex\ProShowGold\ScsiAccess.exe

Di tutti questi i più sospetti sono quelli che riportano qieine.exe visto che alla chiusura del pc mi da sempre problemi con questo eseguibile.
Altro sospetto é O4 - HKCU\..\Run: [] C:\Documents and Settings\Mike\nkheop.exe

Ma non so...

Se qualcuno può aiutarmi....Grazie.

**amvinfe** · 24-08-2010, 16:17

ciao,
scarica sul desktop
http://www.suspectfile.com/systemscan
aprilo ed assicurati che tutte le opzioni siano spuntate, clicca su "Scan Now" al termine della scansione verranno rilasciati (sempre sul desktop all'interno della cartella suspectfile) due file. Portati su www.wikisend.com carica il file con estensione .zip e scrivi l'URL nella tua prossima risposta.

Ricordati d'effettuare la scansione senza connessione attiva e con l'antivirus disattivato.

SystemScan viene riconosciuto, erroneamente, da alcuni antivirus come infetto.

**Pipetto** · 24-08-2010, 18:08

Allora...essendo un mezzo caprone riporto entrambi i link che mi da:

http://wikisend.com/download/918620/..._00_report.zip

24_08_2010_18_00_report.zip

Attendo gentile riscontro.

P.S: Prima riaccendendo il pc si é aperta una finestra per l'ennesima volta dicendo che c'é un problema con sbmon.exe. ; mi ha dato nuovante la rilevazione del trojan Dropper gen ; mi ha dato un altro errore dicendo che manca una dll.
Mi sembra che ad ogni avvio la situazione peggiori. Sarò in grado poi di ripristinare tutto? Grazie.

**amvinfe** · 24-08-2010, 22:00

scarico il report. In linea di massima si riesce a risolvere quando si è in presenza di questo tipo d'infezioni.

**Pipetto** · 24-08-2010, 22:01

Ok....sono qui.
Fai tranquillo che aspetto.

**amvinfe** · 24-08-2010, 22:36

scarica sul desktop the avenger http://swandog46.geekstogo.com/avenger2/download.php

Non connesso e con l'antivirus disattivato

Apri il blocco note e scrivi:

Windows Registry Editor Version 5.00
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"wueufe"=-
"quafe"=-
"puguf"=-
"juake"=-
"zauerad"=-
"qieine"=-
"xgfod"=-
[-HKCU\Software\Microsoft\Windows\CurrentVersion\Run \@]
;

click su "File">"Salva con nome">"Nome file" scrivi FX.reg espandi la voce "Salva come" e seleziona "Tutti i file (*.*)">Click su "Salva".

Esegui FX.reg, accetta le modifiche ma NON riavviare.

==

click di dx su file appena scaricato, eseguilo come amministratore.

Nel box bianco scrivi questo script:

Drivers to disable:
xfghwnf

Files to delete:
C:\WINDOWS\system32\drivers\xfghwnf.sys
C:\Documents and Settings\Mike\nkheop.exe
C:\Documents and Settings\Mike\wueufe.exe
C:\Documents and Settings\Mike\quafe.exe
C:\Documents and Settings\Mike\puguf.exe
C:\Documents and Settings\Mike\juake.exe
C:\Documents and Settings\Mike\zauerad.exe
C:\Documents and Settings\Mike\qieine.exe
C:\Documents and Settings\Mike\xgfod.exe

Registry keys to delete:
HKEY_LOCAL_MACHINE\system\controlset003\services\x fghwnf
HKLM\system\currentcontrolset\services\xfghwnf

togli la spunta da "Scan for rootkit" e mettila su "Automatically disable any rootkit"

clicca su "Execute".

Dopo il riavvio portati in C:\ apri il file di testo avenger.txt copia/incolla, nella tua prossima risposta, il contenuto insieme ad un nuovo report di SystemScan

grazie

**Pipetto** · 24-08-2010, 23:26

Perdonami ma il mio livello non é così alto.....Quando dico che sono un caprone lo dico sul serio.

Allora...Ho scaricato e salvato sul desktop Avenger, poi ho eseguito il programma, si é aperta una maschera dove ci sono i alto 3 iconcine, ho cliccato sulla terza: "Paste Script From Clipboard" e ho fatto un copia/incolla di quello che mi ha scritto nella citazione.
A questo punto se vado clicco su "File" in alto a sinistra mi compaiono queste due opzioni: "Open Log File" e "Exit". Se vado sulla prima iconcina si apre la mascherina di Open Script File. Gli altri comandi oltre a "File" sono: "Edit", "Load Script" e "Help"....non trovo nessuna possibilità di salvare con nome.

Se per caso dopo tuo suggerimento riuscissi a trovarlo/capirlo/farlo.....non so cosa voglia dire "espandi" la voce. Vuol dire aprire il menù a tendina e selezionare la voce che dici tu?

E poi: "Esegui FX.reg".....che vuol dire? Si crea qualcosa che poi devo lanciare/eseguire?

Perdonami ma sono di basso livello per certe cose. Ti sarei grato per questo ukteriore aiuto.
Grazie a te.

**amvinfe** · 24-08-2010, 23:35

per "esegui" s'intende fare doppio click sul file FX.reg quindi eseguirlo, avviarlo.

Riguardo avenger tralascia la parte relativa al click di dx sul file, eseguilo normalmente come se dovessi eseguire un qualsiasi altro file.

Una volta eseguito copia ed incolla il testo all'interno del box bianco, poi segui le istruzioni che ti ho descritto precedentemente

**Pipetto** · 24-08-2010, 23:41

Ehmmm....io parlavo ancora della prima parte....quella dove mi ha scritto:

click su "File">"Salva con nome">"Nome file" scrivi FX.reg espandi la voce "Salva come" e seleziona "Tutti i file (*.*)">Click su "Salva".

Esegui FX.reg, accetta le modifiche ma NON riavviare.

**amvinfe** · 24-08-2010, 23:47

apri il blocco note, copia ed incolla il testo che ti ho scritto.
Clicca in alto a sx su "File", poi su "Salva con nome". Nella casella "Salva con nome" devi scrivere FX.reg
Espandi la voce "Salva come"
Seleziona "Seleziona tutti i file (*.*)"
Clicca su "Salva"

Il file va salvato sul desktop.

Se hai ancora problemi ti preparo io il file e lo carico su wikisend.com

fammi sapere

Discussione: Errori di sistema causa sospetti virus

Strumenti discussione

Ricerca discussione

Visualizza

Errori di sistema causa sospetti virus

Permessi di invio