redirezione risultati google

[axtolf]

Buongiorno, da qualche giorno ho qualche problema su un pc di un amico.
In maniera del tutto casuale, facendo una ricerca su google, e cliccando su uno o più risultati si viene reindirizzati a siti di pubblicità o AD. Magari ripetendo la ricerca e cliccando sullo stesso risultato il problema non si ripete.
Altro sintono, Microsoft Security Essential è andato in crash e non riparte, non è possibile ripararlo e non è possibile reinstallarlo. Cercando di riavviarlo va in crash, disinstallato, nel tentativo di installarlo, parte, ravana un po' e poi dice che è impossibile installarlo.

Ho fatto girare un po' di antivirus e altre cose, ma non sono venuto a capo di niente. A occhio non mi sembra nemmeno che ci siano cose strane che girano tra i servizi o file sospetti.

Il log di hijackthis :

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:50:00, on 03/02/2012
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v8.00 (8.00.7601.17514)
Boot mode: Normal

Running processes:
C:\Windows\DAODx.exe
C:\Program Files (x86)\Microsoft Office\Office14\OUTLOOK.EXE
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Trend Micro\HiJackThis\HiJackThis.exe
C:\Windows\SysWOW64\DllHost.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~2\MICROS~1\Office14\GROOVEEX.DLL
O2 - BHO: Guida per l'accesso a Windows Live ID - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~2\MICROS~1\Office14\URLREDIR.DLL
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office14\EXCEL.EXE/3000
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/pu...sh/swflash.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{3D20C732-4A38-47E7-9FBF-8ED7D3A16D02}: NameServer = 192.168.2.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{3D20C732-4A38-47E7-9FBF-8ED7D3A16D02}: NameServer = 192.168.2.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{3D20C732-4A38-47E7-9FBF-8ED7D3A16D02}: NameServer = 192.168.2.1
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files (x86)\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Servizio di Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Servizio Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\Windows\system32\GameMon.des.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 6192 bytes

QUalcuno riesce a darmi suggerimento per capire che cosa c'è che non va per favore? Grazie mille...

[R16]

Ciao.

QUalcuno riesce a darmi suggerimento per capire che cosa c'è che non va per favore?

Perchè hai il pc infetto.

Scarica TDSSKiller.zip sul desktop :
http://support.kaspersky.com/viruses...?qid=208280684
Estrai i dati in una cartella e fai doppio clik su TDSSKiller.exe
clicca su "Start Scan "
Se trova qualche infezione di default avrai l'opzione "Cure " per cui, clicca su "Continue ".
Se un file sospetto viene trovato,l'azione di default sarà skip ,clicca su "Continue ".
Se è richiesto il riavvio,(Reboot) acconsenti . (per eliminare l'infezione è necessario riavviare il pc)
Se nessun riavvio è richiesto clicca su report e salva il contenuto in un file di testo.
Il log lo trovi in C:\
Postalo qui.

Poi:
Scarica Combofix (usa Internet Explorer e salvalo sul desktop .)

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Rinomina combofix prima di salvarlo sul desktop in abc.exe
Per rinominare il file, quando lo scarichi ti chiede dove salvarlo, e ti compare la casella "nome file" ,basta che cambi il nome che ti appare li in abc.exe )
Una volta scaricato il programma, clicca su start\ esegui nel box bianco copia e incolla questo comando, virgolette comprese:
"%userprofile%\desktop\abc.exe" /killall
Premi OK.
Se ti verrà chiesto se vuoi Installare LA CONSOLE DI RIPRISTINO DI EMERGENZA, clicca NO .

E' probabile che ti siano inviati messaggi dall'antivirus,(o dallo stesso Combofix) tu ignorali .
Durante la scansione non usare il pc. (nemmeno il mouse)
Posta il log

Per postare i log:

Collegati ad internet e vai alla pagina WikiSend: http://www.wikisend.com/
Clicca sul bottone "Sfoglia "
Seleziona il file appena salvato
Clicca su Upload file
Dopo qualche secondo, vieni spostato su una nuova pagina con il link in diversi formati:
Download Link / Forum Link
Seleziona Forum Link, copialo e incollalo in un nuovo messaggio per il forum.

[axtolf]

Grazie per la risposta avevo già fatto girare entrambi e nessuno dei due mi ha segnalato nulla (nel senso che non hanno segnalato di aver corretto/trovato qualcosa).
Li ho fatti girare di nuovo

Ecco i log:

tdsskiller.txt

ComboFix.txt

Grazie

[R16]

Ciao.
In realtà a parte qualche rimasuglio di MSE e AD-AWARE, non risultano infezioni.
Comunque:
Apri un file di testo con il Block Note sul Desktop
Ci incolli il codice che vedi qui sotto, e salvi il file di testo obbligatoriamente con il nome CFScript.txt

KillAll::

ClearJavaCache::

Folder::
c:\programdata\Lavasoft
c:\program files (x86)\Lavasoft

SecCenter::
{108DAC43-C256-20B7-BB05-914135DA5160}
{D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

e trascinalo sull'icona di ComboFix.
Attendi la fine dei lavori, senza toccare tastiera, mouse o altro.
Posta il log aggiornato di combofix.

Poi:
Scarica MBRCheck, e e salvalo sul desktop.
http://ad13.geekstogo.com/MBRCheck.exe
Chiudi tutti i programmi.
Doppio click su MBRCheck, che hai scaricato sul desktop, ed eseguilo.
Attendi la fine della scansione.
Finita la scansione (dura pochissimo) posta il log che troverai sul desktop

[axtolf]

Grazie ancora.
MBRCheck ha trovato qualcosa in un disco, non gli ho fatto fare nessuna azione.

Ecco i log:

MBRCheck_02.03.12_22.03.33.txt
ComboFix.txt

[R16]

Ciao.
MBRCheck dice che hai l'MBR (Master Boot Record) infetto:

232 GB \\.\PhysicalDrive1 Unknown MBR code

Hai il cd d'installazione originale di Windows 7 ?

Vorrei controllare le partizioni:
Scarica ListParts :
http://download.bleepingcomputer.com.../ListParts.exe
Esegui lo strumento, fai clic su Scan e allega il log (Result.txt).

[axtolf]

voilà:

ListParts by Farbar
Ran by axtolf on 04-02-2012 at 14:57:33
Windows 7 (X64)
Running From: C:\Users\axtolf\Desktop
************************************************** **********

========================= Memory info ======================

Percentage of memory in use: 16%
Total physical RAM: 8190.18 MB
Available physical RAM: 6858.7 MB
Total Pagefile: 16378.55 MB
Available Pagefile: 15032.02 MB
Total Virtual: 4095.88 MB
Available Virtual: 3991.69 MB

======================= Partitions =========================

1 Drive c: () (Fixed) (Total:97.56 GB) (Free:47.36 GB) NTFS
3 Drive e: (Volume) (Fixed) (Total:200.43 GB) (Free:24.93 GB) NTFS
4 Drive f: (Volume) (Fixed) (Total:931.51 GB) (Free:44.36 GB) NTFS
5 Drive g: (maxtor) (Fixed) (Total:279.47 GB) (Free:41.49 GB) NTFS
6 Drive h: (LACIE) (Fixed) (Total:232.88 GB) (Free:49.78 GB) NTFS
7 Drive i: (USB DISK) (Removable) (Total:3.74 GB) (Free:2.7 GB) FAT32
8 Drive j: (Volume) (Fixed) (Total:931.51 GB) (Free:50.77 GB) NTFS

N. disco Stato Dimensioni Disponibile Din GPT
-------- ------------- ------------- ------------- --- ---
Disco 0 Online 279 Gbytes 5120 Kbytes
Disco 1 Online 232 Gbytes 0 byte *
Disco 2 Online 298 Gbytes 1024 Kbytes
Disco 3 Online 931 Gbytes 0 byte
Disco 4 Online 931 Gbytes 0 byte *
Disco 5 Online 3840 Mbytes 0 byte

Chiusura di DiskPart in corso...


****** End Of Log ******


Il disco di windows 7 c'è (da qualche parte), perchè?
Tra l'altro il disco con l'MBR infetto non è nemmeno quello con il sistema operativo vedo...

[R16]

Hai provato a vedere se si installa Microsoft Security Essential ?

[axtolf]

Si, come prima, non si installa, errore 0x80070645.

Ma se provo a dargli un fix da listparts?

[R16]

Quale fix ....
Quel tool mostra tutte le partizioni che ci sono in un pc, e basta.
Serve solo per verificare se c'è qualche partizione (anche piccola) sconosciuta.

Fammi fare un'ulteriore controllo al MBR:
Scarica aswMBR.exe sul desktop .
http://public.avast.com/~gmerek/aswMBR.exe
Fai doppio clic aswMBR.exe per eseguirlo
Clicca sul pulsante Scan per avviare la scansione
Al termine della scansione clicca su Save log,e salvalo sul desktop.
Postalo qui.