problema pagian iniziale IE

[gianlollo]

da un pò di tempo mi si setta automaticamente questa pagina: http://your-searcher.com/index.htm
inoltre mi compaiono dei link nella cartella preferiti con siti porno che ovviamente cancello ma che ritornano ad ogni riavvio.
ho fatto scansioni con adaware e con hijack ed ho ottenuto il seguente log:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://your-searcher.com/index.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://your-searcher.com/index.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://your-searcher.com/index.htm
O2 - BHO: (no name) - {01FB9C55-FC66-4476-A199-389241193188} - C:\WINNT\system32\PAdbyuq.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKCU\..\Run: [dllhelp] c:\winnt\dllhlp.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{88BA1234-8EBB-4A30-96B4-1E6D895BBE4A}: NameServer = 62.211.69.150 212.48.4.15

sapete aiutarmi?

[amvinfe]

posta il log completo di HJT.

[gianlollo]

Logfile of HijackThis v1.97.7
Scan saved at 14.49.54, on 27/06/2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\winnt\dllhlp.exe
C:\PROGRA~1\Nokia\PCSUIT~1\CONNMN~1.EXE
C:\Programmi\Intuwave\Shared\mRouterRunTime\mRoute rRuntime.exe
C:\PROGRA~1\Nokia\PCSUIT~1\Elogerr.exe
C:\PROGRA~1\Nokia\PCSUIT~1\SCRFS.exe
C:\Documents and Settings\Administrator\Desktop\Nuova cartella (2)\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://your-searcher.com/index.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://your-searcher.com/index.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://your-searcher.com/index.htm
O2 - BHO: (no name) - {01FB9C55-FC66-4476-A199-389241193188} - C:\WINNT\system32\PAdbyuq.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKCU\..\Run: [dllhelp] c:\winnt\dllhlp.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{88BA1234-8EBB-4A30-96B4-1E6D895BBE4A}: NameServer = 62.211.69.150 212.48.4.15

[amvinfe]

Scaricati sphjfix e mettilo all'interno di una nuova cartella.


Scaricati AdAware, lo trovi in -links utili- in Rilievo.
Assicurati d'avere le definizioni di AdAware aggiornate



Ora con TUTI i programmi chiusi, apri la cartella che contiene il file sphjfix, e lancia l'eseguibile e clicca su "start disinfection", riavvia il pc e fai una nuova scansione con il programma appena usato.

Riavvia in modalità provvisoria.
Apri Esplora Risorse clicca su Visualizza e poi su Opzioni cartella poi ancora su Visualizza e metti la spunta su Mostra tutti i file. Clicca su Applica.
Ora apri AdAware e settalo in questo modo

dalla finestra principale del programma portarsi in alto e cliccare sull'icona Configurazione (icona ingranaggio), ci saranno 4 voci mettere la spunta selle ultime tre (devono diventare verdi)
A) salva log file
B) in quarantena prima di rimuovere
C) Modo sicuro
Ora cliccare su Personalizza (sempre dalla stessa finestra)
Mettere la spunta su "Usa la mia configurazione di default" e cliccare al suo fianco su Personalizza
Mettere la spunata su
"Controlla all'interno delle cartelle"
Nella parte "Memoria & Registro" mettere la spunta a tutte e 5 le voci (devono sempre diventare verdi)
Cliccare su Continua (in basso)
Ora cliccare con tutte le applicazioni chiuse, su Inizio (in basso a dx) e poi su Avanti.
Eliminare tutto quello che d'infetto ha trovato .

Riavvia e ripristina le impostazioni sui files nascosti e di sistema:
Aprire Esplora Risorse cliccare su Visualizza poi su Opzioni cartella e poi ancora su Visualizza. Mettere la spunta su "Non mostrare i file nascosti e di sistema" cliccare su Applica.

Fai una nuova scansione con HJT e posta il log

Tutte queste opearazioni devono essere fatte senza che il browser sia aperto, o comunque qualsiasi altra applicazione e senza la connessione internet.

[gianlollo]

fatto tutto:Logfile of HijackThis v1.97.7
Scan saved at 20.02.57, on 30/06/2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\downlo~1\wqo3jzs\3rp865t.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\winnt\dllhlp.exe
C:\Documents and Settings\Administrator\Desktop\HijackThis\HijackTh is.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://your-searcher.com/index.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://your-searcher.com/index.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://your-searcher.com/index.htm
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKCU\..\Run: [dllhelp] c:\winnt\dllhlp.exe

[amvinfe]

è uscita la nuova versione, 1.98, di HijackThis la trovi nel 3d in rilievo o in -links utili- fai un nuovo scan e posta il nuovo risultato.

[gianlollo]

eccolo:

Logfile of HijackThis v1.98.0
Scan saved at 21.46.11, on 05/07/2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\winnt\dllhlp.exe
C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
C:\Documents and Settings\Administrator\Desktop\HijackThis\HijackTh is.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://your-searcher.com/index.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://your-searcher.com/index.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://your-searcher.com/index.htm
F0 - system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKCU\..\Run: [dllhelp] c:\winnt\dllhlp.exe
O4 - HKCU\..\Run: [Yahoo! Pager] C:\PROGRA~1\Yahoo!\MESSEN~1\ypager.exe -quiet
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRA~1\Yahoo!\MESSEN~1\YPager.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{88BA1234-8EBB-4A30-96B4-1E6D895BBE4A}: NameServer = 62.211.69.150 212.48.4.15

[amvinfe]

Scaricati
http://www.trojaner-info.de/cgi-bin/...i?file=sphjfix
e mettilo all'interno di una nuova cartella.
Scaricati CWShredder e Adware da Links utili- in Rilievo

Ora con TUTI i programmi chiusi, apri la cartella che contiene il file sphjfix, e lancia l'eseguibile e clicca su "start disinfection", riavvia il pc e fai una nuova scansione con il programma appena usato.

Riavvia in modalità provvisoria.
Apri HJT e metti la spunta al fianco di questi valori, clicca su Fix checked

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://your-searcher.com/index.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://your-searcher.com/index.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://your-searcher.com/sp.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://your-searcher.com/index.htm
O4 - HKCU\..\Run: [dllhelp] c:\winnt\dllhlp.exe

sempre dalla provvisoria cerca ed elimina
c:\winnt\dllhlp.exe <===il file

sempre dall provvisoria apri AdAware e settalo in questo modo

dalla finestra principale del programma portarsi in alto e cliccare sull'icona Configurazione (icona ingranaggio), ci saranno 4 voci mettere la spunta selle ultime tre (devono diventare verdi)
A) salva log file
B) in quarantena prima di rimuovere
C) Modo sicuro
Ora cliccare su Personalizza (sempre dalla stessa finestra)
Mettere la spunta su "Usa la mia configurazione di default" e cliccare al suo fianco su Personalizza
Mettere la spunata su
"Controlla all'interno delle cartelle"
Nella parte "Memoria & Registro" mettere la spunta a tutte e 5 le voci (devono sempre diventare verdi)
Cliccare su Continua (in basso)
Ora cliccare con tutte le applicazioni chiuse, su Inizio (in basso a dx) e poi su Avanti.
Eliminare tutto quello che d'infetto ha trovato.

Apri CWShredder clicca su Fix. Riavvia.
Fai una nuova scansione con HJT e posta il log

[gianlollo]

riecco:Logfile of HijackThis v1.98.0
Scan saved at 21.44.18, on 08/07/2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\downlo~1\wqo3jzs\3rp865t.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Documents and Settings\Administrator\Desktop\HijackThis\HijackTh is.exe

F0 - system.ini: Shell=
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon

[gianlollo]

ora sembra essere tutto ok tranne un errore che mi da quando vado nei siti della tiscali