Vittima di winmovieplugin

**borghi** · 08-04-2005, 17:49

Immagino che di winmovieplugin si sia già parlato in questo forum. Tuttavia dato che la funzione di ricerca non funziona mi permetto di chiedere lumi.
Su Google si trova una lunghissima casistica di colpiti da questo virus o troiano che sia e lo stesso non ho trovato nessuno che indichi un metodo sicuro.
Personalmente ho provato anche le maniere forti lanciano in modalità provvisoria (e con ripristino del sistema disattivato) Spy Sweeper Ad-aware e Norton. Ho anche cercato e eliminato tutti i file master69, sgrunt e yeah. Risultato: nulla. Il virus torna implacabile a cambiarmi l'home page del pc (dell'ufficio!!!) con un sito porno.

A questo punto non so davvero più cosa fare.
Qualche suggerimento per pietà. Grazie
Roberto

**amvinfe** · 08-04-2005, 23:54

posta un log di HijackThis (per cortesia segui la corretta ubicazione del file .exe e la maniera corretta per eseguire la scansione, trovi tutto nel 3d in rilievo)
e scaricati questo file che credo servirà

http://www.mvps.org/winhelp2002/DelDomains.inf

**borghi** · 09-04-2005, 10:34

Perdonami, ma non sono un tecnico e non ho afferrato cosa dovrei fare.

Inoltre dal link che mi hai segnalato si scarica un file di testo che riporto qui sotto e di cui non so cosa fare.

scusa l'ignaranza.
roberto

-------------------------
; DelDomains.inf
; Created by: Mike Burgess Microsoft MVP
; http://mvps.org/winhelp2002/
;
; Warning: Deletes all entries in the Restricted & Trusted Zone list
;
; To execute this file: in Explorer - right-click (this file)
; Select Install from the Menu.

[version]
signature="$CHICAGO$"

[DefaultInstall]
DelReg=DelTemps
AddReg=AddTemps

[DelTemps]
HKCU,"Software\Microsoft\Windows\CurrentVersion\In ternet Settings\ZoneMap\Domains"
HKLM,"Software\Microsoft\Windows\CurrentVersion\In ternet Settings\ZoneMap\Domains"
HKCU,"Software\Microsoft\Windows\CurrentVersion\In ternet Settings\ZoneMap\Ranges"
HKLM,"Software\Microsoft\Windows\CurrentVersion\In ternet Settings\ZoneMap\Ranges"

; Recreate the keys to avoid a restart

[AddTemps]
HKCU,"Software\Microsoft\Windows\CurrentVersion\In ternet Settings\ZoneMap\Domains"
HKLM,"Software\Microsoft\Windows\CurrentVersion\In ternet Settings\ZoneMap\Domains"
HKCU,"Software\Microsoft\Windows\CurrentVersion\In ternet Settings\ZoneMap\Ranges"
HKLM,"Software\Microsoft\Windows\CurrentVersion\In ternet Settings\ZoneMap\Ranges"

**amvinfe** · 09-04-2005, 11:02

esattamente quello che c'è scritto, ricrea i corretti settaggi (sotto-chiavi) nel registro, valori che da quello che leggo (ma serve il log di HJT per esserne certi) forse ti sono stati modificati. Quando sei in presenza di reindirizzamenti verso questi siti master69, sgrunt quasi sicuramente nel log di HJT sotto il valore 015 Unwanted site in Trusted Zone avrai proprio questi riferimenti.
Non sempre è sufficiente eliminarli servendosi di HJT, gli stessi si ricreerebbero, ecco perchè serve il file che ti ho detto di scaricare.

L'utilizzo è semplice

click di dx sul file, dal menu a tendina seleziona installa .

**borghi** · 11-04-2005, 11:06

Ho fato una ricerca sul mio pc per cercare il file 'HijackThis', come pure 'Hijack' ma non ho trovato nulla.
Devi perdonarmi ma se vuoi darmi una mano devi trattarmi come un demente (in informatica lo sono in effetti) spiegandomi passo passo quello che dovrei fare.
...se hai voglia di informatizzare un principiante, sono qui.
grazie
Roberto

**amvinfe** · 11-04-2005, 11:49

Ciao Roberto,
HijackThis è un programma che se non hai mai installato non puoi avere, serve principalmente per capire quali valori hai in esecuzione automatica e le rispettive chiavi nel registro, serve a capire se il file hosts è stato modificato e via così.
Leggiti questo 3d di Habanero, capirai come scaricarlo ed usarlo

http://forum.html.it/forum/showthrea...hreadid=811189

**borghi** · 11-04-2005, 15:18

Caro Amvinfe (che nic impronuncialibe!) sei davvero gentile.
Seguendo le tue indicazioni ho letto quello che è stato sinora scritto sull'argomento e ho scaricato HijackThis.
Mi par di capire che devo che per rimuovere i
malware devo - riporto testuale da http://www.alground.com/sicurezza/articolo.php?page=16 - "mettere la spunta al fianco delle voci che si desiderano rimuovere e cliccare su "Fix checked"

ma mi chiedo - allegando qui sotto il mio log- come identifico ciò che devo rimuovere?

e altra domandina. è un'operazione che può mettere a rischio il funzionamento del pc?

grazie ancora
Roberto
------------------

Logfile of HijackThis v1.99.1
Scan saved at 12.02.42, on 11/04/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Miramar\PC MACLAN\ATMsg.exe
C:\Programmi\Miramar\PC MACLAN\ATSERVER.EXE
C:\Programmi\Miramar\PC MACLAN\ATSPOOL.EXE
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programmi\Java\j2re1.4.2_03\bin\jusched.exe
C:\PROGRA~1\NORTON~1\navapw32.exe
C:\Programmi\Daily Weather Forecast\weather.exe
C:\Programmi\Real\RealPlayer\RealPlay.exe
C:\Programmi\Java\j2re1.4.2_03\bin\javaw.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programmi\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Administrator\Impostazioni locali\Temp\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.master69.biz?1462
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.fujitsu-siemens.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [Miramar Systems, Inc.] C:\Programmi\Miramar\PC MACLAN\atmsg.exe
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [vlhogiwi] c:\windows\system32\vlhogiwi.exe
O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Programmi\Daily Weather Forecast\weather.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TrojanScanner] C:\Programmi\Trojan Remover\Trjscan.exe
O4 - HKCU\..\Run: [SpySweeper] "C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Spy Sweeper Fix.lnk = C:\Programmi\Webroot\Spy Sweeper\SpySweeperFix.bat
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.fujitsu-siemens.com
O15 - Trusted Zone: www.master69.biz
O15 - Trusted Zone: www.sgrunt.biz
O15 - Trusted Zone: www.yeak.net
O16 - DPF: {31E68DE2-5548-4B23-88F0-C51E6A0F695E} (Microsoft PID Sniffer) - https://support.microsoft.com/OAS/ActiveX/odc.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1104762067403
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2...ll/xscan53.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1B346A28-04E5-4166-8B3C-7523479A00D3}: NameServer = 151.99.0.100,151.99.125.2
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: AppleTalk Messenger (ATMsg) - Miramar Systems Inc. - C:\Programmi\Miramar\PC MACLAN\ATMsg.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Miramar AppleTalk File Server - Miramar Systems Inc. - C:\Programmi\Miramar\PC MACLAN\ATSERVER.EXE
O23 - Service: Miramar AppleTalk Print Server - Miramar Systems Inc. - C:\Programmi\Miramar\PC MACLAN\ATSPOOL.EXE
O23 - Service: Servizio Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe

**amvinfe** · 13-04-2005, 00:44

o conosci cosa rimuovere, o ti fai aiutare

sì se rimuovi valori legittimi, no se rimuovi valori riconducibili a malware e simili.

Come prima cosa scaricati questo file
DelDomains.inf
ti servirà per ripristinare i valori che ti sono stati modificati dai malware nella "Trusted Zone"

Come vedo, non hai seguito alla lettera ciò che è riportato nel tutorial, HijackThis va messo in una nuova cartella e la stessa in C:\Programmi.

Apri HJT fai lo scan metti la spunta al fianco dei valori (fai attenzione a spuntare quelli giusti!), chiudi tutte le finestre, browser compreso, clicca su Fix checked:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.master69.biz?1462
R3 - Default URLSearchHook is missing
O4 - HKLM\..\Run: [vlhogiwi] c:\windows\system32\vlhogiwi.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll (file missing)
O15 - Trusted Zone: www.master69.biz
O15 - Trusted Zone: www.sgrunt.biz
O15 - Trusted Zone: www.yeak.net

clicca di dx sul file DelDomains.inf e dal menu a tendina seleziona Installa
riavvia in modalità provvisoria ed elimina:

c:\windows\system32\vlhogiwi.exe

Apri AdAware e sempre dalla provvisoria fai una scansione del disco, elimina tutti i valori infetti. Riavvia in modalità normale, posta un nuovo log di HJT

**borghi** · 13-04-2005, 15:02

Ho seguito le tue istruzioni tranne che qui:

Originariamente inviato da amvinfe
riavvia in modalità provvisoria ed elimina:
c:\windows\system32\vlhogiwi.exe

perchè non ho trovato nessun file con questo nome.
Il resto l'ho fatto esattamente come hai detto compreso lancio in modalità provvisoria di Spy sweeper (meglio di ad-aware).
Purtroppo, dopo una breve illusione, winmovieplugin è riapparso inesorabile.

credi ti possa essere utile il mio file di HijackThis (lanciato dai programmi) per capire se ho dimenticato qualche file da eliminare?

grazie.
Roberto

**borghi** · 13-04-2005, 15:07

Già che ci sono ecco il file di...
Logfile of HijackThis v1.99.1
Scan saved at 15.06.11, on 13/04/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Java\j2re1.4.2_03\bin\jusched.exe
C:\PROGRA~1\NORTON~1\navapw32.exe
C:\Programmi\Daily Weather Forecast\weather.exe
C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
C:\Programmi\Miramar\PC MACLAN\ATMsg.exe
C:\Programmi\Miramar\PC MACLAN\ATSERVER.EXE
C:\Programmi\Miramar\PC MACLAN\ATSPOOL.EXE
C:\Programmi\Norton AntiVirus\navapsvc.exe
C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe
C:\Programmi\Java\j2re1.4.2_03\bin\javaw.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programmi\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.master69.biz?1462
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.fujitsu-siemens.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [Miramar Systems, Inc.] C:\Programmi\Miramar\PC MACLAN\atmsg.exe
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [Daily Weather Forecast] C:\Programmi\Daily Weather Forecast\weather.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programmi\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKCU\..\Run: [SpySweeper] "C:\Programmi\Webroot\Spy Sweeper\SpySweeper.exe" /0
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Spy Sweeper Fix.lnk = C:\Programmi\Webroot\Spy Sweeper\SpySweeperFix.bat
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.fujitsu-siemens.com
O15 - Trusted Zone: www.master69.biz
O15 - Trusted Zone: www.sgrunt.biz
O15 - Trusted Zone: www.yeak.net
O16 - DPF: {31E68DE2-5548-4B23-88F0-C51E6A0F695E} (Microsoft PID Sniffer) - https://support.microsoft.com/OAS/ActiveX/odc.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1104762067403
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2...ll/xscan53.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1B346A28-04E5-4166-8B3C-7523479A00D3}: NameServer = 151.99.0.100,151.99.125.2
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: AppleTalk Messenger (ATMsg) - Miramar Systems Inc. - C:\Programmi\Miramar\PC MACLAN\ATMsg.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Miramar AppleTalk File Server - Miramar Systems Inc. - C:\Programmi\Miramar\PC MACLAN\ATSERVER.EXE
O23 - Service: Miramar AppleTalk Print Server - Miramar Systems Inc. - C:\Programmi\Miramar\PC MACLAN\ATSPOOL.EXE
O23 - Service: Servizio Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Programmi\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\Security Center\SymWSC.exe

Discussione: Vittima di winmovieplugin

Strumenti discussione

Ricerca discussione

Visualizza

Vittima di winmovieplugin

Permessi di invio