warning! your computer is infected

[smoking-man]

il titolo e' il messaggio che mi trovo come desktop su sfondo nero

non so dove se lo sia beccato il cliente ma ho provato con tutti i metodi delucidati nei post in rilievo ma nulla
oltretutto su tale pc e' sparito la possibilita di variare il desktop e le opzioni web dello sfondo

mettendo il messaggio nella fonte di ricerca di google mi ritrovo :
http://www.google.it/search?biw=1003...infected&meta=

con particolare interesse su :

http://www.geekstogo.com/forum/Warni...d_-t30178.html

vista l'importanza del pc .... non posso risciare di fare ragazzate
inoltre e' un portatile e rimuovere l'hard per farne un ghost di sicurezza mi fa decadere la garanzia

ora attendo vostri consigli sul come agire

[NetEscape]

hai il nome dell'infezione?
nn puoi neanche far partire la modalità provvisoria
?

[holifay]

Qualcosa come questo?

Amvinfe wrote

leggi questi
http://www.alground.com/virus/sched...p?cod_virus=183

http://www.alground.com/virus/sched...p?cod_virus=182

http://www.alground.com/virus/sched...p?cod_virus=181

[amvinfe]

http://securityresponse.symantec.com...tophijack.html

http://securityresponse.symantec.com...phijack.b.html

[Colonnello]

Salve,

anche io ho lo stesso problema esposto in questo 3d.. e "gentilmente" visto che avevo aperto un altra discussione, holifay mi ha rimandato qui. Io già avevo visto questo messaggio, ma seguendo le istruzini della symantec non sono riuscito a risolverlo. Premetto che ho win xp e avast antivirus (sempre aggiornato). La maggiorparte delle chiavi che mi si chiedevano di cancellare dal registro non c'erano. Ma il problema è rimasto ugualmente. Come posso fare??? Ho fatto anche aggiornamenti e scansioni con ad-aware e spybot, ma niente da fare...

[holifay]

... ti ho rimandato qui perchè il problema era lo stesso (di solito non si apre un altro 3D per la stessa cosa) e non dicevi di aver già fatto questi tentativi. Se hai anche seguito quello che è riportato nel link in evidenza: allora puoi postare un log di HijackThis, che ci diamo un'occhiata.

Sono più gentile?

[Colonnello]

holifay, scusa...

non volevo fare polemica gratuita... hai ragione... ero stato poco chiaro nel messaggio... solo che pure tu potevi esprimerti in maniera meno brusca... cmq tutto ok... allora.. posto il mio log hjt... premetto che ho appena fatto scansione con avast aggiornato ad-aware e spybot...

Logfile of HijackThis v1.99.1
Scan saved at 11.59.09, on 29/06/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avast4\aswUpdSv.exe
C:\Programmi\Avast4\ashServ.exe
C:\Programmi\Bluetooth USB Adapter\Bluetooth Software\bin\btwdins.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\WINDOWS\ALCMTR.EXE
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\Avast4\ashDisp.exe
C:\WINDOWS\Samsung\LaserSMMgr\ssmmgr.exe
C:\Programmi\Java\j2re1.4.2_05\bin\jusched.exe
C:\WINDOWS\system32\ezSP_Px.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programmi\QuickTime\qttask.exe
C:\Programmi\eBay\eBay Toolbar2\eBayTBDaemon.exe
C:\Programmi\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\hookdump.exe
C:\Programmi\Avast4\ashMaiSv.exe
C:\Programmi\Avast4\ashWebSv.exe
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
F:\Downloads\SICUREZZA\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: eBay Toolbar Helper - {22D8E815-4A5E-4DFB-845E-AAB64207F5BD} - C:\Programmi\eBay\eBay Toolbar2\eBayTB.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot\SDHelper.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: eBay Toolbar - {92085AD4-F48A-450D-BD93-B28CC7DF67CE} - C:\Programmi\eBay\eBay Toolbar2\eBayTB.dll
O4 - HKLM\..\Run: [Collegamento alla pagina delle proprietà di High Definition Audio] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Samsung LBP SM] "C:\WINDOWS\Samsung\LaserSMMgr\ssmmgr.exe" /autorun
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\system32\ezSP_Px.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [eBayToolbar] C:\Programmi\eBay\eBay Toolbar2\eBayTBDaemon.exe
O4 - HKLM\..\Run: [IEXPLORE.EXE] C:\Programmi\Internet Explorer\IEXPLORE.EXE
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Intel system tool] C:\WINDOWS\system32\hookdump.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programmi\File comuni\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: &eBay Search - res://C:\Programmi\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O8 - Extra context menu item: &Google Search - res://c:\programmi\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Collegamenti a ritroso - res://c:\programmi\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Download with GetRight - C:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Invia a &Bluetooth - C:\Programmi\Bluetooth USB Adapter\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Open with GetRight Browser - C:\Programmi\GetRight\GRbrowse.htm
O8 - Extra context menu item: Pagine simili - res://c:\programmi\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://c:\programmi\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\j2re1.4.2_05\bin\npjpi142_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\j2re1.4.2_05\bin\npjpi142_05.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\Bluetooth USB Adapter\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\Bluetooth USB Adapter\Bluetooth Software\btsendto_ie.htm
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-24.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{25E1B854-D1BB-48CF-B168-BCF2E692DEA6}: NameServer = 217.141.254.206 151.99.125.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{E27F84AE-65F9-42F9-9D75-A9EF56206FB1}: NameServer = 212.216.112.112
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programmi\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programmi\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Programmi\Bluetooth USB Adapter\Bluetooth Software\bin\btwdins.exe
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Programmi\File comuni\Macromedia Shared\Service\Macromedia Licensing.exe

[holifay]

Ok, ti do la mia interpretazione, sperando ti sia utile.

In esecuzione hai:

- ALCMTR.EXE (della Realtek, è considerato una spyware)
- hookdump.exe (una variante del trojan Troj/Spyre-C)

fixa queste voci (dalla modalità provvisoria):

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
04 - HKLM\..\Run: [IEXPLORE.EXE] C:\Programmi\Internet Explorer\IEXPLORE.EXE
04 - HKCU\..\Run: [Intel system tool] C:\WINDOWS\system32\hookdump.exe

comunque devi sempre usare HijackThis da una cartella apposita, dedicata solo a lui, altrimenti non ti crea le copie di backup, indispensabili per eventuali ripristini.

Per quanto riguarda il ripristino dello sfondo, segui le istruzioni dei link di Amvinfe.

[Colonnello]

grazie holifay,

fixando quelle voci sembra che il problema sia risolto. Mentre per il desktop il link di amvinfe non mi è servito perchè le voci di registro da cancellare non c'erano sul mio registro. Sono dovuto andare su pannello di controllo\schermo\desktop\personaliza\web e disattivare la pagina web come sfondo...

ora sembra tutto ok...

grazie