• User Newbie

    [Risolto] Virtumonde anche per me

    Ciao a tutti, purtroppo sono rimasto vittima anche io di virtumonde. Ho letto le soluzioni consigliate in questo forum e ho tentato di applicarle al mio caso, ma senza alcun successo.

    Attualmente continuano ad aprirsi fastidiose finestre durante la navigazione in internet con Firefox e con IE.

    Racconto cosa ho già fatto.
    Scansione con Malwarebytes antimalware: mi segnala Malware.traceregistry key-HLM etc(posizione della chiave)
    Trjan.Vundo-registry key- HLM...(posizione della chiave)
    proponendomi di eliminarli.

    In mod. provvisoria riesce ad eliminarli, in mod. normale chiede un riavvio. Comunque alla ripartenza, ci sono nuovamente.
    Scansione con Vundofix: non segnala nulla
    Scansione con VirtumondBeGone: non segnala nulla
    Scansione con avenger: niente di significativo
    Scansione con Spyware doctor: non segnala nulla.
    Ho pulito un po' in giro con CCleaner. Ho fixato alcune voci con Hijack.
    Ma ogni volta che riaccendo il PC il virus si riforma.
    Se qualcuno ha la pazienza di darmi una mano, indicandomi cosa altro si può fare.... non vorrei formattare il tutto, ho qualche programma installato...
    Grazie anticipatamente per l'interesse.
    Manlio


  • User Newbie

    Allego il log di Hijack
    Logfile of HijackThis v1.99.1
    Scan saved at 1.00.07, on 04/12/2008
    Platform: Windows XP SP3 (WinNT 5.01.2600)
    MSIE: Internet Explorer v7.00 (7.00.6000.16735)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\csrss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\System32\svchost.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\Programmi\PrevxCSI\prevxcsi.exe
    C:\Programmi\File comuni\LightScribe\LSSrvc.exe
    C:\Programmi\Eset\nod32krn.exe
    C:\WINDOWS\system32\nvsvc32.exe
    C:\WINDOWS\system32\oodag.exe
    C:\Programmi\Electronic Arts\Need for Speed ProStreet\PB\PnkBstrA.exe
    C:\WINDOWS\system32\PSIService.exe
    F:\Programmi\Spyware Doctor\pctsAuxs.exe
    F:\Programmi\Spyware Doctor\pctsSvc.exe
    C:\WINDOWS\system32\svchost.exe
    C:\WINDOWS\system32\wdfmgr.exe
    C:\WINDOWS\System32\alg.exe
    C:\Programmi\PrevxCSI\prevxcsi.exe
    F:\Programmi\Spyware Doctor\pctsTray.exe
    C:\WINDOWS\Explorer.EXE
    C:\WINDOWS\system32\RUNDLL32.EXE
    C:\WINDOWS\SOUNDMAN.EXE
    C:\Programmi\HP\HP Software Update\HPWuSchd.exe
    C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe
    C:\Programmi\Snappy Fax Version 4\sfpagent.exe
    C:\Programmi\Eset\nod32kui.exe
    C:\Programmi\QuickTime\QTTask.exe
    C:\Programmi\Messenger\msmsgs.exe
    C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
    C:\WINDOWS\system32\ctfmon.exe
    C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
    C:\Programmi\Logitech\SetPoint\SetPoint.exe
    C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
    C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
    C:\Programmi\File comuni\Nikon\Monitor\NkMonitor.exe
    C:\Programmi\File comuni\Logitech\KHAL\KHALMNPR.EXE
    C:\Programmi\File comuni\Ahead\Lib\NMIndexStoreSvr.exe
    C:\Programmi\OpenOffice.org 2.4\program\soffice.exe
    C:\Programmi\OpenOffice.org 2.4\program\soffice.BIN
    C:\Programmi\uTorrent\uTorrent.exe
    C:\Programmi\Mozilla Firefox\firefox.exe
    C:\Programmi\Malwarebytes' Anti-Malware\mbam.exe
    C:\PROGRA~1\WINZIP\winzip32.exe
    C:\Documents and Settings\Manlio\Impostazioni locali\Temp\wz99d0\HijackThis.exe

    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = .google.it/
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = ://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = ://go.microsoft.com/fwlink/?LinkId=54896
    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = ://go.microsoft.com/fwlink/?LinkId=54896
    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = ://go.microsoft.com/fwlink/?LinkId=69157
    R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
    O1 - Hosts: 83.140.65.11 thepiratebay.org
    O1 - Hosts: 83.140.65.41 static.thepiratebay.org
    O1 - Hosts: 83.140.65.31 torrents.thepiratebay.org
    O1 - Hosts: 83.140.65.31 captcha.thepiratebay.org
    O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
    O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
    O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
    O3 - Toolbar: Encarta Web Companion - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Programmi\File comuni\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL
    O4 - HKLM..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
    O4 - HKLM..\Run: [nwiz] nwiz.exe /install
    O4 - HKLM..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
    O4 - HKLM..\Run: [SoundMan] SOUNDMAN.EXE
    O4 - HKLM..\Run: [HP Software Update] "C:\Programmi\HP\HP Software Update\HPWuSchd.exe"
    O4 - HKLM..\Run: [DXDllRegExe] dxdllreg.exe
    O4 - HKLM..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
    O4 - HKLM..\Run: [SSBkgdUpdate] C:\Programmi\File comuni\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe -Embedding -boot
    O4 - HKLM..\Run: [PDF3 Registry Controller] "C:\Programmi\ScanSoft\PDF Professional 3.0\RegistryController.exe"
    O4 - HKLM..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe"
    O4 - HKLM..\Run: [Snappy Fax Printer Agent] "C:\Programmi\Snappy Fax Version 4\sfpagent.exe"
    O4 - HKLM..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
    O4 - HKLM..\Run: [Pinnacle WebUpdater] "C:\Programmi\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s -f=UpdateVersion.xml -url=://cdn.pinnaclesys.com/SupportFiles
    O4 - HKLM..\Run: [ISUSPM Startup] C:\PROGRA~1\FILECO~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
    O4 - HKLM..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
    O4 - HKLM..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
    O4 - HKLM..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
    O4 - HKLM..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
    O4 - HKLM..\Run: [ISTray] "F:\Programmi\Spyware Doctor\pctsTray.exe"
    O4 - HKCU..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
    O4 - HKCU..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
    O4 - HKCU..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
    O4 - HKCU..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
    O4 - Startup: Nikon Monitor.lnk = C:\Programmi\File comuni\Nikon\Monitor\NkMonitor.exe
    O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programmi\OpenOffice.org 2.4\program\quickstart.exe
    O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
    O4 - Global Startup: Logitech SetPoint.lnk = C:\Programmi\Logitech\SetPoint\SetPoint.exe
    O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
    O4 - Global Startup: Tasto di scelta rapida per l'avvio di AutoCAD.lnk = C:\Programmi\File comuni\Autodesk Shared\acstart16.exe
    O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
    O8 - Extra context menu item: Open with Scansoft PDF Converter 3.0 - res://C:\Programmi\ScanSoft\PDF Professional 3.0\IEShellExt.dll /100
    O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
    O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
    O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
    O9 - Extra button: Barra di ricerca di Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programmi\File comuni\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
    O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
    O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
    O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
    O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
    O10 - Unknown file in Winsock LSP: c:\programmi\file comuni\pc tools\lsp\pctlsp.dll
    O10 - Unknown file in Winsock LSP: c:\programmi\file comuni\pc tools\lsp\pctlsp.dll
    O10 - Unknown file in Winsock LSP: c:\programmi\file comuni\pc tools\lsp\pctlsp.dll
    O10 - Unknown file in Winsock LSP: c:\programmi\file comuni\pc tools\lsp\pctlsp.dll
    O11 - Options group: [INTERNATIONAL] International*
    O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - ://.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
    O16 - DPF: {6F750202-1362-4815-A476-88533DE61D0C} (Kodak Gallery Easy Upload Manager Class) - ://.kodakgallery.it/downloads/BUM/BUM_WIN_IE_2/axofupld.cab
    O16 - DPF: {6F750203-1362-4815-A476-88533DE61D0C} (Kodak Gallery Easy Upload Manager Class) - ://.kodakgallery.it/downloads/BUM/BUM_WIN_IE_2/axofupld.cab
    O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
    O20 - AppInit_DLLs: uwsdcv.dll
    O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
    O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programmi\File comuni\Autodesk Shared\Service\AdskScSrv.exe
    O23 - Service: CSIScanner - Unknown owner - C:\Programmi\PrevxCSI\prevxcsi.exe" /service (file missing)
    O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
    O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
    O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
    O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
    O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
    O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
    O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
    O23 - Service: PunkBuster (PnkBstrA) - Unknown owner - C:\Programmi\Electronic Arts\Need for Speed ProStreet\PB\PnkBstrA.exe
    O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
    O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - F:\Programmi\Spyware Doctor\pctsAuxs.exe
    O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - F:\Programmi\Spyware Doctor\pctsSvc.exe

    Ho tolto gli indicatori degli indirizzi internet per poter mandare il post.


  • Consiglio Direttivo

    Ciao manlio e benvenuto nel forum GT! 🙂

    Scansiona con:


  • User Newbie

    OK, grazie, sto facendo le scansioni. Poi i log devo postarli? Sono molto lunghi, posso fare in qualche altro modo che il semplice copia-incolla?
    Ancora grazie a Wolf per l'aiuto.
    Manlio


  • Consiglio Direttivo

    @manlio said:

    Poi i log devo postarli?

    Per i log, usa sendmefile.com e riporta il link qui nel forum! 😉


  • User Newbie

    OK ho finito. Combofix ha portato a termine il lavoro e fatto il log. Superantispyware ha fatto una scansione completa, eliminando cookie e tre chiavi di registro (oltre ad un file però privo di significato). Ho fatto un'altra scansione con HiJack. Ho uploadato i files su megadrive (sendmefile non funziona in questo momento), allego i link:
    ://.mediafire.com/file/zvnj2y2nfum/hijackthis2.log
    ://.mediafire.com/file/kmqjy2gjmc2/Add-Remove Programs.txt
    ://.mediafire.com/file/om2yjjgzmil/ComboFix-quarantined-files.txt
    Ho tolto http e www per evitare il link.
    Attualmente sto navigando da un quarto d'ora senza finestre, sembra calmata la tempesta.
    Ringrazio ancora Wolf per l'attenzione. Se c'è ancora qualcosa da fare, ti prego comunicamelo.
    Ciao.
    Manlio


  • User Newbie

    OOps, ho dimenticato questo....
    ://.mediafire.com/file/4ftmezxwz2e/ComboFix.txt
    Grazie.
    Manlio


  • Consiglio Direttivo

    Ciao manlio,

    fixa con hijackthis:

    O20 - AppInit_DLLs: uwsdcv.dll
    @manlio said:
    Attualmente sto navigando da un quarto d'ora senza finestre, sembra calmata la tempesta.

    😉

    @manlio said:

    Se c'è ancora qualcosa da fare, ti prego comunicamelo.

    Dai una ripulita con ccleaner! 🙂

    :ciauz:


  • User Newbie

    Fatto tutto. Funziona tutto bene.
    Ancora grazie per il tempo dedicato.
    Ciao.
    Manlio


  • User

    Ciao manlio, 🙂
    aggiungo solo un paio di consigli:
    Il log di Hijackthis meglio eseguirlo con la versione 2.02

    Apri SpyBot in modalità avanzata (menù modalità - avanzata) poi vai in utilità -> resident e togli la spunta a TeaTimer.

    Scarica the Avenger
    http:/ /swandog46.geekstogo.com/avenger.zip
    Lo salvi in una cartella, scompatti il file .zip
    Individua avenger.exe, lo avvii
    Inserisci questo script nel box bianco
    **
    Registry values to replace with dummy:
    HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

    Files to delete:
    C:\WINDOWS\system32\uwsdcv.dll****
    c:\windows\system32\CF6AED2241.sys

    folders to delete:
    C:\WINDOWS\temp
    C:\WINDOWS\Tasks**

    Clicca su Execute
    Il pc dovrebbe riavviarsi (se così non fosse, fallo tu)
    Posta il log che verrà creato in C:\Avenger


  • Consiglio Direttivo

    @manlio said:

    Ancora grazie per il tempo dedicato.

    :gthi:


  • User Newbie

    Ecco i log di HJT 2.02 e di Avenger con lo script indicato.
    Sono al solito senza i riferimenti iniziali dell' URL.
    Avevo comunque provveduto ad eliminare i temp di tutti gli utenti del PC.
    Grazie ancora.
    Manlio
    ://.mediafire.com/file/jranwjd4n5z/avenger.txt
    ://.mediafire.com/file/twmylnuthlb/hijackthis3.log


  • User

    Buongiorno manlio,
    lo script di avenger è andato a buon fine, ora suggerisco di fare un pò di manutenzione del pc.

    Eliminiamo tutto quello che hai usato per la pulizia OtCleanit
    http:/ /download.bleepingcomputer.com/oldtimer/OTCleanIt.exe
    Avvialo con un doppio click e clicca su "cleanup"
    Conferma l'operazione, e se ti viene chiesto il riavvio acconsenti.

    Installa Eusing Free Registry Cleaner ed esegui la pulizia del registro.
    eusing.com/free_registry_cleaner/registry_cleaner.htm

    Esegui una deframmentazione ed uno scandisk
    Start > programmi > accessori > utilità di sistema.

    Cerchiamo di alleggerire un pò l'avvio dei programmi.
    Prima di fixare le voci che andrò ad elencarti dovresti mettere Hijackthis.exe in una cartella a lui dedicata in Programmi,
    NON sul desktop o in cartelle temporanee
    *; è importante se vuoi salvare i backup*****.**
    Attualmente hijackthis è in questa posizione:
    C:\Documents and Settings\Manlio\Impostazioni locali*temp*\wzab94\HijackThis.exe
    Estrai l'exe correttamente e collocalo in una cartella in C:\programmi.

    Avvia Hijackthis e clicca su "do a system scan only"
    Metti la spunta a queste voci e clicca su "fix checked"

    O4 - HKLM..\Run: [HP Software Update] "C:\Programmi\HP\HP Software Update\HPWuSchd.exe"
    O4 - HKLM..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
    O4 - HKLM..\Run: [SSBkgdUpdate] C:\Programmi\File comuni\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe -Embedding -boot
    O4 - HKLM..Run: [PDF3 Registry Controller] "C:ProgrammiScanSoftPDF Professional 3.0\RegistryController.exe"
    O4 - HKLM..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
    O4 - HKLM..\Run: [Snappy Fax Printer Agent] "C:\Programmi\Snappy Fax Version 4\sfpagent.exe"
    O4 - HKLM..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
    O4 - HKLM..\Run: [ISUSPM Startup] C:\PROGRA~1\FILECO~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
    O4 - HKLM..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
    O4 - HKLM..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
    O4 - HKLM..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
    O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programmi\OpenOffice.org 2.4\program\quickstart.exe
    O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe

    Ps: Non sono voci dannose, ma inutili; i programmi continueranno a funzionare quando verranno avviati.

    :ciauz:


  • User Newbie

    Tutto fatto. Grazie ancora.
    Ciao :sun: