Aiuto! Problemi con dialer!

ciucciovolante

Aiuto! Problemi con dialer!

Ciao a tutti!

Mi sono appena iscritto dopo aver letto diverse vostre discussioni, fra cui una che mi interessava particolarmente, in merito ad un processo " iexplore.exe " (scritto rigorosamente in minuscolo).

In tale discussione non ho trovato la risposta al mio problema, ed è per qst ke mi trovo ora qui a scrivere.

Mi sono accorto ke il processo iexplore.exe, alcune volte, si avvia in automatico all'accensione del pc, o quando avvio la connessione ad internet. (se fatto terminare, si riavvia dopo poco tempo). Premesso che ho una connessione 56k (:x ) Sono + tosto certo ke si tratta di un dialer, perchè lo stesso, fa si ke la connessione si kiuda....e prima ke riuscissi a bloccarle, faceva partire altre connessioni a numeri internazionali. Come stavo dicendo, tale problema non sussiste più, in quanto sono riuscito a trovare una scamotage (quanto meno non devo sborsare soldi extra alla telecom), l'unica scocciatura e che interrompe la connessione, e mi da continui problemi con l'explorer e le pagine internet aperte!

Non risco proprio a non farlo partire, le ho provate tutte, quindi kiedo a voi consigli in merito!

Vi posto il log fatto da task manager

Nome immagine PID Nome sessione Sessione Utilizzo mem
========================= ====== ================ ======== ============
System Idle Process 0 Console 0 20 K
System 4 Console 0 220 K
smss.exe 516 Console 0 876 K
csrss.exe 580 Console 0 6.464 K
winlogon.exe 604 Console 0 23.792 K
services.exe 648 Console 0 5.816 K
lsass.exe 660 Console 0 1.756 K
svchost.exe 828 Console 0 2.952 K
svchost.exe 892 Console 0 30.324 K
svchost.exe 960 Console 0 1.716 K
svchost.exe 972 Console 0 3.288 K
CCSETMGR.EXE 1160 Console 0 12.480 K
rpwgyymj.exe 1220 Console 0 3.872 K
SNDSrvc.exe 1244 Console 0 2.968 K
SPBBCSvc.exe 1260 Console 0 2.156 K
CCAPP.EXE 1384 Console 0 23.152 K
CCEVTMGR.EXE 1388 Console 0 3.160 K
spoolsv.exe 1564 Console 0 3.704 K
alg.exe 1652 Console 0 3.460 K
NAVAPSVC.EXE 1692 Console 0 9.096 K
NPFMNTOR.EXE 1732 Console 0 3.232 K
NPROTECT.EXE 1784 Console 0 5.168 K
nvsvc32.exe 1812 Console 0 3.716 K
NOPDB.exe 1904 Console 0 2.320 K
symlcsvc.exe 1980 Console 0 160 K
AluSchedulerSvc.exe 184 Console 0 1.480 K
explorer.exe 3964 Console 0 32.768 K
**IEXPLORE.EXE 444 Console 0 17.724 K
**Starter.exe 2956 Console 0 2.720 K
IEXPLORE.EXE 2172 Console 0 20.500 K
cmd.exe 1120 Console 0 1.516 K
msmsgs.exe 3920 Console 0 6.648 K
wmiprvse.exe 1192 Console 0 4.588 K
tasklist.exe 2656 Console 0 2.624 K

Il processo in questione dovrebbe essere quello in grassetto.

Grazie mille!

paolino

Iexplore.exe è il nome di Internet Explorer.....ce ne sono 2 ok, può essere che in quel momento avevi due finestre di IE aperte?

io mi concentrerei di più su rpwgyymj.exe che francamente come nome è un tantinello sospetto

kru

Ciao, ciucciovolante, e benvenuto nel forum GT.

Quoto paolino, sia per l'eseguibile IEXPLORE.EXE, sia per il processo sospetto.

Effettua una scansione con Hijackthis e postaci il log.

Verifica, come chiesto da paolino, se ti risultano presenti 2 processi IEXPLORE.EXE anche avendo in esecuzione una sola istanza di IE.
In questo caso, fai una ricerca per verificare in quali cartelle sono presenti i 2 processi IEXPLORE.EXE. Usa la funzione di ricerca di windows, attivando da "avanzate", la voce "ricerca cartelle e files nascosti".

wolf.otakar

@kru said:

Effettua una scansione con Hijackthis e postaci il log.

Scarica Hijackthis e posizionalo in una cartella dentro C:\

Avvialo dalla voce: Do a system scan and save a logfile; verra' generato un file .txt, postalo qui nel forum!!

Riguardo i dialer, installa Digisoft Antidialer!

ciucciovolante

Ecco il lo di HijackThis

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 14.49.47, on 27/05/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Programmi\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe
C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\msiexec.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\DOCUME~1\Io\IMPOST~1\Temp\Rar$EX00.984\HiJackThis_v2.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM..\Run: [symantec netdriver monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM..\Run: [nvcpldaemon] rundll32.exe c:\windows\system32\nvcpl.dll,nvstartup
O4 - HKLM..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKCU..\Run: [Norton SystemWorks] C:\Programmi\Norton SystemWorks\CfgWiz.exe /GUID {05858CFD-5CC4-4ceb-AAAF-CF00BF39736A} /MODE CfgWiz
O4 - HKUS\S-1-5-19..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O8 - Extra context menu item: Download All by FlashGet - C:\PROGRA~1\FlashGet\jc_all.htm
O8 - Extra context menu item: Download using FlashGet - C:\PROGRA~1\FlashGet\jc_link.htm
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O17 - HKLM\System\CCS\Services\Tcpip..{E0C64D96-D1AA-4AFF-9BAE-E2A5DE34CEA9}: NameServer = 62.211.69.150 212.48.4.15
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Servizio Auto-Protect di Norton AntiVirus (navapsvc) - Symantec Corporation - C:\Programmi\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programmi\Norton SystemWorks\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programmi\WinPcap\rpcapd.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programmi\Norton SystemWorks\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\FILECO~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: ScsiAccess - Unknown owner - C:\Programmi\Photodex\ProShowGold\ScsiAccess.exe (file missing)
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programmi\File comuni\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Utilità di pianificazione di LiveUpdate automatico - Symantec Corporation - C:\Programmi\Symantec\LiveUpdate\ALUSchedulerSvc.exe

End of file - 6184 bytes

rispondo alle vostre domande:

IL file incriminato iexplore.exe (minuscolo) è in esecuzione anche se non ho alcuna finestra del browser aperta. Evidentemente quando ho una finastra aperta saranno in esecuzione 2 iexplore.exe (uno minuscolo e uno maiuscolo), come proprio ora per esempio, che sto scrivendo sul vosto magnifico forum, ed ho esclusivamente una finestra di internet explorer aperta. Se vi può aiutare vi allego anche un file immagine.

E' uno screen shot che ho fatto grazie al programma Code Stuff Starter. Grazie allo stesso si evince ciò che vi stavo descrivendo prima:

iexplore.exe
IEXPLORE.EXE

entrambi caricati dalla medesima cartella di windows. Se chiudo la finestra che sto usando per scivere sul forum ,rimarrà in esecuzione il file iexplore.exe, anche se non sto navigando in internet.

Spero di essermi spiegato più o meno bene, intato colgo l'occasione per rigraziarvi!!

wolf.otakar

Il log di hijack è pulito!

In un precedente post:http://www.giorgiotave.it/forum/sicurezza-informatica/36237-processo-iexplore-exe-aiutooooooo.html il problema è stato risolto usando A-squared e SuperAntispyware!

Purtroppo a-squared pesa un po' troppo per il 56k :(!!!

ciucciovolante

quindi oltre a poter effettuare le scansioni con questi due programmi, non si può far nulla??

Cioè la differenza fra il processo ixeplore.exe scritto in minuscolo e IEXPLORE.EXE scritto in maiuscolo, qual è ??

Nella attesa di un vostro riscontro, ammazzo un pò il tempo......grazie e ciao!

wolf.otakar

@ciucciovolante said:

quindi oltre a poter effettuare le scansioni con questi due programmi, non si può far nulla??

Ripeto, in un precedente post, il problema è stato risolto usando A-squared!

@ciucciovolante said:

Cioè la differenza fra il processo ixeplore.exe scritto in minuscolo e IEXPLORE.EXE scritto in maiuscolo, qual è ??

iexplore.exe è Internet Explorer! **IEXPLORE.EXE **puo' essere anche un trojan, che usa il nome del browser di casa microsoft, proprio per passare inosservato!

Cmq, scarica ed effettua una scansione con Asquared!

ciucciovolante

iexplore.exe è Internet Explorer! IEXPLORE.EXE puo' essere anche un trojan, che usa il nome del browser di casa microsoft, proprio per passare inosservato!

A me, a dir la verità risulta il contrario, ovvero IEXPLORE.EXE è Internet Explorer, infatti ogni qual volta che apro una pagina web, va in esecuzione tale processo. Inoltre se controlli nella directory C:\Programmi\Internet Explorer, l'unico exe che trovi è IEXPLORE.EXE...la cosa che mi manda di più in bestia è che il processo iexplore.exe, viene caricato dalla stessa cartella, ma non è assolutamente presente lì, nemmeno come file nascosto.

Comunque grazie lo stesso, proverò con A-squared!

paolino

@ciucciovolante said:

A me, a dir la verità risulta il contrario, ovvero IEXPLORE.EXE è Internet Explorer, infatti ogni qual volta che apro una pagina web, va in esecuzione tale processo. Inoltre se controlli nella directory C:\Programmi\Internet Explorer, l'unico exe che trovi è IEXPLORE.EXE...la cosa che mi manda di più in bestia è che il processo iexplore.exe, viene caricato dalla stessa cartella, ma non è assolutamente presente lì, nemmeno come file nascosto.

Comunque grazie lo stesso, proverò con A-squared!

è nascosto in un alternate data stream di IEXPLORE.EXE

dobbiamo ringraziare zio Bill che voleva copiare il sistema di metadati del Mac e introdusse gli ADS....

ad oggi mi pare che nessun antivirus sia capace di identificare gli alternate data stream

a questo punto devi scaricare questo software http://www.sysinternals.com/Utilities/Streams.html

copia l'eseguibile streams.exe nella cartella di IE e poi da shell dai il comando

**
streams .*.*
**

così facendo visualizzerai tutti gli ADS presenti in quella directory

ovviamente lo spyware potrebbe non essere stato installato come ADS di Internet Explorer, in quel caso bisogna scansionare l'intero hard disk

in questo caso usa http://www.bleepingcomputer.com/files/Merijn/adsspy.zip

ciucciovolante

Ciao paolino, grazie per il tuo intervento.

Ho scaricato e posizionato il file streams.exe nella cartella di IE, ma quando vado su esegui e scrivo il comando streams .*.* mi dice che è impossibile trovare il file steams.

Sto effettuando adesso la scansione per l'intero sistema con ADS Spy.

Cosa dovrei trovare per capire che si tratta di iexplore.exe.

Grazie ancora, ciao.

paolino

@ciucciovolante said:

Ciao paolino, grazie per il tuo intervento.

Ho scaricato e posizionato il file streams.exe nella cartella di IE, ma quando vado su esegui e scrivo il comando streams .*.* mi dice che è impossibile trovare il file steams.

Sto effettuando adesso la scansione per l'intero sistema con ADS Spy.

Cosa dovrei trovare per capire che si tratta di iexplore.exe.

Grazie ancora, ciao.

vuol dire che nella cartella di IE non ci sono ADS

ADS Spy invece visualizza glI ADS in questo modo

**
c:\blah blah\iexplore.exe: malware.exe (52000 bytes)
c:\blah blah\smss.exe: spyware.exe (34000 bytes)
etc...
**

in sostanza visualizza il nome del file che contiene gli ADS e i nomi degli ADS contenuti e la loro dimensione

tra i nomi degli ADS dovrebbe esserci iexplore.exe

se non è negli ADS vuol dire che il malware in questione ha hookato l'API di Windows e quindi occulta la sua presenza in maniera efficace....per trovarlo devi avviare un antispyware o un antivirus da un CD, quindi senza avviare Windows

quel fantomatico iexplore.exe potrebbe essere Randex.AD ( http://www.auditmypc.com/process/iexplore.asp ) ma non è detto....purtroppo sono molti i malware che usano il nome iexplore.exe ed è difficile capire di chi si tratta

viste le capacità che il malware sta mostrando penserei a Zelatin o Gromozon o un altro spyware professionale

wolf.otakar

@paolino said:

quel fantomatico iexplore.exe potrebbe essere Randex.AD ( http://www.auditmypc.com/process/iexplore.asp ) ma non è detto....purtroppo sono molti i malware che usano il nome iexplore.exe ed è difficile capire di chi si tratta viste le capacità che il malware sta mostrando penserei a Zelatin o Gromozon o un altro spyware professionale

Quoto Paolino!

Purtroppo diversi malware usano il nome del browser di zio Bill!

Ciucciovolante hai provato con [A-squared](http://download5.emsisoft.com/a2FreeSetup.exe)?? 
``` :?