[Risolto] Virtumonde anche per me

manlio

Allego il log di Hijack
Logfile of HijackThis v1.99.1
Scan saved at 1.00.07, on 04/12/2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\PrevxCSI\prevxcsi.exe
C:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\Programmi\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\oodag.exe
C:\Programmi\Electronic Arts\Need for Speed ProStreet\PB\PnkBstrA.exe
C:\WINDOWS\system32\PSIService.exe
F:\Programmi\Spyware Doctor\pctsAuxs.exe
F:\Programmi\Spyware Doctor\pctsSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\Programmi\PrevxCSI\prevxcsi.exe
F:\Programmi\Spyware Doctor\pctsTray.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programmi\HP\HP Software Update\HPWuSchd.exe
C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe
C:\Programmi\Snappy Fax Version 4\sfpagent.exe
C:\Programmi\Eset\nod32kui.exe
C:\Programmi\QuickTime\QTTask.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe
C:\Programmi\Logitech\SetPoint\SetPoint.exe
C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
C:\Programmi\File comuni\Nikon\Monitor\NkMonitor.exe
C:\Programmi\File comuni\Logitech\KHAL\KHALMNPR.EXE
C:\Programmi\File comuni\Ahead\Lib\NMIndexStoreSvr.exe
C:\Programmi\OpenOffice.org 2.4\program\soffice.exe
C:\Programmi\OpenOffice.org 2.4\program\soffice.BIN
C:\Programmi\uTorrent\uTorrent.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\Programmi\Malwarebytes' Anti-Malware\mbam.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Manlio\Impostazioni locali\Temp\wz99d0\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = .google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = ://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = ://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = ://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = ://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O1 - Hosts: 83.140.65.11 thepiratebay.org
O1 - Hosts: 83.140.65.41 static.thepiratebay.org
O1 - Hosts: 83.140.65.31 torrents.thepiratebay.org
O1 - Hosts: 83.140.65.31 captcha.thepiratebay.org
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Encarta Web Companion - {147D6308-0614-4112-89B1-31402F9B82C4} - C:\Programmi\File comuni\Microsoft Shared\Encarta Web Companion\2007\ENCWCBAR.DLL
O4 - HKLM..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM..\Run: [nwiz] nwiz.exe /install
O4 - HKLM..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM..\Run: [HP Software Update] "C:\Programmi\HP\HP Software Update\HPWuSchd.exe"
O4 - HKLM..\Run: [DXDllRegExe] dxdllreg.exe
O4 - HKLM..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM..\Run: [SSBkgdUpdate] C:\Programmi\File comuni\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe -Embedding -boot
O4 - HKLM..\Run: [PDF3 Registry Controller] "C:\Programmi\ScanSoft\PDF Professional 3.0\RegistryController.exe"
O4 - HKLM..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM..\Run: [Snappy Fax Printer Agent] "C:\Programmi\Snappy Fax Version 4\sfpagent.exe"
O4 - HKLM..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM..\Run: [Pinnacle WebUpdater] "C:\Programmi\Pinnacle\Shared Files\Programs\WebUpdater\WebUpdater.exe" -s -f=UpdateVersion.xml -url=://cdn.pinnaclesys.com/SupportFiles
O4 - HKLM..\Run: [ISUSPM Startup] C:\PROGRA~1\FILECO~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM..\Run: [nod32kui] "C:\Programmi\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKLM..\Run: [ISTray] "F:\Programmi\Spyware Doctor\pctsTray.exe"
O4 - HKCU..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Ahead\Lib\NMBgMonitor.exe"
O4 - Startup: Nikon Monitor.lnk = C:\Programmi\File comuni\Nikon\Monitor\NkMonitor.exe
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programmi\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programmi\Logitech\SetPoint\SetPoint.exe
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Programmi\Nikon\PictureProject\NkbMonitor.exe
O4 - Global Startup: Tasto di scelta rapida per l'avvio di AutoCAD.lnk = C:\Programmi\File comuni\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open with Scansoft PDF Converter 3.0 - res://C:\Programmi\ScanSoft\PDF Professional 3.0\IEShellExt.dll /100
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Barra di ricerca di Encarta - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programmi\File comuni\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programmi\file comuni\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\programmi\file comuni\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\programmi\file comuni\pc tools\lsp\pctlsp.dll
O10 - Unknown file in Winsock LSP: c:\programmi\file comuni\pc tools\lsp\pctlsp.dll
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - ://.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {6F750202-1362-4815-A476-88533DE61D0C} (Kodak Gallery Easy Upload Manager Class) - ://.kodakgallery.it/downloads/BUM/BUM_WIN_IE_2/axofupld.cab
O16 - DPF: {6F750203-1362-4815-A476-88533DE61D0C} (Kodak Gallery Easy Upload Manager Class) - ://.kodakgallery.it/downloads/BUM/BUM_WIN_IE_2/axofupld.cab
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: uwsdcv.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programmi\File comuni\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: CSIScanner - Unknown owner - C:\Programmi\PrevxCSI\prevxcsi.exe" /service (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Ahead\Lib\NMIndexingService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Programmi\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: PunkBuster (PnkBstrA) - Unknown owner - C:\Programmi\Electronic Arts\Need for Speed ProStreet\PB\PnkBstrA.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - F:\Programmi\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - F:\Programmi\Spyware Doctor\pctsSvc.exe

Ho tolto gli indicatori degli indirizzi internet per poter mandare il post.

wolf.otakar

Ciao manlio e benvenuto nel forum GT!

Scansiona con:

combofix
superantispyware "aggiornato".

manlio

OK, grazie, sto facendo le scansioni. Poi i log devo postarli? Sono molto lunghi, posso fare in qualche altro modo che il semplice copia-incolla?
Ancora grazie a Wolf per l'aiuto.
Manlio

wolf.otakar

@manlio said:

Poi i log devo postarli?

Per i log, usa sendmefile.com e riporta il link qui nel forum!

manlio

OK ho finito. Combofix ha portato a termine il lavoro e fatto il log. Superantispyware ha fatto una scansione completa, eliminando cookie e tre chiavi di registro (oltre ad un file però privo di significato). Ho fatto un'altra scansione con HiJack. Ho uploadato i files su megadrive (sendmefile non funziona in questo momento), allego i link:
://.mediafire.com/file/zvnj2y2nfum/hijackthis2.log
://.mediafire.com/file/kmqjy2gjmc2/Add-Remove Programs.txt
://.mediafire.com/file/om2yjjgzmil/ComboFix-quarantined-files.txt
Ho tolto http e www per evitare il link.
Attualmente sto navigando da un quarto d'ora senza finestre, sembra calmata la tempesta.
Ringrazio ancora Wolf per l'attenzione. Se c'è ancora qualcosa da fare, ti prego comunicamelo.
Ciao.
Manlio

manlio

OOps, ho dimenticato questo....
://.mediafire.com/file/4ftmezxwz2e/ComboFix.txt
Grazie.
Manlio

wolf.otakar

Ciao manlio,

fixa con hijackthis:

O20 - AppInit_DLLs: uwsdcv.dll
@manlio said:
Attualmente sto navigando da un quarto d'ora senza finestre, sembra calmata la tempesta.

@manlio said:

Se c'è ancora qualcosa da fare, ti prego comunicamelo.

Dai una ripulita con ccleaner!

manlio

Fatto tutto. Funziona tutto bene.
Ancora grazie per il tempo dedicato.
Ciao.
Manlio

jeangrey

Ciao manlio,
aggiungo solo un paio di consigli:
Il log di Hijackthis meglio eseguirlo con la versione 2.02

Apri SpyBot in modalità avanzata (menù modalità - avanzata) poi vai in utilità -> resident e togli la spunta a TeaTimer.

Scarica the Avenger
http:/ /swandog46.geekstogo.com/avenger.zip
Lo salvi in una cartella, scompatti il file .zip
Individua avenger.exe, lo avvii
Inserisci questo script nel box bianco
**
Registry values to replace with dummy:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows | AppInit_DLLs

Files to delete:
C:\WINDOWS\system32\uwsdcv.dll****
c:\windows\system32\CF6AED2241.sys

folders to delete:
C:\WINDOWS\temp
C:\WINDOWS\Tasks**

Clicca su Execute
Il pc dovrebbe riavviarsi (se così non fosse, fallo tu)
Posta il log che verrà creato in C:\Avenger

wolf.otakar

@manlio said:

Ancora grazie per il tempo dedicato.

manlio

Ecco i log di HJT 2.02 e di Avenger con lo script indicato.
Sono al solito senza i riferimenti iniziali dell' URL.
Avevo comunque provveduto ad eliminare i temp di tutti gli utenti del PC.
Grazie ancora.
Manlio
://.mediafire.com/file/jranwjd4n5z/avenger.txt
://.mediafire.com/file/twmylnuthlb/hijackthis3.log

jeangrey

Buongiorno manlio,
lo script di avenger è andato a buon fine, ora suggerisco di fare un pò di manutenzione del pc.

Eliminiamo tutto quello che hai usato per la pulizia OtCleanit
http:/ /download.bleepingcomputer.com/oldtimer/OTCleanIt.exe
Avvialo con un doppio click e clicca su "cleanup"
Conferma l'operazione, e se ti viene chiesto il riavvio acconsenti.

Installa Eusing Free Registry Cleaner ed esegui la pulizia del registro.
eusing.com/free_registry_cleaner/registry_cleaner.htm

Esegui una deframmentazione ed uno scandisk
Start > programmi > accessori > utilità di sistema.

Cerchiamo di alleggerire un pò l'avvio dei programmi.
Prima di fixare le voci che andrò ad elencarti dovresti mettere Hijackthis.exe in una cartella a lui dedicata in Programmi,
NON sul desktop o in cartelle temporanee*; è importante se vuoi salvare i backup*****.**
Attualmente hijackthis è in questa posizione:
C:\Documents and Settings\Manlio\Impostazioni locali*temp*\wzab94\HijackThis.exe
Estrai l'exe correttamente e collocalo in una cartella in C:\programmi.

Avvia Hijackthis e clicca su "do a system scan only"
Metti la spunta a queste voci e clicca su "fix checked"

O4 - HKLM..\Run: [HP Software Update] "C:\Programmi\HP\HP Software Update\HPWuSchd.exe"
O4 - HKLM..\Run: [CloneCDTray] "C:\Programmi\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM..\Run: [SSBkgdUpdate] C:\Programmi\File comuni\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe -Embedding -boot
O4 - HKLM..Run: [PDF3 Registry Controller] "C:ProgrammiScanSoftPDF Professional 3.0\RegistryController.exe"
O4 - HKLM..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKLM..\Run: [Snappy Fax Printer Agent] "C:\Programmi\Snappy Fax Version 4\sfpagent.exe"
O4 - HKLM..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM..\Run: [ISUSPM Startup] C:\PROGRA~1\FILECO~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Ahead\Lib\NeroCheck.exe
O4 - HKLM..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programmi\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe

Ps: Non sono voci dannose, ma inutili; i programmi continueranno a funzionare quando verranno avviati.

manlio

Tutto fatto. Grazie ancora.
Ciao