Non riesco a rimuovere il Win32:Agent-DZK [Trj]

[sasadf]

Dopo 4 passate di Kapersky e Progvx....(ditemi)

Logfile of HijackThis v1.99.1
Scan saved at 0.54.45, on 27/02/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Programmi\Nero\Nero 7\InCD\InCDsrv.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\CTHELPER.EXE
C:\WINDOWS\system32\CTXFIHLP.EXE
C:\Programmi\Logitech\iTouch\iTouch.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\SYSTEM32\CTXFISPI.EXE
C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\CyberLink\Shared files\RichVideo.exe
C:\Programmi\TheaterTek\TheaterTek DVD 2.0\AutoKiller.exe
C:\Programmi\Logitech\SetPoint\SetPoint.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\File comuni\Logitech\KhalShared\KHALMNPR.EXE
C:\Programmi\Prevx1\PXConsole.exe
C:\Programmi\Prevx1\PXAgent.exe
C:\Programmi\CyberLink\PowerDVD\PowerDVD.exe
C:\Programmi\WinRAR\WinRAR.exe
C:\DOCUME~1\ADMINI~1\IMPOST~1\Temp\Rar$EX00.375\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hwupgrade.it/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://10.0.0.2/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Malicious Scripts Scanner - {55EA1964-F5E4-4D6A-B9B2-125B37655FCB} - C:\Documents and Settings\All Users\Dati applicazioni\Prevx\pxbho.dll
O3 - Toolbar: ImageShack Toolbar - {6932D140-ABC4-4073-A44C-D4A541665E35} - C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programmi\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [CnxTrApp] rundll32.exe "C:\Programmi\StarModem\StarModem USB Network\CnxTrApp.dll",AppEntry -REG "Conexant\Conexant USB Network"
O4 - HKLM\..\Run: [Soundlibs] C:\WINDOWS\soundlib.exe
O4 - HKLM\..\Run: [EPSON Stylus Photo R240 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIAHE.EXE /P30 "EPSON Stylus Photo R240 Series" /O6 "USB002" /M "Stylus Photo R240"
O4 - HKLM\..\Run: [AVP] "C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [PrevxOne] "C:\Programmi\Prevx1\PXConsole.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - Global Startup: Autorun Killer.lnk = C:\Programmi\TheaterTek\TheaterTek DVD 2.0\AutoKiller.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programmi\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Post Image to Blog - res://C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll/5003
O8 - Extra context menu item: Tag This Image - res://C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll/5002
O8 - Extra context menu item: Transload Image to ImageShack - res://C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll/5004
O8 - Extra context menu item: Upload All Images to ImageShack - res://C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll/5000
O8 - Extra context menu item: Upload Image to ImageShack - res://C:\WINDOWS\ImageShackToolbar\ImageShackToolbar.dll/5001
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra button: Web Anti-Virus statistics - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O15 - Trusted Zone: http://toolbar.imageshack.us
O16 - DPF: {22E5D91F-89E6-4405-AD9C-0AF27BA6F06B} (HidInputMonitorX Control) - file://D:\components\hidinputmonitorx.ocx
O16 - DPF: {4F63D44B-6274-4D60-8AB1-CAA7116B8AF3} (A9Helper.A9) - file://D:\components\A9.ocx
O16 - DPF: {6932D140-ABC4-4073-A44C-D4A541665E35} (ImageShack Toolbar) - http://toolbar.imageshack.us/toolbar/ImageShackToolbar.cab
O16 - DPF: {7030CC6C-1A88-4591-BB5A-651B9F7F0C30} (WMVHDRatingCtrl Class) - file://D:\components\wmvhdrating.ocx
O20 - AppInit_DLLs:
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Programmi\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programmi\Nero\Nero 7\InCD\InCDsrv.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: Prevx Agent (PREVXAgent) - Unknown owner - C:\Programmi\Prevx1\PXAgent.exe" -f (file missing)
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programmi\CyberLink\Shared files\RichVideo.exe

 

[Parsifal]

Si, ma Prevx ha trovato ed eliminato qualcosa ?
Dai che abbiamo quasi finito...

 

[sasadf]

si Ha trovato due: quello che mi avevi fatto cancellare e un driver della soundblaster: ho ordinato la cancellazione.

Adesso il russo ha iniziato la 5 scansione totale parziale e ne ha trovati altri 3:incazzed:

walk on
sasadf

 

[sasadf]

trovati altri 3 dal Russo...

FORMATTONE in arrivo!!

Ma il problema sarà come rievitare questo bordello?!!:mbe:

walk on
sasadf

 

[Luka74]

So che esiste un tool per rimuovere quel Trojan.Se vuoi te lo posto.
Il problema è che quel virus crea una cifra di files e chiavi di registro e quindi un lavoro manuale sarebbe una cosa lunghetta.

 

[Parsifal]

Infatti, deve averti fatto cancellare SOUNDLIB.EXE.
Ferma il russo che adesso rompe.. e fai un cerca file e cartelle di WebMons.dll ; se lo trovi cancellalo (se non ci riesci da normale fallo da modalità provvisoria).
Disinstalla Prevx1, scarica il prog. che ho indicato nel post a Monster e fai quanto raccomandato a lui.
Ci sentiamo quando hai finito per le conclusioni.

 

[Tony359]

Conoscendo Winzozz, un formattone non fa male, alla fine di tutto ciò!

Alla fine se hai pratica non ci vuole molto a ripristinare tutto.

Cia
A

 

[Luka74]

Ultimo aggiornamento

Anche quelli di Spybot (programma gratuito per la rimozione di malware/spyware che non dovrebbe mancare nel computer di nessuno) dichiarano che il loro programma riesce a rimuovere il virus.

 

[Luka74]

Ultimo aggiornamento

Anche quelli di Spybot (programma gratuito per la rimozione di malware/spyware che non dovrebbe mancare nel computer di nessuno) dichiarano che il loro programma riesce a rimuovere il virus.

 

[Bryan_Pedemonte]

FORMATTONE in arrivo!!

Ma il problema sarà come rievitare questo bordello?!!:mbe:

forse il formattone ti fa risparmiare tempo e fegato...... io quando windows si incasina lo faccio senza pensarci due volte

per evitare il problema smettila di visitare certe pagine

a parte gli scherzi, io con zone alarm + antivir + ad-Aware (che da quando uso Firefox non trova mai nulla) è da molto tempo che vivo tranquillo (ovviamente evitando di aprire pagine "strane" )

 

[Parsifal]

Io non formatterei.
Il trojan che hai preso è uno SPAMBOT che hai ricevuto con una mail (quelle che girano dell'avvocato che minaccia, oppure quelle di natale con l'allegato da eseguire).
Finisci di fare quanto ti ho detto e avrai risolto il problema.
Per quanto riguarda dopo, devi avere sempre l'antivirus aggiornato (kaspersky va bene), mantieni AVG-Antispyware ed eseguilo periodicamente, installa un firewall (anche Zone Alarm freeware) e fai attenzione agli allegati di mail, sopratutto se il mittente ti è sconosciuto.
Ciao e fammi sapere.

 

[Parsifal]

Io non formatterei.
Il trojan che hai preso è SPAMBOT che hai ricevuto con una mail (quelle che girano dell'avvocato che minaccia, oppure quelle di natale con l'allegato da eseguire).
Finisci di fare quanto ti ho detto e avrai risolto il problema.
Per quanto riguarda dopo, devi avere sempre l'antivirus aggiornato (kaspersky va bene), mantieni AVG-Antispyware ed eseguilo periodicamente, installa un firewall (in mancanza d'altro, anche Zone Alarm freeware) e fai attenzione agli allegati di mail, sopratutto se il mittente ti è sconosciuto.
Ciao e fammi sapere.

 

[djaykay]

trovati altri 3 dal Russo...
Ma il problema sarà come rievitare questo bordello?!!:mbe:

Un buon antivirus, magari non utilizzare Explorer (Opera o Firefox magari) ed avere un buon antivirus. Personalmente io utilizzo da svariati anni Kaspersky (non mi pagano per la loro pubblicità )e non ho mai avuto 1 virus sul pc (che usa anche mia sorella ed è una prova OTTIMA DIREI!!!)

 

[f.ree]

Che cavolo sta succedendo in questo Thread? Nelle sottoscrizioni mi indica che ci sono nuovi messaggi, poi vado sul Thread e nada de nada ho ancora il messaggio di ieri di Bryan....

 

[Gordon]

Caro Sasà, ovviamente già sai qual è la soluzione a tutti i tuoi problemi. Si chiama Apple Mac

 

[f.ree]

Adesso va di nuovo, scusate l'OT... Che ci sia un virus nel sito? erfido:

 

[guest_2102]

Nelle ultime versioni di NOD32, dalla 2.7 in su sono state implementate delle tecnologie specifiche per combattere i rootkit che, di solito, una volta entrati nel PC difficilmente si tolgono. Il problema di come prevenire è importante perchè non è solo la mail la sorgente di questi virus ma anche siti internet che utilizzano Java: ad esempio il virus/rootkit Agent.VP sfrutta proprio il java di alcuni siti web per installare un bel rootkit ad insaputa del proprietari.
E' quindi importante avere un buon antivirus (avast probabilmente fa il suo dovere ma da un prodotto gratuito non si può pretendere molto) che possibilmente non sia il Norton, disabilitare l'anteprima di Outlook express, non aprire mail con allegati provenienti da mittenti sconosciuti o provenienti da mittenti conosciuti ma con oggetto "strano" e contenuto strano (verificabile senza aprire il messaggio cliccando col tasto dx sulla mail,proprietà,dettagli, messaggio originale) e non andare su siti "poco" sicuri.
Se proprio non si può fare a meno di aprire mail sospette e visitare siti "strani" il consiglio è (ammesso che il pc sia di buon livello) utilizzare una macchina virtuale tipo la distribuzione Ubuntu che si scarica sul sito WMWare insieme a WMWare Player: è una soluzione gratuita e non comporta alcun rischio

 

[obiwankenobi]

Quoto tutto quanto detto da fdistasio, e in particolare

...e non andare su siti "poco" sicuri.

Questo è il miglior consiglio. Chi non lo segue lo fa a suo rischio e pericolo, cosciente di cosa potrebbe accadergli.

...utilizzare una macchina virtuale tipo la distribuzione Ubuntu che si scarica sul sito WMWare insieme a WMWare Player: è una soluzione gratuita e non comporta alcun rischio

Questo è un gran bel sistema da adottare, anche se presuppone un po' di know-how da parte dell'utente.
E ovviamente mancanza di pigrizia.

La stessa cosa (navigare sicuri) si può ottenere anche facendo il boot da CD (o penna USB, o altro del genere) con una distribuzione "live" di Linux, in modo che alla fine si possa semplicemente spegnere il PC e annullare tutto quanto.

Ma anche questo presuppone mancanza di pigrizia.
Che è proprio quello su cui fanno affidamento i "malvagi" nella giungla di Internet.

 

[sasadf]

Cmq tutto è nato da quando uno spammer ha postato un post qui su off topic ed io ingenuamente ho cliccato sul link dallo stesso fornito:boh:

Stavolta le mie visite ai siti dell'amico Rocco non c'entrano nulla:stordita:


cmq pare che tra il Russo e i consigli di Parsifal, oggi le zozzerie sian state tolte tutteerfido:
walk on
sasadf

 

[djaykay]

Alla fine "Vinciamo noi!"
Frase tratta dal film Armageddon, un attimo prima che Bruce Willis prema il pulsante per la detonazione dell'asteroide :lamer: :yeah: