[11] HiJackThis [Thread Ufficiale]

05-08-09 06:30

The Duccio The Duccio è offline

#1
05-08-09 06:30

Per vedere la parte precedente di questo thread clicca qui: http://forum.gamesvillage.it/showthread.php?t=717636

Per chi ancora non lo conoscesse, HiJackThis è un programma molto utile, che serve per l'eliminazione manuale dei malware presenti sul PC.
Scarica Hijackthis
Non necessita di installazione.
Scarica Hijackthis V2---->Installazione Necessaria
http://www.trendsecure.com/portal/en...kthis/download
(sarebbe meglio la v2, ma se non potete/volete installare il prg sulla macchina va bene anche la vecchia.)

Istruzioni per farsi analizzare un log
Prima di tutto, cercate di venirci incontro... se avete un ottimo antimalware, nessun problema al pc, un firewall e fate scansioni a tempi brevi non venite a postare il log, altrimenti non riusciamo a controllarli tutti e magari persone che hanno veramente dei problemi sono penalizzate. ;)
Postatelo solo se non fate mai scansioni, non siete protetti o avete dei problemi con il PC, se vi va tutto bene è inutile. ;)

- Il file deve essere salvato in una cartella apposita (non nei temporanei) e deve essere dizzippato.
- Avviate il programma e selezionate l'opzione "Do a system scan and save a log file".
- Selezionate il LOG dal file di testo e postatelo sempre sotto spoiler qui, per farvelo analizzare.
- Una volta che vi diremo le voci da fixare, dovrete spuntarle nella casellina all'inizio della voce e cliccare sul pulsante "fix checked" per procedere con l'eliminazione.

Analisi
Chiunque voglia offrire contributo per analizzare i log, sappia che:
- Devono essere analizzati bene e approfonditamente.
- Non deve avvalersi totalmente sugli analizzatori automatici, che possono servire solo ed unicamente da supporto di base per chi ancora non riesce ad effettuare bene l'analisi.
- Per i processi che non conoscete usate Google o siti specializzati come Process Library
- Per analizzare i processi in avvio che non si conoscono si può usare anche Castlecops

Note
- Cancellare un processo nocivo con HiJackThis non significa avere la sicurezza al 100% dell'eliminazione del malware. Consiglio comunque, una volta effettuato il fixaggio delle voci, di effettuare delle scansioni del PC con Spybot S&D. Aggiungo inoltre che sarebbe meglio scansionare anche con l'ottimo Malwarebytes Antimalware. Sarebbe inoltre opportuno ricorrere a tool come Prevx CSI nel caso i sopracitati programmi non trovino nulla ma si ha il sospetto di essere infetti; questa utility è free e non necessita di installazione
- Un altro tool utile in situazioni difficile è Avenger, anche se, come viene spiegato nel sito del produttore va usato insieme a script specifici differenti per ogni situazione
Le Scansioni In Modalità Provvisoria
Può accadere che un malware fixandolo dalla modalità di avvio normale non venga cancellato al riavvio nonostante tutte le precauzioni prese in precedenza (scansioni con vari programmi, disabilitare il ripristino configurazione di sistema ecc...). Ci può essere di aiuto avviare il pc in modalità provvisoria, un ambiente in cui di norma vengono caricate solo le cose essenziali per avviare il sistema operativo. In molti pc la modalità provvisoria si raggiunge premendo F8 all'avvio del pc dopo oppure se non si vuole perdere tempo c'è un altro metodo. Start-esegui-msconfig-ok-boot.ini-mettete il segno in safeboot-ok-riavviate. Il pc dovrebbe avviare il sistema operativo direttamente in modalità provvisoria. Dopo il fix provate a rimettere la normale togliendo il segno dalla voce e riavviando, x vedere se il malware se ne è andato.

- Per favore, chi effettua l'analisi scriva all'inizio a chi è rivolta, ad esempio con un:
@nomeutente:
in grassetto.
Quindi si prega di non quotare gli spoiler! Altrimenti la discussione si appesantisce!

- Non utilizzate HiJackThis dalla cartella dei file temporanei, ma solo in una dedicata, altrimenti non verranno tenuti i backup ed in caso di malfunzionamenti provocati dal programma non si potranno ripristinare le impostazioni antecedenti alle modifiche.

- Bug noti
Molte volte, HiJackThis identifica con "(file missing)" anche voci relative a processi che invece "missing" non lo sono proprio. Quindi attenzione ad analizzare il LOG. Se siete indecisi sul dire di fixare o no una determinata voce "(file missing)" ditelo chiaramente che così si evitano problemi spiacevoli.

- Info utili
Dopo ogni pulizia riavviate la macchina per vedere se vi sono ancora le tracce dei malware che avete fixato o comunque avete tentato di fixare.

Una bella pulita con Ccleaner non guasta mai; troppo spesso è sottovalutata ma dopo una pulizia di malware io userei questo programma per dare una fixatina al registro e togliere un pò di temp rimasti sulla macchina, specialmente se non è stata effettuata la pulizia da diverso tempo.

Ancora, utilizzate un buon programma di defrag per rimettere un pò in sesto il vostro hd; suggerisco le versioni trial di O&O Professional Defrag Tool o Perfect Disk.

Infine, secondo me una pulitina con la suite di jv16, i Power Tools, non farebbe male, ma andateci cauti se non sapete che fare, poichè questo è un insieme di programmi molto potenti, se fate danni al reg addio windows

Ultima cosa: siamo in cerca di nuovi collaboratori per analizzare i log postati. A causa della scuola e comunque di miei impegni vari sarò un pò assente dal foro. Chiunque abbia la voglia di contribuire prego posti pure la sua analisi, ma deve essere accurata e sicura. Se non siete sicuri di ciò che indicate ditelo prima, come già detto sopra.

Istruzioni Ver 2.1
3-2-2008
Istruzioni Ver 2.2
11-05-2008
Istruzioni Ver 2.3
21-02-2009

05-08-09 09:38

thekingmaster thekingmaster è offline

#2
05-08-09 09:38

@dups90: il log non è tanto incasinato. Ci sono poche voci sospette, tranne i file missing che sono tutti da eliminare.

Codice:

O9 - Extra button: PokerStars.it - {C4046502-6524-4d87-896C-878F57D1FF07} - C:\Program Files (x86)\PokerStars.IT\PokerStarsUpdate.exe
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: @dfsrres.dll,-101 (DFSR) - Unknown owner - C:\Windows\system32\DFSR.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\SLsvc.exe,-101 (slsvc) - Unknown owner - C:\Windows\system32\SLsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

@luckino: Prova con queste per ora.

Codice:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.trovarapido.com/?t=Q0907261654&s=h
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Windows AdStatus] C:\Program Files\Windows AdStatus\WinStat.exe
O4 - HKCU\..\Run: [dvmdu] "c:\documents and settings\user\impostazioni locali\dati applicazioni\dvmdu.exe" dvmdu
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SPYBOT~1\SDHelper.dll

05-08-09 11:53

lecter@

#3
05-08-09 11:53

riquoto il mio

Spoiler:

05-08-09 11:55

thekingmaster thekingmaster è offline

#4
05-08-09 11:55

Che problemi hai?

05-08-09 12:31

lecter@

#5
05-08-09 12:31

lentissimo all'avvio di xp ..ci mette anche 5 minuti a caricare tutto l'SO

volevo sapere se era possibile fixare qualcosa che rallentava il tutto

05-08-09 12:44

miki boss

#6
05-08-09 12:44

@ lecter@: Strano che il PC sia lento all'avvio dato che l'unico processo oneroso è il TeaTimer di SpyBot. L'unica in avvio che puoi tranquillamente fixare è questa:

Spoiler:

@ thekingmaster: Limita a far fixare unicamente le voci dannose o inutili. Vedo che continui ad indicare tra le voci da fixare anche voci relative a bottoni come quello di PokerStars.it o di SpyBot, che non sono da eliinare se non sotto richista dell'utente che posta il LOG. Attento ai file missing, tutti quelli che hai consigliato di fixare sono in realtà indispensabili per il sistema, tanto che anche effettuando un fix tali voci non verranno cancellate e torneranno al LOG successivo. Provare per credere.

05-08-09 12:45

thekingmaster thekingmaster è offline

#7
05-08-09 12:45

Allora, di sospetto hai niente, quindi dobbiamo vedere di togliere qualcosa di inutile.
Questo se non ti servono proxy.

Codice:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1

Questi BHO sono inutili.

Codice:

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Programmi\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

All'avvio possiamo togliere.

Codice:

O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programmi\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

Inoltre fixa questi.

Codice:

O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Programmi\Microsoft Office\Office12\GrooveSystemServices.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programmi\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Unknown owner - C:\Programmi\Java\jre6\bin\jqs.exe" -service -config "C:\Programmi\Java\jre6\lib\deploy\jqs\jqs.conf (file missing)
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Nero\Lib\NMIndexingService.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programmi\CyberLink\Shared files\RichVideo.exe

05-08-09 12:48

thekingmaster thekingmaster è offline

#8
05-08-09 12:48

miki boss

@ lecter@: Strano che il PC sia lento all'avvio dato che l'unico processo oneroso è il TeaTimer di SpyBot. L'unica in avvio che puoi tranquillamente fixare è questa:

Spoiler:

Perché deve levare il CCC? Se lo usa, non deve toglierlo.

05-08-09 12:56

miki boss

#9
05-08-09 12:56

@ thekingmaster: Deve togliere CLIStart.exe perchè lo può avviare in qualsiasi momento, in caso gli serva. All'avvio è inutile.

Spoiler:

Ribadisco che le voci che indichi non sono tutte da fixare. Eliminando un servizio come questo:

Spoiler:

Tale programma non funzionerà.

05-08-09 12:59

thekingmaster thekingmaster è offline

#10
05-08-09 12:59

miki boss

@ thekingmaster: Deve togliere CLIStart.exe perchè lo può avviare in qualsiasi momento, in caso gli serva. All'avvio è inutile.

Spoiler:

Ribadisco che le voci che indichi non sono tutte da fixare. Eliminando un servizio come questo:

Spoiler:

Tale programma non funzionerà.

Io l'ho fixato, e funziona perfettamente.

05-08-09 13:03

miki boss

#11
05-08-09 13:03

thekingmaster

Io l'ho fixato, e funziona perfettamente.

Prova ad effettuare un'altra scansione. Sono sicuro che sarà ancora li.

05-08-09 13:06

thekingmaster thekingmaster è offline

#12
05-08-09 13:06

Ero sicuro non ci fosse, per scrupolo l'ho rifatta e non c'è!

05-08-09 13:13

miki boss

#13
05-08-09 13:13

thekingmaster

Ero sicuro non ci fosse, per scrupolo l'ho rifatta e non c'è!

Mah...

Ok errore mio allora...

05-08-09 13:17

thekingmaster thekingmaster è offline

#14
05-08-09 13:17

Toh, eccoti anche la prova:

05-08-09 13:50

lecter@

#15
05-08-09 13:50

si il programma della ati non mi serve all'avvio quindi lo fixo

ma le altri voci sono sicure da fixare the king ?

Discussione: [11] HiJackThis [Thread Ufficiale]