[10] HiJackThis [Thread Ufficiale]

**The Duccio** · 22-02-2009 05:30:06

Per vedere la parte precedente di questo thread clicca qui: http://forumgamesradar.futuregamer.i...d.php?t=688273

Per chi ancora non lo conoscesse, HiJackThis è un programma molto utile, che serve per l'eliminazione manuale dei malware presenti sul PC.
Scarica Hijackthis
Non necessita di installazione.
Scarica Hijackthis V2---->Installazione Necessaria
http://www.trendsecure.com/portal/en...kthis/download
(sarebbe meglio la v2, ma se non potete/volete installare il prg sulla macchina va bene anche la vecchia.)

Istruzioni per farsi analizzare un log
Prima di tutto, cercate di venirci incontro... se avete un ottimo antimalware, nessun problema al pc, un firewall e fate scansioni a tempi brevi non venite a postare il log, altrimenti non riusciamo a controllarli tutti e magari persone che hanno veramente dei problemi sono penalizzate. ;)
Postatelo solo se non fate mai scansioni, non siete protetti o avete dei problemi con il PC, se vi va tutto bene è inutile. ;)

- Il file deve essere salvato in una cartella apposita (non nei temporanei) e deve essere dizzippato.
- Avviate il programma e selezionate l'opzione "Do a system scan and save a log file".
- Selezionate il LOG dal file di testo e postatelo sempre sotto spoiler qui, per farvelo analizzare.
- Una volta che vi diremo le voci da fixare, dovrete spuntarle nella casellina all'inizio della voce e cliccare sul pulsante "fix checked" per procedere con l'eliminazione.

Analisi
Chiunque voglia offrire contributo per analizzare i log, sappia che:
- Devono essere analizzati bene e approfonditamente.
- Non deve avvalersi totalmente sugli analizzatori automatici, che possono servire solo ed unicamente da supporto di base per chi ancora non riesce ad effettuare bene l'analisi.
- Per i processi che non conoscete usate Google o siti specializzati come Process Library
- Per analizzare i processi in avvio che non si conoscono si può usare anche Castlecops

Note
- Cancellare un processo nocivo con HiJackThis non significa avere la sicurezza al 100% dell'eliminazione del malware. Consiglio comunque, una volta effettuato il fixaggio delle voci, di effettuare delle scansioni del PC con Spybot S&D. Aggiungo inoltre che sarebbe meglio scansionare anche con l'ottimo Malwarebytes Antimalware. Sarebbe inoltre opportuno ricorrere a tool come Prevx CSI nel caso i sopracitati programmi non trovino nulla ma si ha il sospetto di essere infetti; questa utility è free e non necessita di installazione
- Un altro tool utile in situazioni difficile è Avenger, anche se, come viene spiegato nel sito del produttore va usato insieme a script specifici differenti per ogni situazione
Le Scansioni In Modalità Provvisoria
Può accadere che un malware fixandolo dalla modalità di avvio normale non venga cancellato al riavvio nonostante tutte le precauzioni prese in precedenza (scansioni con vari programmi, disabilitare il ripristino configurazione di sistema ecc...). Ci può essere di aiuto avviare il pc in modalità provvisoria, un ambiente in cui di norma vengono caricate solo le cose essenziali per avviare il sistema operativo. In molti pc la modalità provvisoria si raggiunge premendo F8 all'avvio del pc dopo oppure se non si vuole perdere tempo c'è un altro metodo. Start-esegui-msconfig-ok-boot.ini-mettete il segno in safeboot-ok-riavviate. Il pc dovrebbe avviare il sistema operativo direttamente in modalità provvisoria. Dopo il fix provate a rimettere la normale togliendo il segno dalla voce e riavviando, x vedere se il malware se ne è andato.

- Per favore, chi effettua l'analisi scriva all'inizio a chi è rivolta, ad esempio con un:
@nomeutente:
in grassetto.
Quindi si prega di non quotare gli spoiler! Altrimenti la discussione si appesantisce!

- Non utilizzate HiJackThis dalla cartella dei file temporanei, ma solo in una dedicata, altrimenti non verranno tenuti i backup ed in caso di malfunzionamenti provocati dal programma non si potranno ripristinare le impostazioni antecedenti alle modifiche.

- Bug noti
Molte volte, HiJackThis identifica con "(file missing)" anche voci relative a processi che invece "missing" non lo sono proprio. Quindi attenzione ad analizzare il LOG. Se siete indecisi sul dire di fixare o no una determinata voce "(file missing)" ditelo chiaramente che così si evitano problemi spiacevoli.

- Info utili
Dopo ogni pulizia riavviate la macchina per vedere se vi sono ancora le tracce dei malware che avete fixato o comunque avete tentato di fixare.

Una bella pulita con Ccleaner non guasta mai; troppo spesso è sottovalutata ma dopo una pulizia di malware io userei questo programma per dare una fixatina al registro e togliere un pò di temp rimasti sulla macchina, specialmente se non è stata effettuata la pulizia da diverso tempo.

Ancora, utilizzate un buon programma di defrag per rimettere un pò in sesto il vostro hd; suggerisco le versioni trial di O&O Professional Defrag Tool o Perfect Disk.

Infine, secondo me una pulitina con la suite di jv16, i Power Tools, non farebbe male, ma andateci cauti se non sapete che fare, poichè questo è un insieme di programmi molto potenti, se fate danni al reg addio windows

Ultima cosa: siamo in cerca di nuovi collaboratori per analizzare i log postati. A causa della scuola e comunque di miei impegni vari sarò un pò assente dal foro. Chiunque abbia la voglia di contribuire prego posti pure la sua analisi, ma deve essere accurata e sicura. Se non siete sicuri di ciò che indicate ditelo prima, come già detto sopra.

Istruzioni Ver 2.1
3-2-2008
Istruzioni Ver 2.2
11-05-2008
Istruzioni Ver 2.3
21-02-2009

**lecter@** · 22-02-2009 09:49:47

scusate se rompo ancora..ma mi ero dimenticato di mettere esegui come amministratore

quando avrete tempo ecco qua il log

Spoiler:

**FulValBot** · 22-02-2009 10:43:28

lecter@

scusate se rompo ancora..ma mi ero dimenticato di mettere esegui come amministratore

quando avrete tempo ecco qua il log

Spoiler:

scarica hijackthis 2.02 per prima cosa...

xkè l'altra versione non è per vista...

**miki boss** · 22-02-2009 11:47:05

@ Shock85: Queste sono le uniche due voci che puoi fixare:

Spoiler:

Considerando che in avvio hai giusto l'indispensabile non capisco come ci possano essere 62 processi attivi.

**Shock85** · 22-02-2009 11:52:59

miki boss

@ Shock85: Queste sono le uniche due voci che puoi fixare:

Spoiler:

Considerando che in avvio hai giusto l'indispensabile non capisco come ci possano essere 62 processi attivi.

Ok, grazie mille. Ora ne ho 60 guarda

**luckino** · 22-02-2009 13:28:26

miki puoi darmi una controllatina che mi sa che ho qualcosa?

il computer è più lento del solito

Spoiler:

c'è magari qualche processo inutile da eliminare?

**eracle91** · 22-02-2009 15:35:37

chiedo aiuto per il pc di mio zio, da qualche giorno gli va incredibilmente lento, anche l'adsl sembra morta... cos'ha che non va?

Spoiler:

**deelay** · 23-02-2009 13:57:33

Spoiler:

ho fatto l'analisi come amministratore e mi sono comparsi dei file missing che altrimenti non venivano fuori. Anyway cosa correggo?

**miki boss** · 23-02-2009 14:17:34

@ luckino: Puoi fixare queste:

Spoiler:

@ eracle91: Non ci sono malware, fixa:

Spoiler:

@ deelay: Il tuo LOG va bene così.

**deelay** · 23-02-2009 14:39:15

miki boss

@ deelay: Il tuo LOG va bene così.

ah bene, è inutile allora fare l'analisi come amministratore? perchè stavo iniziando a imparare anche io a sistemare il log ma non l'avevo mai fatta così l'analisi

**miki boss** · 23-02-2009 15:01:32

deelay

ah bene, è inutile allora fare l'analisi come amministratore? perchè stavo iniziando a imparare anche io a sistemare il log ma non l'avevo mai fatta così l'analisi

L'analisi la puoi eseguire da amministratore, però nel tuo caso non c'è proprio nulla da correggere, a parte qualche voce in avvio che puoi comunque tenere tranquillamente.

**Sjmo_00** · 23-02-2009 16:55:46

Qualcuno che può dare un'occhiatina a questo? Grazie in anticipo. ^^

Spoiler:

**eracle91** · 23-02-2009 18:30:17

grazie miki
vediamo se si risolve qualcosa

**Dark-Mark69** · 25-02-2009 20:05:42

che posso fixare??

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20.03.00, on 25/02/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\cisvc.exe
C:\Programmi\COMODO\Firewall\cmdagent.exe
C:\Programmi\PrevxCSI\prevxcsi.exe
C:\Programmi\Windows Live\Family Safety\fsssvc.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe
C:\Programmi\PrevxCSI\prevxcsi.exe
C:\Programmi\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\TUProgSt.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\System32\alg.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\COMODO\Firewall\cfp.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programmi\Netlog 24\Notifier\Netlog24Notifier.exe
C:\Programmi\LClock\LClock.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Stardock\ObjectDock\ObjectDock.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Registry Mechanic\RegMech.exe
C:\Programmi\Spyware Doctor\pctsGui.exe
C:\Programmi\Spyware Doctor\pctsAuxs.exe
C:\Programmi\Spyware Doctor\pctsSvc.exe
C:\Programmi\Spyware Doctor\pctsTray.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir...ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C

7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Family Safety Browser Helper - {4f3ed5cd-0726-42a9-87f5-d13f3d2976ac} - C:\Programmi\Windows Live\Family Safety\fssbho.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre6\bin\ssv.dll
O2 - BHO: Guida per l'accesso a Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl Class - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Programmi\DAEMON Tools Toolbar\DTToolbar.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [COMODO Firewall Pro] "C:\Programmi\COMODO\Firewall\cfp.exe" -s
O4 - HKLM\..\Run: [amd_dc_opt] "C:\Programmi\AMD\amd_dc_opt\amd_dc_opt.exe"
O4 - HKLM\..\Run: [C6501Sound] RunDll32 c6501.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [ISTray] "C:\Programmi\Spyware Doctor\pctsTray.exe"
O4 - HKCU\..\Run: [Netlog 24] "C:\Programmi\Netlog 24\Notifier\Netlog24Notifier.exe"
O4 - HKCU\..\Run: [LClock] C:\Programmi\LClock\LClock.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Stardock ObjectDock.lnk = C:\Programmi\Stardock\ObjectDock\ObjectDock.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Invia a &Bluetooth - C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie_ctx.htm
O9 - Extra button: Inserisci blog - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: Inserisci &blog in Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programmi\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O15 - ESC Trusted Zone: http://*.update.microsoft.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{434483F9-E782-4F35-A38B-8BA41916FFC2}: NameServer = 85.37.17.50 85.38.28.76
O17 - HKLM\System\CS1\Services\Tcpip\..\{3020B003-7BC3-4EC8-98E0-39D3AC25A190}: NameServer = 208.67.222.222,208.67.220.220
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll
O20 - Winlogon Notify: !SASWinLogon - C:\Programmi\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programmi\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programmi\File comuni\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Unknown owner - C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe (file missing)
O23 - Service: COMODO Firewall Pro Helper Service (cmdAgent) - COMODO - C:\Programmi\COMODO\Firewall\cmdagent.exe
O23 - Service: CSIScanner - Prevx - C:\Programmi\PrevxCSI\prevxcsi.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programmi\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Programmi\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Programmi\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programmi\File comuni\Nero\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programmi\CyberLink\Shared files\RichVideo.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programmi\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programmi\Spyware Doctor\pctsSvc.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\File comuni\PCSuite\Services\ServiceLayer.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programmi\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: TuneUp Drive Defrag Service (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe
O23 - Service: UPnPService - Magix AG - C:\Programmi\File comuni\MAGIX Shared\UPnPService\UPnPService.exe

**FulValBot** · 25-02-2009 20:06:42

spoiler pls

Discussione: [10] HiJackThis [Thread Ufficiale]

Strumenti Discussione

[10] HiJackThis [Thread Ufficiale]

Regole di Scrittura