Hardware Tweakers

Ciao ragazzi,
ho un grande problema e necessito urgentemente del vostro aiuto, ieri sera dopo essere uscito di casa ho lasciato il comp acceso, e senza disconnettermi sono tornato alla schermata degli utenti di win xp (quella che c'è sempre all'accensione per chi ha più di un utente)...quando dopo un paio d'ore sono rientrato ho provato ad accedere nel mio account ma non mi riconosceva più la passw, allora ho tentato di entrare con l'altro utente (che non ha la passw) e mi chiedeva di inserire la passw! quindi mi sono inc...e ho spento tutto!
Questa mattina accendo il comp e mi esce una serie di finestre strane, dopo una serie di tentativi nel farmi riconoscere la passw sono riuscito ad entrare e pochi secondi dopo è apparsa sullo schermo una finestra di MS-DOS con questa intestazione:
C:\windows\sistem32\cmd.exe
penso che qualcuno mi stia spiando...! voi che ne dite?

ma sei senza firewall ? la tua ipotesi potrebbe essere giusta

:sad:

pova a scaricare questo

http://hijackthis.de/hijackthis_198.zip


se non te lo lascia eseguire, mettilo su floppy e lancialo da modalita provvisoria


facci sapere



wasky

Me lo fa partire ma non ci capisco nulla!!!!!

:shock: posta il result qui della scansione di hijack


wasky

e come faccio....? non posso copiare e incollare nulla!

non l'ho mai usato, ma credo che lasci salvare un log


cmq vai un attimo in

start ----> esegui ----> msconfig -----> avvio e togli la spunta a cmd.exe


wasky

no, non c'è da nessuna parte cmd.exe

ecco qui:

Logfile of HijackThis v1.99.1
Scan saved at 16.40.27, on 25/01/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
C:\Programmi\Trust\3010A WIRELESS DESKSET\Keyboard\kbdap32a.EXE
C:\Programmi\Trust\3010A WIRELESS DESKSET\Mouse\mouse32a.exe
C:\WINDOWS\System32\winupdate.exe
C:\Programmi\File comuni\Totem Shared\Uninstall0001\upd.exe
C:\WINDOWS\System32\rundll32.exe
C:\Programmi\D-Tools\daemon.exe
C:\Programmi\MediaGateway\MediaGateway.exe
C:\WINDOWS\System32\ehpc.exe
C:\WINDOWS\System32\rundll32.exe
C:\windows\winsysban2.exe
C:\WINDOWS\System32\winupdate.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\UGFl\command.exe
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Programmi\Network Monitor\netmon.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\WINDOWS\system32\cmd.exe
C:\Programmi\Microsoft Office\Office10\POWERPNT.EXE
C:\Utility\HijackThis.exe
C:\WINDOWS\msagent\AgentSvr.exe
C:\Programmi\Mozilla Firefox\firefox.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Gaetano\IMPOST~1\Temp\se.dll/sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Gaetano\IMPOST~1\Temp\se.dll/sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: ATLDistrib Object - {83A5F7B7-DC75-44CE-9195-264F41709FA9} - C:\WINDOWS\System32\efecy.dll
O2 - BHO: (no name) - {9FBEB1C2-5440-402D-A9C3-98FA353939EB} - C:\WINDOWS\System32\ljnjhb.dll
O2 - BHO: (no name) - {EA32FB3B-21C9-42cc-B8EF-01A9B28EDB0D} - C:\WINDOWS\System32\oppop.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programmi\MSN Toolbar\01.01.2607.0\it\msntb.dll
O3 - Toolbar: UCmore XP - The Search Accelerator - {44BE0690-5429-47f0-85BB-3FFD8020233E} - C:\Programmi\TheSearchAccelerator\UCMTSAIE.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [OFFICEKB] C:\Programmi\Trust\3010A WIRELESS DESKSET\Keyboard\kbdap32a.EXE
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Programmi\Trust\3010A WIRELESS DESKSET\Mouse\mouse32a.exe
O4 - HKLM\..\Run: [Windows Update] winupdate.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Uninstall0001] "C:\Programmi\File comuni\Totem Shared\Uninstall0001\upd.exe" LASTCALL!adverts.virtuagirl.com!StatsVirtuaGirl
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ist service uninstall] C:\WINDOWS\msstasks.exe /u
O4 - HKLM\..\Run: [sp] rundll32 C:\DOCUME~1\Tania\IMPOST~1\Temp\se.dll,DllInstall
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programmi\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [MediaGateway] C:\Programmi\MediaGateway\MediaGateway.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Windows ASN3 Services] ehpc.exe
O4 - HKLM\..\Run: [WinDLL (vdm32.dll)] rundll32.exe C:\WINDOWS\System32\vdm32.dll,start
O4 - HKLM\..\Run: [winsysupd] C:\windows\winsysupd2.exe
O4 - HKLM\..\Run: [winsysban] C:\windows\winsysban2.exe
O4 - HKLM\..\Run: [myupdates] c:\windows\myupdates.exe
O4 - HKLM\..\RunServices: [Windows Update] winupdate.exe
O4 - HKLM\..\RunServices: [Windows ASN3 Services] ehpc.exe
O4 - HKCU\..\Run: [Windows Update] winupdate.exe
O4 - HKCU\..\Run: [Ubto] C:\Documents and Settings\Gaetano\Dati applicazioni\dowa.exe
O4 - HKCU\..\Run: [SpyKiller] C:\Programmi\SpyKiller\spykiller.exe /startup
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk = C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Apri immagine in &Microsoft PhotoDraw - res://C:\PROGRA~1\MICROS~2\Office\1040\phdintl.dll/phdContext.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.tiscali.it
O16 - DPF: {04E214E5-63AF-4236-83C6-A7ADCBF9BD02} (HouseCall Control) - http://housecall60.trendmicro.com/housecall/xscan60.cab
O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\MAIN.MHT!http://d.dialer2004.com//indigo/main.chm::/load.exe
O16 - DPF: {11111111-1111-1111-1111-111111111123} - file://c:\windows\win.exe
O16 - DPF: {11111111-1111-1111-1111-111111111157} - ms-its:mhtml:file://c:\nosuch.mht!http://cashsearch.biz/legal/x.chm::/load.exe
O16 - DPF: {8699D723-6DC6-47D3-B55C-489BA006B917} - http://www.nicole20.cc/it/webinstall.cab
O16 - DPF: {8FCDF9D9-A28B-480F-8C3D-581F119A8AB8} (MediaGatewayX) - http://static.zangocash.com/cab/180solu ... e-c266.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game15.zylomgames.com/activex/zy ... player.cab
O16 - DPF: {C81B5180-AFD1-41A3-97E1-99E8D254DB98} (CSS Web Installer Class) - http://www.commandondemand.com/eval/cod/cabs/cssweb.cab
O16 - DPF: {F57D17AE-CE37-4BC8-B232-EA57747BE5E7} - http://www.real-euros.com/EPlugin_IT.cab
O18 - Filter: text/html - {3D85A236-F365-4CEE-91A6-D47DF75262F4} - C:\WINDOWS\System32\ljnjhb.dll
O18 - Filter: text/plain - {3D85A236-F365-4CEE-91A6-D47DF75262F4} - C:\WINDOWS\System32\ljnjhb.dll
O20 - Winlogon Notify: efecy - C:\WINDOWS\System32\efecy.dll
O20 - Winlogon Notify: oppop - C:\WINDOWS\SYSTEM32\oppop.dll
O21 - SSODL: System - {7760882E-0DAA-4F38-9FAA-5979C8D3EDB2} - C:\WINDOWS\system32\system32.dll (file missing)
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\UGFl\command.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: Network Monitor - Unknown owner - C:\Programmi\Network Monitor\netmon.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

hai un bel pò di schifezze su quel pc...
incolla il log di hijackthis in questa pagina e fixa tutto quello che ti indica in rosso.

ahuahuhuahauhauha....e lo so....! dovrei formattare...ma non ci riesco e poi ho cose tr importanti che non posso cancellare!
ora faccio come mi hai detto!

immagginavo , fantomax sei stato anche troppo buono

hai un botto di robba da Fixare, segui il link di fantomax




porco boia :sad:



wasky

l'ho fatto ma alcuni non me li elimina lo stesso!!!!!
poi ho riavviato e la finestra è riaparsa comunque

back-up dati e formattone brutale


cmq vai su start ------------> esegui ------> regedit ------> e da modifica fai un search con cmd.exe


fai uno stamp del risultato della ricerca e postalo


strano che non è in menu avvio, hijack lo vede


quali sono quelli che non ti fà eliminare ?


wasky

trovato, sotto dati c'è scritto:

processore dei comandi di windows

non mi fa eliminare un certo command.exe (che ho provato a cercare manualmente ma pare che non esista nememno come file nascosto)
e poi un oppop.dll che non posso eliminare xchè dice di dessere in esecuzione