Durante la navigazione ogni tanto mi si apre una nuova finestra, su siti commerciali sempre diversi.
Il mio antivirus, Trend Micro, non rileva niente  che faccio?

[trojan-dropper.win32.agent.abky]

Ho scannerizzato con Kaspersky Online e me l'ha trovato.
Il virus è questo:
 trojan-dropper.win32.agent.abky

ma ancora non ha il tool di rimozione su Kaspersky.
Su internet ho trovato
http://research.sunbelt-software.com/threatdisplay.aspx?name=Trojan-Dropper.Win32.Agent.abky&threatid=4056702
e
http://www.threatexpert.com/report.aspx?md5=70e2d098d957bd91d9b5e7253ee7cbcb
ma non so bene che fare.

Dei due file infetti, dal report dello scan con Kasperksy, non si legge tutta la path e non so se posso eliminarli, riporto quello che riesco a leggere
C:\System Volume Information\_restore{50ADA041-56D7-4455-A6A3...

[disattiva la messaggistica immediata di windows]

Ciao sakdi


nulla, dovresti  eseguire le solite procedure che si fanno in questi casi da quel che dici sembrano le classiche finestre popup causate da qualche schifezza

intanto per essere certi che si tratti di popup pubblibitari disattiva la messaggistica immediata di windows e cioè questi avvisi fastidiosi e inutili allarmanti e spesso del tutto infondati

leggi qui come si fà ( cosi vedi di cosa parlo)

Come disattivare il servizio di Messaggistica Immediata
http://www.dotnethell.it/tips/DisableMessengerService.aspx


e dopo x stare tranquillo segui queste procedure

(questa procedura se viene applicata interamente , rispettando l'ordine di esecuzione e seguendo le modalità descritte,  rimuove la maggior parte dei virus



1) inizia con il disattivare il ripristino di configurazione di sistema (questo perchè i virus si nascondono spesso nei punti di ripristino) ,

da pannello di controllo -->clic su icona   sistema --> clic sul tab Ripristino configurazione di sistema --> metti il flag nella casella che disattiva il ripristino --> clic su ok


quindi spegni e riaccendi il pc ,  questa volta però accendilo in modalità provvisoria (premi  F8 )

2) da modalità provvisoria  esegui una scansione completa con il tuo antivirus (aggiornato) elimina tutto ciò che riesci

terminata la scansione riavvia in modalità normale

3) a questo punto , scarica questo Malwarebytes Anti-Malware

lo trovi qui  http://www.malwarebytes.org

appena lo avrai installato dovrai aggiornare il database cliccando su aggiornamenti
dopo avvia la scansione COMPLETA e rimuovi eventuali infezioni che trova senza mettere nulla in quarantena


4) adesso è la volta di Hijack This
http://www.trendsecure.com/portal/en-US/tools/security_tools /hijackthis/download


Scarica HijackThis 2.0.2
Apri il programma HijackThis
Fai click sul pulsante "Do a System scan and save a logfile"
verrà visualizzato un file txt, che poi sarebbe il report dei risultati della scansione

Per l'interpretazione del log copialo  e incollalo qui nel forum

ti diremo noi cosa eliminare


Il LOG di HijackThis va ottenuto in modalità normale  altrimenti i problemi non compariranno nella lista.

HijackThis va eseguito in Modalità Provvisoria, solo per rimuovere i problemi.
Ottima Guida a Hijack This 2


5) dopo l'analisi con Hijack This, x maggior  sicurezza fai una scansione on line con l'ottimo Kapersky

Kaspersky - http://www.kaspersky.com/virusscanner

dovrai accettare di scaricare un activex ma è del tutto normale

6) quando hai terminato le varie operazioni , ripulisci tutto con ccleaner
http://www.ccleaner.com

Guida completa Ccleaner
http://www.assistenzafree.com/guide/software/ccleaner.html

al termine  riattiva il ripristino di configurazione sistema ( sempre se lo usi )

il virus nel file
C:\System Volume Information\_restore{50ADA041-56D7-4455-A6A3...

lo elimini disattivando il ripristino di configurazione spegni e riaccendi

siccome stà nei punti di ripristino eliminandoli elimini anche lui
e segui le procedure

ah ... cambia antivirus 

il responso di hijack:

Codice:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:38:40, on 03/02/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Acer\Empowering Technology\admServ.exe
C:\Programmi\Java\jre6\bin\jqs.exe
C:\Programmi\File comuni\LightScribe\LSSrvc.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\HPZipm12.exe
C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
C:\Programmi\Trend Micro\Internet Security\SfCtlCom.exe
C:\Programmi\Trend Micro\BM\TMBMSRV.exe
C:\Programmi\Trend Micro\Internet Security\UfSeAgnt.exe
C:\WINDOWS\Explorer.EXE
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\WINDOWS\system32\ctfmon.exe
C:\documents and settings\utente\impostazioni locali\dati applicazioni\wmetkb.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\system32\igfxext.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe
C:\Programmi\Trend Micro\Internet Security\TmProxy.exe
C:\Documents and Settings\Utente\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://it.rd.yahoo.com/customize/ycomp/defaults/sp/*http://it.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://it.rd.yahoo.com/customize/ycomp/defaults/su/*http://it.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: Yahoo! Toolbar con blocco Pop-Up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre6\bin\ssv.dll
O2 - BHO: QUICKfind BHO Object - {C08DF07A-3E49-4E25-9AB0-D3882835F153} - C:\Programmi\IDM\QUICKfind\PlugIns\IEHelp.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\WINDOWS\system32\eDStoolbar.dll
O4 - HKLM\..\Run: [UfSeAgnt.exe] "C:\Programmi\Trend Micro\Internet Security\UfSeAgnt.exe"
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [Acer ePower Management] C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe boot
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [wmetkb] "c:\documents and settings\utente\impostazioni locali\dati applicazioni\wmetkb.exe" wmetkb
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1221040222062
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: AdminWorks Agent X6 (AWService) - Avocent Inc. - C:\Acer\Empowering Technology\admServ.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programmi\File comuni\LightScribe\LSSrvc.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programmi\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programmi\WinPcap\rpcapd.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programmi\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Componente Central Control Trend Micro (SfCtlCom) - Trend Micro Inc. - C:\Programmi\Trend Micro\Internet Security\SfCtlCom.exe
O23 - Service: Trend Micro Unauthorized Change Prevention Service (TMBMServer) - Trend Micro Inc. - C:\Programmi\Trend Micro\BM\TMBMSRV.exe
O23 - Service: Trend Micro Personal Firewall (TmPfw) - Trend Micro Inc. - C:\PROGRA~1\TRENDM~1\INTERN~1\TmPfw.exe
O23 - Service: Trend Micro Proxy Service (tmproxy) - Trend Micro Inc. - C:\Programmi\Trend Micro\Internet Security\TmProxy.exe

--
End of file - 7095 bytes

ah la scansione in modalità provvisria col mio antivirus (tm) ha trovato e cancellat 3 virus.

Malwarebytes Anti-Malware non ha rilevato niente.

venendo qua a postare, però, mi ha fatto di nuovo lo scherzetto. 

[fix cheched (elimina queste)]

molto strano che hijack non rilevi l'antivirus della trebd micro che è lo stesso produttore di hijack


Sembra che voi non abbiate un antivirus, o che non lo abbiate attivato. Solo un antivirus può proteggervi dai nuovi virus.


fix cheched (elimina queste)

C:\documents and settings\utente\impostazioni locali\dati applicazioni\wmetkb.exe

O4 - HKCU\..\Run: [wmetkb] "c:\documents and settings\utente\impostazioni locali\dati applicazioni\wmetkb.exe" wmetkb


appena ho tempo analizzo il log + in profondità, per adesso elimina le voci indicate e prosegui con le scansioni

fatto. kav non mi ha rilevato niente stavolta.
mentre da quando ho eliminato quello che mi rilevato hijack che mi hai detto tu, sembra tornato ttutto normale.
adesso mi rimane una pulizia con ccleaner.
forte però!
bravo scramb! 

[PS]

bravo tu sakdi, il lavoro grosso lo hai fatto tu  comunque tienilo d'occhio

PS:prima di usare Ccleaner , vai in opzioni-->avanzate e togli la spunta da:
(elimina file di windows solo se piu vecchi di 48 ore)

conferma e procedi

l'analisi approfondita del log di hijack non ha evidenziato nulla di pericoloso 

solo una paio cosa da verificare tanto x stare tranquilli

e cioè: ti risulta di avere installato questa applicazione?

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) -
CACE Technologies - C:\Programmi\WinPcap\rpcapd.exe

hijack non ha dato nessun risultato ( nessuno risultato intendo che ha lasciato lo spazio vuoto),ho verificato di cosa si tratta e non è un virus

ha anche un sito http://www.winpcap.org/

però potrebbe essere semplicemente una tua installazione e in quel caso  ignora quello che stai leggendo

x vedere di cosa si tratta

Rpcapd o rpcapd.exe
http://www.parlandosparlando.com/view.php/id_1027/lingua_0/whoisit_1

e cioè: ti risulta di avere installato questa applicazione?

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) -
CACE Technologies - C:\Programmi\WinPcap\rpcapd.exe

non so proprio che cosa sia.  se è una roba inutile la tolgo, senno la lascio. ho letto i link ma non ho capito a cosa serve.

[però, prima di fare qualsiasi cosa vorrei sentire il parere di admin]

Sei  sicuro? non vorrei che eliminandolo avessi dei problemi con altre applicazioni che magari ne richiedono l'uso

te l'ho chiesto perchè leggendo in altri Forum , ho visto che questa voce viene fatta  eliminare dal report di Hijack da vari mod sicuramente molto preparati

però, prima di fare qualsiasi cosa vorrei sentire il parere di admin gli scrivo di  dare uno sguardo a questa cosa ok?


questo è ciò che riporta il sito http://www.parlandosparlando.com/view.php/id_1027/lingua_0/whoisit_1

Questo e' un programma valido che e' richiesto di eseguire all'avvio o su richiesta di altri programmi.
Non si tratta di un servizio essenziale per il buon funzionamento del sistema operativo, ma e' necessario per i programmi che ne fanno richiesta.


Se si desidera utilizzare questo servizio, ma non si vuole che si avvii in automatico all'avvio del computer, impostarlo su manuale: cosi' si avviera' solo quando necessario.

Se non lo si desidera utilizzare, ma si vogliono vedere gli eventuali effetti sugli altri programmi, e' possibile impostare su disabilitarlo:

se si disabilita, i programmi che ne richiedono l'uso quasi certamente non funzioneranno piu' correttamente. In questo caso si valutera' se il programma che ne necessita dell'uso sia necessario o meno.


Se, invece, si decide proprio di disinstallarlo, occorre, allora, disinstallare il programma WinPCap, tramite il suo Uninstall.exe presente nella cartella del programma stesso (%Programmi%\WinPcap), e tutti gli altri programmi che richiedano l'uso di questo servizio.

bo no so cosa sia, veramente. a quanto mi riporti però, avevo letto anch'io, mi pare che bisogna essere prudenti prima toglierlo. specialmente se non si sa bene con quale programma è associato.
cosa faccia però non l'ho ancora capito.
aspettiamo che il buon admin ci illumini .

[wmetkb.exe]

Ciao Sakdi,

Da quel che ho letto WinPcap non è un virus ma è un programma regolare , quindi non è da fixare.
C'è anche il sito ufficiale
http://www.winpcap.org/

Quoto scrambler la causa principale dei pop-up è wmetkb.exe che ti ha già fatto fixare.

grazie admin.
questo più o meno l'avevamo pensato anche io e scrambler. ci chiedevamo se valeva la pena tenerlo su o meno. comunque il problema è stato risolto quando ho fixato il wmetkb.exe e non si è piu presentato.
grazie.

Se te lo stai chiedendo probabilmente non ti serve 

...ci chiedevamo se valeva la pena tenerlo su o meno...

Guarda sinceramente non so neanche io a cosa serva precisamente

Da quello che ho capito WinPcap è una sorta di software avanzato di rete.

A cosa serve un programma del genere? Non lo so,  a me non serve eppure "di robe fighe" ne faccio con il pc

A chi può servire? probabilmente a qualche sistemista per effettuare operazioni o controlli avanzati sulla rete

oppure non lo so..non ho la palla di vetro! per diamine toglilo e buonanotte se poi un giorno ti serve mi odierai a morte perché ti ho fatto perdere 3 minuti per reinstallarlo e 55 ore per riconfigurarlo, ma visto che non sei sistemista dovresti odiarmi solo per 3 minuti. 

A parte gli scherzi io consiglio sempre un approccio minimalista verso il pc, tutto ciò che non serve è meglio rimuoverlo. Ovviamente do per scontato che il pc è utilizzato solo da te e non si tratta di un computer di un'azienda o di lavoro.

[Tags:]

Salta a: Seleziona una destinazione: ----------------------------- Risoluzione problemi computer ----------------------------- => Benvenuto => Domande & Risposte ===> Gmail => Quesiti Risolti => Linux => Off Topic ----------------------------- Passione Informatica ----------------------------- => Hardware => Il tuo blog ----------------------------- Pc Medical Center ----------------------------- => Domande Pre-Vendita => Assistenza e Post-Vendita => Richieste ----------------------------- Contatto ----------------------------- => News => Sondaggi ----------------------------- Sviluppo Assistenzafree ----------------------------- => Bugs => Idee e Progetti => Gruppo di Lavoro