PDA

Visualizza versione completa : editor registro sistema ..aiuto


claudia
02-05-2004, 19.30.11
salve spero che qualcuno mi possa aiutere . Ho winxp se eseguo regedit.exe mi appare un avviso che dice che l'editor stato disabilitato ....ma io non ho mai fatto una cosa del genere e comunque adesso qualcuno sa dirmi come posso fare per riabilitarlo grazie claudia

davlak
02-05-2004, 19.41.10
Benvenuta (D)
Intanto controlla che non si tratti di questo:

http://www.wintricks.it/forum/showthread.php?s=&threadid=59714&highlight=swen

Nel frattempo scarica:

http://www.spywareinfo.com/~merijn/files/HijackThis.exe

lancialo e posta il LOG della scansione.

claudia
02-05-2004, 20.01.56
si lo stesso problema

claudia
02-05-2004, 20.13.47
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\System32\carpserv.exe
C:\Programmi\Apoint2K\Apoint.exe
C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
C:\WINDOWS\System32\GSICON.EXE
C:\WINDOWS\System32\dslagent.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\Apoint2K\Apntex.exe
C:\Programmi\Norton AntiVirus\navapsvc.exe
D:\PROGRA~1\INCRED~1\bin\IMAPP.EXE
C:\Programmi\Internet Explorer\iexplore.exe
C:\Documents and Settings\gio\Impostazioni locali\Temporary Internet Files\Content.IE5\OWDNWGXI\HijackThis[1].exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://global.acer.com/
R3 - URLSearchHook: IncrediFindBHO Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL (file missing)
O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O2 - BHO: (no name) - {00000EF1-0786-4633-87C6-1AA7A44296DA} - (no file)
O2 - BHO: (no name) - {000020DD-C72E-4113-AF77-DD56626C6C42} - (no file)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Zero Popup - {2EF37A01-884F-11d5-AC99-B112050ECB4F} - C:\PROGRA~1\ZEROPO~1\HTMLEdit.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NavErrRedir Class - {5D60FF48-95BE-4956-B4C6-6BB168A70310} - C:\PROGRA~1\INCRED~1\BHO\INCFIN~1.DLL (file missing)
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programmi\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [Apoint] C:\Programmi\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtaET2S.EXE
O4 - HKLM\..\Run: [GSICONEXE] GSICON.EXE
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Programmi\File comuni\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [alchem] C:\WINDOWS\alchem.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [IncrediMail] D:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - D:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://global.acer.com/
O16 - DPF: {00000EF1-0786-4633-87C6-1AA7A44296DA} - http://www.addictivetechnologies.net/DM0/cab/qh8crrl.cab
O16 - DPF: {1F831FA9-42FC-11D4-95A6-0080AD30DCE1} (InstaFred) - file://D:\autocad\InstFred.ocx
O16 - DPF: {AE563729-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - file://D:\autocad\InstBanr.ocx
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents/setup/downloader/imloader.cab
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (Controllo AcPreview) - file://D:\autocad\AcPreview.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{23BEFEA9-6B4D-402F-A6C4-726C9C64F162}: NameServer = 62.211.69.150 212.48.4.15

davlak
02-05-2004, 20.14.27
usa questo:

http://download.nai.com/products/mcafee-avert/stinger.exe

claudia
02-05-2004, 20.31.21
l'ho usatoma non ha rilevato nulla e il problema persiste sono demoralizzata

davlak
02-05-2004, 20.45.15
Originariamente inviato da claudia
l'ho usatoma non ha rilevato nulla e il problema persiste sono demoralizzata
scusa ma mi era sfuggita una cosa nel tuo log:

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol
icies\System, DisableRegedit=1

Non ricordo se lo SWEN faccia questo scherzetto, sei sicura che nessuno abbia messo mano al tuo PC?

claudia
02-05-2004, 20.47.43
no nessuno ne sono sicura

davlak
02-05-2004, 20.48.24
ecco, cercavo questo e l'ho trovato:

http://www.winguides.com/downloads/unlock.reg

scaricalo e prova a fare doppio clic sul .reg

davlak
02-05-2004, 20.55.23
trovato un altro:

O4 - HKLM\..\Run: [alchem] C:\WINDOWS\alchem.exe

un trojan, devi rimuoverlo dall'esecuzione automatica e poi dalla cartella di Windows, il problema che bisogna avviare regedit.

claudia
02-05-2004, 20.57.14
niente da sempre la stessa risposta

davlak
02-05-2004, 21.02.39
Allora, seguimi bene:

crea una cartella sdat in C:\ e scaricaci dentro questo:

ftp://ftp.nai.com//CommonUpdater/sdat4355.exe

dentro la stessa cartella scompattaci anche questo file:

http://www.wintricks.it/forum/attachment.php?s=&postid=613820

poi fai start > esegui > cmd e dai questi comandi, ognuno seguito da invio:

cd \
cd sdat4355 /e (qui devi aspettare circa 20 secondi)
exit

ora, disattiva il norton, vai nella cartella sdat e lancia scangui.exe

attiva le seguenti opzioni e lancia la scansione.

claudia
02-05-2004, 21.05.40
ho eliminato alchem da windows ma il problema persiste

davlak
02-05-2004, 21.06.24
segui le istruzioni al post precedente ;)

claudia
02-05-2004, 21.16.13
ftp://ftp.nai.com//CommonUpdater/sdat4355.exe mi dice che impossibile trovare il server

davlak
02-05-2004, 21.24.12
Originariamente inviato da claudia
ftp://ftp.nai.com//CommonUpdater/sdat4355.exe mi dice che impossibile trovare il server
e ciai ragione pure tu :D perch nel frattempo l'hanno aggiornato e ora il link corretto :

ftp://ftp.nai.com//CommonUpdater/sdat4356.exe

claudia
02-05-2004, 21.53.52
non riesco ascompattare scangui.rar sig sig

davlak
02-05-2004, 21.57.49
Usa questo (http://davlak.altervista.org/files/scangui.exe)
Non c' bisogno di scompattarlo, ti link l'exe.
Se non riesci a scaricarlo fai clic destro sul link e Salva Oggetto con nome...

claudia
02-05-2004, 22.15.17
non funziona credo di aver fatto qualche casino C:\DOCUME~1\gio\IMPOST~1\Temp\scan.txt non lo trova

davlak
02-05-2004, 22.18.48
Originariamente inviato da claudia
non funziona credo di aver fatto qualche casino C:\DOCUME~1\gio\IMPOST~1\Temp\scan.txt non lo trova
se guardi lo screenshot ti avevo indicato di dargli il percorso C:\scan.txt

claudia
02-05-2004, 22.24.09
fatto ma non lo trova system error code 0x2 impossibile trovare il file sono un disastrooooooo

davlak
02-05-2004, 22.27.20
crea un file di testo in c:\ e chiamalo scan.txt
e anche una cartella vuota, sempre in c:\ e chiamala quarantine

claudia
02-05-2004, 22.43.35
ho fatto tutto ma non va ...se formatto forse faccio prima

davlak
02-05-2004, 23.02.32
prova cos: con HijackThis elimina (fix) questa voce

O4 - HKLM\..\Run: [alchem] C:\WINDOWS\alchem.exe

e verifica che non ci sia pi alchem.exe in c:\windows

poi riavvia e riprova con lo scangui.exe ma prima ricordati di disattivare il Norton.

claudia
02-05-2004, 23.07.10
fattooooooooooooooooooooooooooooo funziona ti sommergo di baciiiiiiiiiiiiiiiiiiiiii grazieeeeeeeeeeeeeeeeeeeeeeeeee

claudia
02-05-2004, 23.19.11
ho attivato il firewall di xp mi consigli di tenere quello o installare zonealarm?

davlak
02-05-2004, 23.36.02
ti consiglio Zone Alarm, ma se vuoi qualcosa di pi accurato anche se meno facile da configurare, meglio Kerio

http://www.msni.it/news2/article.php?ID=5212

una domanda: hai lanciato lo scangui.exe? e se si ti ha rilevato qualcosa? (lo puoi vedere aprendo lo scan.txt)

:)

claudia
02-05-2004, 23.44.12
ha trovato un virus 32 sven..ma credo di avere ancora quAlcosa in giro il pc mi sta chiedendo di modificare qualcosa..ma che palle non so pi come difendermi da virus (IL NORTON NON LO HA RILEVATO) SPY ECCC

sergioligato
24-09-2004, 11.59.12
Ho seguito i consigli di questa discussione ma un paio di file persistono. Ho installato HjackThis e vi posto il report mi date una mano a capire cosa devo brasare e cosa no? Grazie!

################################################## ###################
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\Programmi\File comuni\EPSON\EBAPI\SAgent2.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\pctspk.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\LigatoSergio\Documenti\HijackThis.exe
C:\WINDOWS\system32\wscntfy.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\Avast4\ashmaisv.exe
O4 - HKLM\..\Run: [AdslTaskBar] rundll32.exe stmctrl.dll,TaskBar
O4 - HKLM\..\Run: [Windows Network Controller] Win9x.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [netservices] recall.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV0 2.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Ricerche (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1094894554812

################################################## ###################
A me insospettiscono i due item che ho contrassegnato con due asterischi...

Grazie ancora!

davlak
24-09-2004, 12.09.54
vai qui:

http://hijackthis.de/index.php?langselect=italian

fagli analizzare il log e vedi che dice.