[LOG] combofix hijackthis - non si installano gli antivirus

[Pciccio]

E quindi? Il log FRST l'ho messo...tengo a precisare mentre aspetto una tua risposta, che non ho eseguito in modalità provvisoria le scansioni con i software da te indicati, va bene lo stesso? Un altro problema è che l'avvio delle stampe è molto lento e ho problemi con il driver della stampante, aggiornandoli in italiano rimangono in inglese, così li ho reinstallati dal cd originale ma l'avvio delle stampe è sempre lento

[stevens]

allora facciamo una cosa per volta, nel fix ho messo anche avast e avira cosi' se riuscirai a installarlo trovera' il sistema bello pulito, pero' adesso mi devi eseguire quanto scrivo

dalla cartella Downloads porta il programma farbar recovery sul desktop poi salva su desktop anche questo file

ora avvia farbar recovery ma questa volta invece di scan dovrai ciccare su fix, se i pc non si riavvia fallo tu e alllegami il file fixlog.txt che troverai sul desktop

poi vai qui
scaricalo sul desktop; click tasto dx del mouse e scegli Esegui come amministratore
clicca su Analisi; al termine di essa, click su Pulizia; conferma con ok il successivo avviso.
Al termine il computer si riavvierà; allega il log prodotto con le varie eliminazioni.

[Pciccio]

Ok grazie, domani verso pausa pranzo lo faccio
Mi raccomando stai pronto così magari la schiantiamo prima possibile ;-)

[Pciccio]

Eccoci qua

Fixlog

Fix result of Farbar Recovery Scan Tool (x64) Version: 04-11-2016
Ran by Kekko (11-11-2016 12:32:41) Run:1
Running from C:\Users\Kekko\Desktop
Loaded Profiles: Kekko (Available Profiles: Kekko)
Boot Mode: Normal
==============================================

fixlist content:
*****************
() C:\Windows\KMS-QAD.exe
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-3451799898-3022645531-4058858740-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
SearchScopes: HKLM -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
SearchScopes: HKLM-x32 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
FF Extension: (Avira Browser Safety) - C:\Users\Kekko\AppData\Roaming\Mozilla\Firefox\Profiles\fjfiikv2.default\Extensions\abs@avira.com.xpi [2016-11-08]
R2 KMS-R@1n; C:\Windows\KMS-QAD.exe [22528 2015-10-06] () [File not signed]
S3 catchme; \??\C:\ComboFix\catchme.sys [X]
2016-11-08 18:56 - 2016-11-08 18:56 - 05659834 ____R (Swearware) C:\Users\Kekko\Downloads\ComboFix.exe
2016-11-07 19:51 - 2016-11-07 19:51 - 00000000 ____D C:\Program Files (x86)\Avira
2016-11-07 19:28 - 2016-11-07 19:29 - 04479640 _____ (Avira Operations GmbH & Co. KG) C:\Users\Kekko\Downloads\avira_it_av_5739e3137b6c7145831ebd76ff4fa3402b01c5__ws.exe
2016-11-07 09:33 - 2016-11-07 09:33 - 00000000 ____D C:\ProgramData\AVAST Software
16-10-26 14:22 - 2016-10-26 14:32 - 00000000 ____D C:\Users\Kekko\AppData\Local\IIIQF
6-10-24 08:58 - 2016-10-24 08:58 - 00000000 ____D C:\Users\Kekko\AppData\Local\AviraSpeedup
2016-10-24 08:58 - 2016-10-24 08:58 - 00000000 ____D C:\Users\Kekko\AppData\Local\Avira
2016-11-07 19:19 - 2016-03-02 18:47 - 00000000 ____D C:\ProgramData\Avira
2015-10-06 11:58 - 2015-10-06 11:58 - 00022528 _____ () C:\Windows\KMS-QAD.exe
FirewallRules: [{534C222F-3062-4B04-94D8-C3C91B8B4B3A}] => (Allow) C:\Windows\KMS-QAD.exe
FirewallRules: [{862C9D35-6BB2-42A4-AC33-8370DB8CDC40}] => (Allow) C:\Windows\KMS-QAD.exe
EmptyTemp:





*****************

[1768] C:\Windows\KMS-QAD.exe => process closed successfully.
"HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer" => key removed successfully
"HKU\S-1-5-21-3451799898-3022645531-4058858740-1000\SOFTWARE\Policies\Microsoft\Internet Explorer" => key removed successfully
HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => value restored successfully
HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => value restored successfully
C:\Users\Kekko\AppData\Roaming\Mozilla\Firefox\Profiles\fjfiikv2.default\Extensions\abs@avira.com.xpi => moved successfully
KMS-R@1n => service removed successfully
catchme => service removed successfully
"C:\Users\Kekko\Downloads\ComboFix.exe" => not found.
C:\Program Files (x86)\Avira => moved successfully
C:\Users\Kekko\Downloads\avira_it_av_5739e3137b6c7145831ebd76ff4fa3402b01c5__ws.exe => moved successfully
C:\ProgramData\AVAST Software => moved successfully
16-10-26 14:22 - 2016-10-26 14:32 - 00000000 ____D C:\Users\Kekko\AppData\Local\IIIQF => Error: No automatic fix found for this entry.
6-10-24 08:58 - 2016-10-24 08:58 - 00000000 ____D C:\Users\Kekko\AppData\Local\AviraSpeedup => Error: No automatic fix found for this entry.
C:\Users\Kekko\AppData\Local\Avira => moved successfully
C:\ProgramData\Avira => moved successfully
C:\Windows\KMS-QAD.exe => moved successfully
HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\\{534C222F-3062-4B04-94D8-C3C91B8B4B3A} => value removed successfully
HKLM\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules\\{862C9D35-6BB2-42A4-AC33-8370DB8CDC40} => value removed successfully

=========== EmptyTemp: ==========

BITS transfer queue => 8388608 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 22053404 B
Java, Flash, Steam htmlcache => 752 B
Windows/system/drivers => 1220 B
Edge => 0 B
Chrome => 0 B
Firefox => 303868362 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Public => 0 B
ProgramData => 0 B
systemprofile => 66356 B
systemprofile32 => 325687 B
LocalService => 0 B
NetworkService => 0 B
Kekko => 4055845 B

RecycleBin => 36009 B
EmptyTemp: => 323.1 MB temporary data Removed.

================================


The system needed a reboot.

==== End of Fixlog 12:32:46 ====

L'analisi di AdwCleaner non ha trovato niente di infetto, vedi sotto

# AdwCleaner v6.030 - Creato file registro eventi 11/11/2016 in 12:40:31
# Aggiornato su 19/10/2016 da Malwarebytes
# Database : 2016-11-10.1 [Server]
# Sistema operativo : Windows 7 Ultimate Service Pack 1 (X64)
# Utente : Kekko - KEKKO-PC
# In esecuzione da : C:\Users\Kekko\Desktop\adwcleaner_6.030.exe
# Modo: pulizia
# Supporto : hxxps://www.malwarebytes.com/support



***** [ Servizi ] *****



***** [ Cartelle ] *****



***** [ File ] *****



***** [ DLL ] *****



***** [ WMI ] *****



***** [ Collegamenti ] *****



***** [ Attività pianificate ] *****



***** [ Registro ] *****



***** [ Browser ] *****



*************************

:: " tracciamento " chiavi eliminate
:: Impostazioni Winsock ripristinate

*************************

C:\AdwCleaner\AdwCleaner[C0].txt - [6127 Byte] - [08/11/2016 13:00:50]
C:\AdwCleaner\AdwCleaner[C2].txt - [883 Byte] - [11/11/2016 12:40:31]
C:\AdwCleaner\AdwCleaner[S0].txt - [6002 Byte] - [08/11/2016 12:59:39]
C:\AdwCleaner\AdwCleaner[S1].txt - [1390 Byte] - [11/11/2016 12:40:14]

########## EOF - C:\AdwCleaner\AdwCleaner[C2].txt - [1098 Byte] ##########

Attendo news, grazie

[stevens]

elimina manualmente queste cartelle

C:\Users\Kekko\AppData\Local\IIIQF

C:\Users\Kekko\AppData\Local\AviraSpeedup


scarica ccleaner

Importante:
In fase d’installazione togli la spunta altrimenti viene installata Yahoo Tollbar.
Avvialo e clicca su:
- Opzioni Avanzate
Togli la spunta da:
- Elimina file solo se più vecchi di 48 ore
Clicca i tasti:
- Pulizia (il primo in alto a Sinistra)
- Analizza ( Pulsante in basso Centrale)
- Avvia Pulizia (Pulsante in basso a Destra)


Correzione errori File di Registro

Clicca i tasti:
- Registro (Secondo tasto in alto a Sinistra)
- Trova Problemi (Pulsante in basso Centrale)
- Ripara selezionati Pulsante in basso a Destra
- alla domanda:
- Vuoi eseguire il Backup delle modifiche del Registro”
- clicca:
- SI


Ora vedi se riesci a installare un antivirus

[Pciccio]

Ok grazie, appena posso ti faccio sapere

[Pciccio]

Ciao, ho eseguito le tue ultime istruzioni ma niente da fare, mi ritorna un errore mentre provo a installare Avira che è questo

Inoltre, mentre rimuovevo le cartelle che mi hai detto, ne ho notata una strana chiamata "illbillythehungryshark-a5517bd1f829f12e92ced5eb101417b6" con all'interno una cartella "firefox" e una "profiles". Sai cos'è? Per ora non l'ho toccata.

Come faccio ad eliminare questo messaggio che mi si apre automaticamente ad ogni avvio?



Tieni presente che ancora tutti i programmi che ho utilizzato per la "disinfestazione" sono presenti nel pc, e mi si avvia in automatico HitmanPro, ma comunque prima di installare Avira l'ho disattivato e quel messaggio me lo dava anche prima

[Pciccio]

[stevens]

Ciao, Scarica Combofix
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
disconnettiti da internet
Lascia lavorare il programma senza interferire (non installare la recovery console)
Allega il rapporto C:\ComboFix.txt nella tua risposta.

[Pciccio]

Combofix ce l'ho già dalla volta scorsa, domani a pranzo gli faccio fare un'altra passata

[stevens]

no scusa mi sono sbagliato lascia perdere combofix e fai malwarebytes

segui ▬► qui come configurarlo e fai una scansione completa



allega il log

[Pciccio]

Ecco qua

Malwarebytes Anti-Malware
www.malwarebytes.org

Data scansione: 16/11/2016
Ora scansione: 13:08
File di log: Mbam Log.txt
Amministratore: Sì

Versione: 2.2.1.1043
Database malware: v2016.11.16.05
Database rootkit: v2016.10.31.01
Licenza: Gratuito
Protezione da malware: Disattivata
Protezione da siti web nocivi: Disattivata
Auto-protezione: Disattivata

SO: Windows 7 Service Pack 1
CPU: x64
File system: NTFS
Utente: Kekko

Tipo di scansione: Ricerca elementi nocivi
Risultati: Completata
Elementi analizzati: 313509
Tempo impiegato: 12 min, 28 sec

Memoria: Attivata
Esecuzioni automatiche: Attivata
File system: Attivata
Archivi compressi: Attivata
Rootkit: Attivata
Euristiche: Attivata
PUP: Attivata
PUM: Attivata

Processi: 0
(Nessun elemento nocivo rilevato)

Moduli: 0
(Nessun elemento nocivo rilevato)

Chiavi di registro: 7
PUP.Optional.Solvusoft, HKLM\SOFTWARE\CLASSES\APPLICATIONS\WinThrusterSetup.exe, , [3abbedd3b0eae353aee5c7ed966dc838],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\CLASSES\WOW6432NODE\APPLICATIONS\WinThrusterSetup.exe, , [f0057d43a0fae74f98fb1a9a8a79ba46],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\07B51C13962E8BF49BAFEA042FB2D4A6, , [8c694a7625754beb0c272b8cf70c36ca],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\8E64601C02B9B8A49B2094D918AAB059, , [3cb9358befabe45240f39f180bf8de22],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\A139670AC5F063A409103EC6C72644F6, , [d421a91778222d093cf706b1fb08c53b],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\AF70C113ECEA42B46B60F3B0F849D237, , [af4669570199e3538ba8c1f647bc59a7],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\WOW6432NODE\CLASSES\APPLICATIONS\WinThrusterSetup.exe, , [ea0bfdc35842c670296af7bd0201b54b],

Valori di registro: 4
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\07B51C13962E8BF49BAFEA042FB2D4A6|00000000000000000000000000000000, C?\Program Files (x86)\Solvusoft\Tray\SuiteClient.dll, , [8c694a7625754beb0c272b8cf70c36ca]
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\8E64601C02B9B8A49B2094D918AAB059|00000000000000000000000000000000, C?\Program Files (x86)\Solvusoft\Tray\SolvusoftTray.exe, , [3cb9358befabe45240f39f180bf8de22]
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\A139670AC5F063A409103EC6C72644F6|00000000000000000000000000000000, C?\Program Files (x86)\Solvusoft\Tray\MsgSys.exe, , [d421a91778222d093cf706b1fb08c53b]
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\AF70C113ECEA42B46B60F3B0F849D237|00000000000000000000000000000000, C?\Program Files (x86)\Solvusoft\Tray\sfhtml.dll, , [af4669570199e3538ba8c1f647bc59a7]

Dati di registro: 0
(Nessun elemento nocivo rilevato)

Cartelle: 0
(Nessun elemento nocivo rilevato)

File: 2
Trojan.Agent.CK, C:\Program Files\AutoCAD 2010\KeyGen_xf-acad2010_x64.exe, , [9c59942c6d2df0462076e77ac53c17e9],
HackTool.Agent, C:\Users\Kekko\Downloads\Windows_Loader_2_1_7_by_Daz.rar, , [6392417f8d0d87afd5e49d2623dd3fc1],

Settori fisici: 0
(Nessun elemento nocivo rilevato)


(end)

[Pciccio]

Intanto volevo segnalare che il sistema, dopo l'ultima pulizia del registro, va in crash. Lo stato al momento dell'ultimo crash era browser internet aperto + office word aperto in uso. Comunque vedi il report richiesto nel mio precedente post

[stevens]

le infezioni sono state rilevate ma non rimosse devi ripetere la scansione e allegarmi il report

togli anche quei crack

[Pciccio]

Ecco qua, mi pare che di monnezza ce ne sia parecchia.

Malwarebytes Anti-Malware
www.malwarebytes.org

Data scansione: 18/11/2016
Ora scansione: 13:00
File di log: Mbam Log.txt
Amministratore: Sì

Versione: 2.2.1.1043
Database malware: v2016.11.18.01
Database rootkit: v2016.10.31.01
Licenza: Gratuito
Protezione da malware: Disattivata
Protezione da siti web nocivi: Disattivata
Auto-protezione: Disattivata

SO: Windows 7 Service Pack 1
CPU: x64
File system: NTFS
Utente: Kekko

Tipo di scansione: Ricerca elementi nocivi
Risultati: Completata
Elementi analizzati: 313635
Tempo impiegato: 10 min, 13 sec

Memoria: Attivata
Esecuzioni automatiche: Attivata
File system: Attivata
Archivi compressi: Attivata
Rootkit: Attivata
Euristiche: Attivata
PUP: Attivata
PUM: Attivata

Processi: 0
(Nessun elemento nocivo rilevato)

Moduli: 0
(Nessun elemento nocivo rilevato)

Chiavi di registro: 7
PUP.Optional.Solvusoft, HKLM\SOFTWARE\CLASSES\APPLICATIONS\WinThrusterSetup.exe, , [9d1cc100f2a847ef3854f4c0f60dfc04],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\CLASSES\WOW6432NODE\APPLICATIONS\WinThrusterSetup.exe, , [9f1accf5e0ba7abc0f7d0fa51ae929d7],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\07B51C13962E8BF49BAFEA042FB2D4A6, , [c5f430917e1c3cfac5673f7854afbc44],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\8E64601C02B9B8A49B2094D918AAB059, , [3b7e823f88120f27022ac8ef9f64f010],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\A139670AC5F063A409103EC6C72644F6, , [8b2ec2ffa6f4c76fc6669b1cb94aa15f],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\AF70C113ECEA42B46B60F3B0F849D237, , [605919a8c1d9f54131fb5d5a35ceb34d],
PUP.Optional.Solvusoft, HKLM\SOFTWARE\WOW6432NODE\CLASSES\APPLICATIONS\WinThrusterSetup.exe, , [2c8d348dbae06fc779133a7ae91a4eb2],

Valori di registro: 4
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\07B51C13962E8BF49BAFEA042FB2D4A6|00000000000000000000000000000000, C?\Program Files (x86)\Solvusoft\Tray\SuiteClient.dll, , [c5f430917e1c3cfac5673f7854afbc44]
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\8E64601C02B9B8A49B2094D918AAB059|00000000000000000000000000000000, C?\Program Files (x86)\Solvusoft\Tray\SolvusoftTray.exe, , [3b7e823f88120f27022ac8ef9f64f010]
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\A139670AC5F063A409103EC6C72644F6|00000000000000000000000000000000, C?\Program Files (x86)\Solvusoft\Tray\MsgSys.exe, , [8b2ec2ffa6f4c76fc6669b1cb94aa15f]
PUP.Optional.Solvusoft, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INSTALLER\USERDATA\S-1-5-18\COMPONENTS\AF70C113ECEA42B46B60F3B0F849D237|00000000000000000000000000000000, C?\Program Files (x86)\Solvusoft\Tray\sfhtml.dll, , [605919a8c1d9f54131fb5d5a35ceb34d]

Dati di registro: 0
(Nessun elemento nocivo rilevato)

Cartelle: 0
(Nessun elemento nocivo rilevato)

File: 2
Trojan.Agent.CK, C:\$RECYCLE.BIN\S-1-5-21-3451799898-3022645531-4058858740-1000\$RFLI069.exe, , [2297aa17178310263660bda4b54c6898],
HackTool.Agent, C:\$RECYCLE.BIN\S-1-5-21-3451799898-3022645531-4058858740-1000\$RKKTNKK.rar, , [5b5e9928d3c7b383d2e70db6a35df10f],

Settori fisici: 0
(Nessun elemento nocivo rilevato)


(end)

Che faccio?

[Pciccio]

Allora, ho pulito i files nocivi segnalati da Malwarebtes , poi ho pulito il registro e riavviato. Adesso sono riuscito ad installare Avira ma alla fine dell'installazione mi è ricomparso il solito messaggio che allego sotto. L' icona di Avira nella Tray non è presente, ma se vado in gestione attività vedo avgnt.exe *32 . Come faccio a far funzionare l'icona nella tray?

[Pciccio]

[Pciccio]

Dopo aver cercato un po', da quanto emerge qui
sembra un bug di Avira

[stevens]