malware zzjgaa

[roberto5748]

salve
o da qualche mese questo malware zzjgaa, a volte cambia le prime 3 lettere, che mi fa cadere la connessione internet con l'umts della tre, posso visualizzarlo nei processi del task manager, e devo eliminarli ogni volta dai processi,
come posso eliminarlo definitivamente.
lo elimino dalla cartella temp di windows ma dopo ritorna.
come faccio ad eliminarlo
grazie

[esdisu]

:mm: Che antimonnezza hai sul PC ? Fai anche un Ijackthiis per vedere bene il tutto.

[roberto5748]

Logfile of HijackThis v1.99.1
Scan saved at 12.26.28, on 21/07/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Arcade\PCMService.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\Samsung\ComSMMgr\ssmmgr.exe
C:\Programmi\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\windows\system32\services.exe
C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programmi\3\FastMobileModem\MMModem.exe
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\FreePOPs\freepopsd.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Programmi\Microsoft Office\Office10\WINWORD.EXE
D:\HIJACKTHIS\hij\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [preload] C:\Windows\RUNXMLPL.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Arcade\PCMService.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Samsung Common SM] "C:\WINDOWS\Samsung\ComSMMgr\ssmmgr.exe" /autorun
O4 - HKLM\..\Run: [HP Software Update] C:\Programmi\HP\HP Software Update\HPWuSchd2.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [srvahbxh] "c:\windows\system32\srvahbxh.exe"
O4 - HKCU\..\Run: [zzjgaa.exe] C:\DOCUME~1\roberto\IMPOST~1\Temp\zzjgaa.exe
O4 - HKCU\..\Run: [fwfgaa.exe] C:\DOCUME~1\roberto\IMPOST~1\Temp\fwfgaa.exe
O4 - HKCU\..\Run: [wzgzaa.exe] C:\DOCUME~1\roberto\IMPOST~1\Temp\wzgzaa.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programmi\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1177017206843
O17 - HKLM\System\CCS\Services\Tcpip\..\{2B44731C-E24E-47C9-9A68-F839070C600C}: NameServer = 62.13.171.1 62.13.171.2
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


questi sono i file infetti ma come faccio ad eliminarli
O4 - HKCU\..\Run: [zzjgaa.exe] C:\DOCUME~1\roberto\IMPOST~1\Temp\zzjgaa.exe
O4 - HKCU\..\Run: [fwfgaa.exe] C:\DOCUME~1\roberto\IMPOST~1\Temp\fwfgaa.exe
O4 - HKCU\..\Run: [wzgzaa.exe] C:\DOCUME~1\roberto\IMPOST~1\Temp\wzgzaa.exe
grazie

[esdisu]

Fixa con hijackthiis.

[leofelix]

salve
o da qualche mese questo malware zzjgaa, a volte cambia le prime 3 lettere, che mi fa cadere la connessione internet con l'umts della tre, posso visualizzarlo nei processi del task manager, e devo eliminarli ogni volta dai processi,
come posso eliminarlo definitivamente.
lo elimino dalla cartella temp di windows ma dopo ritorna.
come faccio ad eliminarlo
grazie


ciao roberto5748,
dunque aldilà del fatto che il malware oltre a essersi installato in esecuzione automatica nel registro di configurazione si è anche insinuato nel "system restore" (che andrebbe disabilitato durante la disinfezione del sistema), non so se hai notato che mancano dei files di Avast home antivirus. Guarda:

"O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)"


Si direbbe quindi che l'antivirus non ti protegge più come dovrebbe, probabilmente il trojan lo ha disabilitato almeno in parte.
Fossi in te, una volta che hai disinfettato il PC (non solo fissando con HiJackThis, ma io direi di installare e fare una scansione completa per esempio con AVG Antispyware 7.5.1 da http://free.grisoft.com/doc/downloads-products/us/frt/0?prd=asf
e possibilmente anche con il gratuito SuperAntiSpyware free 1.9 da
http://downloads2.superantispyware.com/downloads/SUPERAntiSpyware.exe )
Penso che sarebbe quantomeno opportuno che tu o scaricassi una nuova copia di Avast Home 4.7 oppure provi qualcosa di altro ma non di meno efficace quanto leggero, nel gratuito ce ne sono diversi molto validi come ad esempio l'AntiVir PE classic 7.0.
Bye

[lizzy72]

anche a me avast mi dice che ha individuato un malware ogni volta che mi connetto a internet ma quando gli dico sposta nel cestino me ne appare subito un altro senza darmi 1 minuto di tregua però succede solo quando mi connetto se non connetto è tutto normale!!!! cosa posso fare???
grazie in anticipo!!!!!

[crazy.cat]

anche a me avast mi dice che ha individuato un malware ogni volta che mi connetto a internet ma quando gli dico sposta nel cestino me ne appare subito un altro senza darmi 1 minuto di tregua però succede solo quando mi connetto se non connetto è tutto normale!!!! cosa posso fare???
grazie in anticipo!!!!!
Vediamo un log di hijackthis e almeno sapere quali virus ti segnala e in quali file.

[lizzy72]

tipo malware:cavallo di troia; nome file C:\WINDOWS\temp\BTS17E.tmp (il numero e la lettera che seguono BTS cambia ogni volta); nome malware:Win32:Agent-HBX [Trj]. spero che le informazioni siano d'aiuto grazie

[Sfigato]

sento puzza di rootkit...

[lizzy72]

ciao sfigato stavi parlando con me? se la risposta è si cusa la mia ignoranza ma non so cos'è un rootkit o cosa sono. illuminami per favore grazie

[Sfigato]

Si stavo parlando con te :) stesso consiglio che ha dato crazy.cat prima : Scansione con hijackthis e post del log qua nel forum salvandolo in *txt
Rootkit? Provato a leggere su google? ;) Se dopo la scansione con hijackthis c'è qualche porcheria,vedremo quali altri software consigliarti incrociando le dita e sperando che il maledetto non abbia fatto troppi danni e non abbia messo radici profonde! (Y)

[Zello90]

Ciao io ho lo stesso problema di lizzy72 ho fatto la scansione cn hijeckthis e qst è il mio log. aiutatemi x favore
Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 14:28, on 2008-01-23
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\netdde.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programmi\MSN Messenger\MsnMsgr.Exe
D:\Programmi\DAEMON Tools\daemon.exe
C:\Programmi\Registry Clean Expert\RCHelper.exe
C:\Programmi\ADSL\StarModem ADSL USB MODEM\dslmon.exe
C:\Documents and Settings\zell.WV-89FAE426BED3\Menu Avvio\Programmi\Esecuzione automatica\nsfsqrk.exe
C:\Programmi\Windows Media Player\wmplayer.exe
C:\Programmi\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\DOCUMENTS AND SETTINGS\ZELL.WV-89FAE426BED3\DESKTOP\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Supporto di collegamento per Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {0C7CC36B-2BE5-4558-B28D-03A67E46D31F} - C:\WINDOWS\system32\cryptex.dll
O2 - BHO: Search Assistant - {1648E328-3E5A-4EA5-A9C6-E5F09EE272DA} - C:\WINDOWS\system32\dcads_sidebar.dll
O2 - BHO: bho2gr Class - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - D:\Programmi\GetRight\xx2gr.dll
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - D:\Programmi\BitComet\tools\BitCometBHO_1.1.4.29.d ll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\2.1.615. 5858\swg.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [hlpnyvow] "c:\windows\system32\hlpnyvow.exe"
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programmi\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [DAEMON Tools] "d:\Programmi\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [RegClean Expert Scheduler] "C:\Programmi\Registry Clean Expert\RCHelper.exe" /startup
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: IMVU.lnk = D:\Programmi\IMVU\IMVUClient.exe
O4 - Startup: ncicvu.exe
O4 - Startup: nhsoxpz.exe
O4 - Startup: nsfsqrk.exe
O4 - Startup: oteej.exe
O4 - Startup: otfyqtq.exe
O4 - Global Startup: DSLMON.lnk = ?
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Download all links using BitComet - res://D:\Programmi\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Download all videos using BitComet - res://D:\Programmi\BitComet\BitComet.exe/AddVideo.htm
O8 - Extra context menu item: Download link using &BitComet - res://D:\Programmi\BitComet\BitComet.exe/AddLink.htm
O8 - Extra context menu item: Download with GetRight - D:\Programmi\GetRight\GRdownload.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - D:\Programmi\GetRight\GRbrowse.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Run IMVU - {d9288080-1baa-4bc4-9cf8-a92d743db949} - C:\Documents and Settings\zell.WV-89FAE426BED3\Menu Avvio\Programmi\IMVU\Run IMVU.lnk (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O15 - Trusted Zone: *.doginhispen.com
O15 - Trusted Zone: *.whataboutarabit.com
O16 - DPF: {512FC5A1-7DE1-43F1-BC0C-371622FCB409} (TotalScan Installer Class) - http://www.nanoscan.com/as/cabs/ascstubie.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1184432879765
O16 - DPF: {69EF49E5-FE46-4B92-B5FA-2193AB7A6B8A} (GameLauncher Control) - http://www.acclaim.com/cabs/acclaim_v4.cab
O16 - DPF: {8436FE12-31DB-48BF-83BF-FE682F9160B4} (NanoInstaller Class) - http://www.nanoscan.com/cabs/nanoinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A4DCA541-B834-4E54-B59C-0F68E3B819CD}: NameServer = 85.37.17.9 85.38.28.75
O20 - AppInit_DLLs: c:\windows\system32\ddayxyy.dll,wbsys.dll
O20 - Winlogon Notify: dhcote - dhcote.dll (file missing)
O22 - SharedTaskScheduler: Precaricatore Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Daemon di cache delle categorie di componenti - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Servizio iPod (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: NBService - Nero AG - C:\Programmi\Nero\Nero 7\Nero BackItUp\NBService.exe

[crazy.cat]

Ciao io ho lo stesso problema di lizzy72 ho fatto la scansione
Non hai solo quello direi.

Tutte righe da cancellare con hijackthis e relativi file da eliminare manualmente.
C:\Documents and Settings\zell.WV-89FAE426BED3\Menu Avvio\Programmi\Esecuzione automatica\nsfsqrk.exe

O2 - BHO: (no name) - {0C7CC36B-2BE5-4558-B28D-03A67E46D31F} - C:\WINDOWS\system32\cryptex.dll
O2 - BHO: Search Assistant - {1648E328-3E5A-4EA5-A9C6-E5F09EE272DA} - C:\WINDOWS\system32\dcads_sidebar.dll
O4 - HKLM\..\Run: [hlpnyvow] "c:\windows\system32\hlpnyvow.exe"
O4 - Startup: ncicvu.exe
O4 - Startup: nhsoxpz.exe
O4 - Startup: nsfsqrk.exe
O4 - Startup: oteej.exe
O4 - Startup: otfyqtq.exe
O15 - Trusted Zone: *.doginhispen.com
O15 - Trusted Zone: *.whataboutarabit.com
O20 - AppInit_DLLs: c:\windows\system32\ddayxyy.dll,wbsys.dll
O20 - Winlogon Notify: dhcote - dhcote.dll (file missing)

Ti consiglio anche una scansione con superantispyware o A2 squared freeware e aggiornati, ci sono parecchi malware di diverso tipo.

Fai una scansione con questo, e se trova delle cartelle Bak posta il risultato della scansione
http://noahdfear.geekstogo.com/FindAWF.exe