Aiuto errore all'avvio di Windows (RISOLTO)

[crazy4u]

BUON GIORNO A TUTTI!!!!
Sono nuovissimo e abbastanza inesperto.
All'avvio di Windows XP mi compare un errore:
zh.exe - immagine danneggiata
C:\Documenti\crazy\impostazioni locali\temp\yoa1.tmp
non è un'immagine valida di windows. Verificare con il dischetto di installazione.

Effettivamente in msconfig, nel menu avvio, compare una voce zh.exe
in + ho notato che nella cartella temp sopra citata ogni volta che riavvio windows si crea un nuovo file .tmp con nomi diversi associati alla finestra di errore.
qualcuno sa di cosa si tratta.

Infinitamente grazie

Crazy

[crazy.cat]

zh.exe direi che è qualcosa di poco buono, il file zh.exe è presente nel tuo pc?
Intanto da msconfig puoi disabilitare l'avvio di quel zh.exe.

Fai una scansione con hijackthis e posta il log della scansione qui nel forum
http://www.MegaLab.it/2286

[crazy4u]

Ciao Crazy.cat
Devo verificare, ma credo che il file zh.exe sia nel pc,
per quanto riguarda il menu avvio ho già provato a deselezionare l'avvio ma si ripresenta quando riavvio il pc.
Adesso eseguo HijackThis e ti posto il log.
grazie

Crazy

[crazy4u]

Ciao Crazy.cat
intanto grazie per la risposta ultra veloce.
il file zh.exe compare in msconfig avvio
comando: zh.exe
percorso: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Percui non ho idea dove sia collocato.
il log di HijackThis è:

Logfile of HijackThis v1.99.1
Scan saved at 14.13.54, on 29/05/2007
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
C:\Programmi\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\HPConfig.exe
C:\Programmi\HPQ\Notebook Utilities\HPWirelessMgr.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\Programmi\Alwil Software\Avast4\ashWebSv.exe
C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
C:\Programmi\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\WINDOWS\System32\hphmon05.exe
C:\Programmi\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\WINDOWS\System32\WgaTray.exe
C:\WINDOWS\System32\carpserv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\System32\fixin.exe
C:\WINDOWS\System32\zh.exe
C:\WINDOWS\System32\alggg.exe
C:\Programmi\AutoPostit\Postit.exe
C:\WINDOWS\System32\mswsgs.exe
C:\Programmi\AutoPostit\cntr.exe
C:\WINDOWS\System32\hp-1003.exe
C:\Documents and Settings\bolis1\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.hp.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.hp.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Display Settings] C:\Programmi\HPQ\Notebook Utilities\hptasks.exe /s
O4 - HKLM\..\Run: [QT4HPOT] C:\Programmi\HPQ\One-Touch\OneTouch.EXE
O4 - HKLM\..\Run: [SynTPLpr] C:\Programmi\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programmi\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [HPHUPD05] c:\Programmi\Hewlett-Packard\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe
O4 - HKLM\..\Run: [HP Software Update] "c:\Programmi\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe
O4 - HKLM\..\Run: [AdaptecDirectCD] "C:\Programmi\Roxio\Easy CD Creator 5\DirectCD\DirectCD.exe"
O4 - HKLM\..\Run: [Cpqset] C:\Programmi\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Service Update] C:\WINDOWS\System32\alggg.exe
O4 - HKLM\..\Run: [Windows Service Update] C:\WINDOWS\System32\mswsgs.exe
O4 - HKLM\..\Run: [Windows Service Agent] fixin.exe
O4 - HKLM\..\Run: [File Mapping Services] hp-1003.exe
O4 - HKLM\..\Run: [Windows Secutiy Management Kernel module] zh.exe
O4 - HKLM\..\RunServices: [Windows Secutiy Management Kernel module] zh.exe
O4 - HKLM\..\RunServices: [Windows Service Agent] fixin.exe
O4 - HKLM\..\RunServices: [File Mapping Services] hp-1003.exe
O4 - HKCU\..\Run: [Service Update] C:\WINDOWS\System32\alggg.exe
O4 - HKCU\..\Run: [Windows Service Update] C:\WINDOWS\System32\mswsgs.exe
O4 - HKCU\..\Run: [Windows Service Agent] fixin.exe
O4 - HKCU\..\Run: [File Mapping Services] hp-1003.exe
O4 - HKCU\..\RunServices: [File Mapping Services] hp-1003.exe
O4 - Startup: AutoPostit.lnk = C:\Programmi\AutoPostit\Postit.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O14 - IERESET.INF: START_PAGE_URL=http://www.hp.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{2FC89DA0-1C7D-4BEA-A6F1-CC9D43B3C50A}: NameServer = 85.37.17.42 85.38.28.87
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programmi\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programmi\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programmi\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: HP Configuration Interface Service (HPConfig) - Hewlett-Packard - C:\WINDOWS\system32\HPConfig.exe
O23 - Service: HPWirelessMgr - Hewlett-Packard Co. - C:\Programmi\HPQ\Notebook Utilities\HPWirelessMgr.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

ciao e grazie
Crazy

[crazy.cat]

Con unlocker o killbox elimina i file exe che trovi indicati qui sotto, i file li trovi tutti in C:\WINDOWS\System32, poi rifai la scansionne con hijackthis e selezioni le caselle di queste righe e poi premi fix checked per eliminarle.
O4 - HKLM\..\Run: [Service Update] C:\WINDOWS\System32\alggg.exe
O4 - HKLM\..\Run: [Windows Service Update] C:\WINDOWS\System32\mswsgs.exe
O4 - HKLM\..\Run: [Windows Service Agent] fixin.exe
O4 - HKLM\..\Run: [File Mapping Services] hp-1003.exe
O4 - HKLM\..\Run: [Windows Secutiy Management Kernel module] zh.exe
O4 - HKLM\..\RunServices: [Windows Secutiy Management Kernel module] zh.exe
O4 - HKLM\..\RunServices: [Windows Service Agent] fixin.exe
O4 - HKLM\..\RunServices: [File Mapping Services] hp-1003.exe
O4 - HKCU\..\Run: [Service Update] C:\WINDOWS\System32\alggg.exe
O4 - HKCU\..\Run: [Windows Service Update] C:\WINDOWS\System32\mswsgs.exe
O4 - HKCU\..\Run: [Windows Service Agent] fixin.exe
O4 - HKCU\..\Run: [File Mapping Services] hp-1003.exe
O4 - HKCU\..\RunServices: [File Mapping Services] hp-1003.exe

dopo una bella scansione con panda antirootkit ed elimina quello che trova
http://research.pandasoftware.com/blogs ... ootkit.zip
e al limite anche sul sito della kaspersky e alla fine salva il log della scansione che vediamo quanti altri virus ci sono nel tuo pc
http://www.kaspersky.com/virusscanner

Sei parecchio incasinato.

[crazy4u]

OK CI PROVO GRAZIE!!!

Crazy

[crazy4u]

STO ATTUANDO LA SCANSIONE,
I FILES:
fixin.exe
hp-1003.exe
zh.exe

NON SONO IN WINDOWS\SYSTEM32

[crazy.cat]

sono tutti li
C:\WINDOWS\System32\fixin.exe
C:\WINDOWS\System32\zh.exe
C:\WINDOWS\System32\alggg.exe
C:\WINDOWS\System32\hp-1003.exe

abilita la visione dei file nascosti e di sistema

[crazy4u]

Grazie davvero Crazy.cat.

Ho fatto un paio di scansioni con avast e non ho + virus,
adesso controllo in windows se ci sono ancora quei files.

Ciao,

Crazy