Strano processo in task manager

[BeGa]

Da pochi minuti fa mi sono accorto che nel nask manager cè questo processo che non ce mai stato è wowexec.exe (con lo spazio davanti).Non utilizza memoria, continua a cambiare la CPU da 05 a 04 a 08 e poi ricomincia.Dopo delle ricerche su internet ho scoperto che questo processo è parte del SO e fa si che le applicazioni a 16 bit funzionino e può essere anche un virus. Dopo delle ricerche nel computer ho trovato che è un file che si trova in System32 e la data creazione è il 11 agosto quando il computer è incominciato a bloccarsi e si è rallentato oltre a essere gia lento. Ho provato a eliminarlo completamente dal disco rigido ma al riavvio si era ricreato.Ora cosa posso fare x togliere questo virus o parte del SO????

[crazy.cat]

fai analizzare il file sul sito www.virustotal.com così vediamo se si tratta di un virus.

[duemilauno]

Cancella quasi tutti i file dentro la cartella C:\WINDOWS\Prefetch, non cancellare il file "Layout.ini"., cancella il file che si trova in System32 e la data creazione è il 11 agosto,rilancia l'antivirus e qualche programma tipo Ad-Aware SE per scannerizza il disco e per finire riavvia il pc.

[BeGa]

@ duemilauno:

la "cosa" che mi hai detto di fare tu la faccio ogni settimana e se si ha un computer datato (come nel mio caso) è consigliato non usare il servizio Prefetch

comunque, crazy.cat, il processo neanche se faccio termina struttura processi fi ferma e non è un virus. pero il computer diventa sempre più lento

[Andy94]

Allora postaci un log di hijackthis.
Il processo però mi pare normale.

[BeGa]

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18.27.47, on 16/08/2007
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\ZoneLabs\avsys\ScanningProcess.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\netdde.exe
C:\WINDOWS\system32\clipsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\ wowexec.exe
C:\WINDOWS\system32\ZoneLabs\avsys\ScanningProcess.exe
C:\WINDOWS\Explorer.EXE
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\RALINK\RT2500 Wireless LAN Card\Installer\WINXP\RaConfig2500.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\Programmi\File comuni\Microsoft Shared\Windows Live\WLLoginProxy.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programmi\File comuni\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programmi\Free Download Manager\iefdmcks.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [LXBTCATS] rundll32 \3\LXBTtime.dll,_RunDLLEntry@16
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Stardock ObjectDock.lnk = C:\Programmi\Stardock\ObjectDock\ObjectDock.exe
O4 - Global Startup: STA-AP.lnk = C:\Programmi\RALINK\RT2500 Wireless LAN Card\Installer\WINXP\RaConfig2500.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: lxbt_device - Lexmark International, Inc. - C:\WINDOWS\System32\lxbtcoms.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 3489 bytes

[Andy94]

Per caso, hai delle applicazioni a 16 bit nel sistema?

Se si' il problema e' quello: le applicazioni a 16 bit devono essere emulate e quello e' il processo che le gestisce.

[JTKirk]

A parte - O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) - che è strano senza nomi, e la versione d Explorer un po' datata, non mi sembra che ci sia poi altro.

Il file "incriminato" non serve altro, come ha visto bene Andy, per le applicazioni a 16bit o DOS ed è chiamato Windows on Windows che sarebbe la macchina virtuale DOS di Windows.

[BeGa]

Nel computer non ho nessuna applicazione a 16 bit e nel caso le voglio installare il computer mi crasha e mi da errore con schermo blu.Windows,lo so, e datatissimo e non ha nessun sp xk questo compuetr, uno dei tanti che ho, ha poca memoria (20.30 GB e 256 mb di ram) e se provo ad installare un sp s'inchioda all'avvio.comunque il processo no name è strano e negli altri computer non cè. Wowexec.exe lo messo in quarantena e il mio comp è diventato un po veloce ma furse creno di aumentare la ram x mettere almeno l'sp1

[Andy94]

Nel computer non ho nessuna applicazione a 16 bit e nel caso le voglio installare il computer mi crasha e mi da errore con schermo blu.Windows,lo so, e datatissimo e non ha nessun sp xk questo compuetr, uno dei tanti che ho, ha poca memoria (20.30 GB e 256 mb di ram) e se provo ad installare un sp s'inchioda all'avvio.comunque il processo no name è strano e negli altri computer non cè. Wowexec.exe lo messo in quarantena e il mio comp è diventato un po veloce ma furse creno di aumentare la ram x mettere almeno l'sp1

In effetti 256 mb di ram per xp sarebbero un po' sofferti...

[BeGa]

Questo lo so anche io... me lìhanno detto anche altri....

[duemilauno]

La cosa? .....la fai ogni settimana? ....servizio?

Se è datato, cambia pc! oppure aggiungi della ram....


(Quante volte non accettiamo l'evidenza solo perché non ci piace?)

[BeGa]

e ma no quel computer lo uso solo per fare qualche cosa..ma l'altro (230 GB e 1GB ram ) lo uso per tutto...


prefetch è un componente di windows memory menager e serve x ottimizzare l'avvio

[duemilauno]

è anche una cartella di Windows

C:\WINDOWS\Prefetch ....

[BeGa]

lo so... in quella cartella Prefetch memorizza la frewquenza di utilizzo e le preferenze dei programmi installati nel computer

[JTKirk]

Nel computer non ho nessuna applicazione a 16 bit e nel caso le voglio installare il computer mi crasha e mi da errore con schermo blu.

...io ho idea che una ce l'hai, almeno secondo un articolo Microsoft qui

Per il resto prova a dare un occhio a qualche liveCD di linux...chiaramente dipende da che cosa ci vuoi fare

[BeGa]

non ne ho neppure un applicazione a 16bit e poi nel TM non cè il processo Ntvdm.exe ma solo wowexec.exe

[JTKirk]

Magari è per questo che hai dei problemi, visto che hai il file per le 16bit. So anche che alle volte il sistema (sopratutto haimè senza SP) lascia aperte le wowexec.
Prova a vedere quali sono le applicazioni che partono automaticamente, e magari incomincia a disabilitare quelle che non sono così fondamentali. Consiglio una per una per vedere se cambia qualcosa.