Virus?

[Avensis]

Stamattina ho notato che il mio modem si disconnetteva ogni due minuti, cosa mai successa. Ho allora fatto una scansione con Hijackthis e ha rilevato questo file sospetto:

C:\Windows\svchost.exe

Che, ovviamente, non è il vero svchost.exe di Windows. L'ho sbloccato con Unlocker ed eliminato, notando però che:

1) Viene ripetutamente creato un file di nome svchost, senza estensione, sempre in C:\Windows, e anche se lo elimino ritorna. Problema risolto con un piccolo trucchetto ho creato io un file di nome svchost, vuoto e di sola lettura, col blocco note, e l'ho inserito nella cartella subito dopo aver eliminato il file sospetto. In questo modo esso non è più ricomparso, in quanto già esisteva un file con quel nome.

2) C:\Windows\svchost.exe, sebbene non esista perché io l'ho eliminato, è in esecuzione automatica. Se io elimino la voce dal registro, questa ritorna dopo pochi secondi... significa che probabilmente c'è qualche processo in esecuzione che periodicamente controlla se c'è la voce, ed eventualmente la rimette. Antivirus (Avira) ed Hijackthis non rilevano alcun processo sospetto... mmm rootkit?

Sto ora provando Spybot, Ad-Aware e Panda Active Scan... a qualcuno è già capitata una cosa del genere? Sapete come risolvere?

[crazy.cat]

Vediamo il log di hijackthis e anche di gmer, seguendo queste regole per caricali
http://www.MegaLab.it/forum/viewtopic.php?t=42331

C:\Windows\svchost.exe è un nome molto usato dai virus per riprodursi.

[Avensis]

Ecco qua:

http://filebeam.com/92909a7cad638ca3977d0cc2a1124be2

Il log di HijackThis mi sembra pulito, a occhio, ma non si sa mai mentre Gmer non l'avevo mai usato prima di oggi.

P.S.: nè Ad-Aware nè Spybot nè A-Squared rilevano alcuna minaccia.

[ste_95]

mentre Gmer non l'avevo mai usato prima di oggi.

Scarica GMER, poi esegui i seguenti passaggi:

--- 1° passaggio ---
Avviamo gmer
clicchiamo su > > >
Clicchiamo su Autostart
mettiamo il segno di spunta a Show All
clicchiamo su Scan
al termine della scansione, clicchiamo su Copy
Apriamo il blocco note e premiamo CTRL+V (oppure clicchiamo su Modifica e poi su Incolla).
Salviamo il file e carichiamolo su FreeFileHosting
Postiamo qui il link che ci viene assegnato.

PS. Riesci a comprimere il file infetto che si ricrea e a caricarlo su www.freefilehosting.net per mandarmi il link in privato?

[Avensis]

Ecco il log di gmer:

http://filebeam.com/1aceb642285a9d27c85b46dfa1a25de8

Il file non compare più perché ho creato quello col nome uguale comunque era un file senza estensione di 7 kb, l'ho aperto col blocco note e c'erano solo una decina di caratteri di testo. Nulla di dannoso, credo... svchost.exe l'ho eliminato e non torna. Rimane il problema del registro...

[ste_95]

In hijackthis, seleziona a sinistra questa voce e premi in basso Fix Checked:

O4 - HKLM\..\Run: [explorer.exe] C:\WINDOWS\svchost.exe

[Avensis]

Già fatto... ricompare dopo 5 secondi. Ho provato a toglierla in tutti i modi, anche con Ccleaner (la rileva perché punta ad un files mancante) e perfino manualmente dal registro, ma ritorna sempre.

[ste_95]

Scarica ComboFix ed esegui una scansione, le istruzioni le trovi in fondo a questo articolo.

[Avensis]

Non si apre, dice che non è un'applicazione di Win32 valida.

[ste_95]

Prova a riscaricarlo da uno dei seguenti siti:

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
http://subs.geekstogo.com/ComboFix.exe
http://www.forospyware.com/sUBs/ComboFix.exe

[Avensis]

Funziona, ecco il log che mi ha lasciato:

http://filebeam.com/eb6f330cec333e01b98734005e3689d4

[ste_95]

Il problema è solo il valore di registro, vero?

Prova a fare una scansione con Antivir in modalità provvisoria.

[Avensis]

Il problema è solo il valore di registro, vero?

Prova a fare una scansione con Antivir in modalità provvisoria.

Sì, il problema è solo nel registro, ma io penso: se il valore continua a rigenerarsi ogni 5 secondi, sarà colpa di qualcuno, no? Temo ci sia qualche processo attivo che, ogni tot secondi, controlla il registro ed eventualmente ricrea la chiave... proverò con AntiVir, ma in modalità normale non trova nulla.