3 problemini

[bis_2]

3 problemini.
1) Quasi al termine del boot un messaggio avverte che non trova il file "csrss.exe", e consiglia di verificarne l'esistenza nella cartella Temp dentro a Impostazioni Locali, oppure di eliminarne il collegamento dal registro di sistema.
Ho controllato, e il file c'è. Poi ho cercato il collegamento all'interno del registro di sistema con Regseeker, ma ne ho trovati pi di uno. Ora, a parte che mi sembra di aver capito che la cancellazione del collegamento fosse solo un'alternativa nell'ipotesi che il file non esistesse (o sbaglio?), in ogni caso non saprei bene quale dei collegamenti dovrei cancellare... C'è soluzione?
2) Da qualche giorno il firewall (ZoneAlarm) mi segnala il tentativo di accesso di un programma, il cui nome è "conhost.exe". Che cos'è?
3) Sempre da pochi giorni, il browser non apre la pagina se prima non concedo al firewall l'accesso di un programma, il cui nome è "dvm.exe". Anche in questo caso vorrei sapere di che cosa si tratta.
L'unico programma che ho installato recentemente è un certo "JPGtoPDF", che converte i file jpg in pdf, e altro programma sempre con la stessa funzione (PdfPro) che poi ho disinstallato. Sempre da pochi giorni sto utilizzando FireFox per navigare.
Soluzioni? Grazie.

[crazy.cat]

1) Il fatto che sia presente il file exe in quella cartella è già un brutto sintomo di probabile infezione.
Comincia a fare una scansione con hijackthis e malwarebytes e posta i loro log.
2) http://www.MegaLab.it/5372/che-cos-e-e- ... onhost-exe
3) dvm.exe o dwm.exe ?

[bis_2]

Hai ragione, scusa: è "dwm.exe".
Posto i log (copio-incollo sotto. Spero che sia questa la procedura esatta...). Grazie.
Logfile of HijackThis v1.99.1
Scan saved at 9.22.54, on 06/02/2011
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\Mortillaro\Dati applicazioni\dwm.exe
C:\Documents and Settings\Mortillaro\Dati applicazioni\Microsoft\conhost.exe
C:\DOCUME~1\MORTIL~1\IMPOST~1\Temp\csrss.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir Desktop\sched.exe
C:\Programmi\Avira\AntiVir Desktop\avguard.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programmi\Bonjour\mDNSResponder.exe
C:\Programmi\Avira\AntiVir Desktop\avshadow.exe
C:\Programmi\File comuni\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programmi\Google\Update\GoogleUpdate.exe
C:\Programmi\Telecom Italia\WanMiniport1st\srvany.exe
C:\Programmi\CDBurnerXP\NMSAccessU.exe
C:\Programmi\Telecom Italia\WanMiniport1st\WanMiniport1st_srv.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\File comuni\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\fxssvc.exe
C:\Programmi\Lexmark 2200 Series\lxbvbmgr.exe
C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programmi\Google\Quick Search Box\GoogleQuickSearchBox.exe
C:\PROGRA~1\ALICET~1\SMARTB~1\MotiveSB.exe
C:\Programmi\Lexmark 2200 Series\lxbvbmon.exe
C:\PROGRA~1\ALICET~1\vendors\AliceRE\content\template\DRIVEN~1\syncer\MCCITR~1.EXE
C:\Programmi\Avira\AntiVir Desktop\avgnt.exe
C:\Programmi\Real\RealPlayer\update\realsched.exe
C:\Documents and Settings\All Users\Menu Avvio\Programmi\VIDEO\uTorrent.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\MemInfo\meminfo.exe
C:\Programmi\Alice ti aiuta\bin\mpbtn.exe
C:\Documents and Settings\All Users\Documenti\PowerOffer\POService.exe
E:\Documenti\PROGRAMMI INSTALLATI 2\hijack this\estratto\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.wordart.it
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.GOOGLE.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wordart.it/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.GOOGLE.it
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.GOOGLE.it
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wordart - The Universal Portal
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:64848
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1;*.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
R3 - URLSearchHook: uTorrentBar_IT Toolbar - {4ae0c3d6-f713-4eed-bc65-25dc3ffdaac1} - C:\Programmi\uTorrentBar_IT\tbuTo0.dll
F3 - REG:win.ini: load=C:\DOCUME~1\MORTIL~1\IMPOST~1\Temp\csrss.exe
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Documents and Settings\All Users\Dati applicazioni\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll
O2 - BHO: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Programmi\ConduitEngine\ConduitEngin0.dll
O2 - BHO: PowerOffer - {3543619C-D563-43f7-95EA-4DA7E1CC396A} - C:\Documents and Settings\All Users\Documenti\PowerOffer\PowerOfferBHO.dll
O2 - BHO: uTorrentBar_IT Toolbar - {4ae0c3d6-f713-4eed-bc65-25dc3ffdaac1} - C:\Programmi\uTorrentBar_IT\tbuTo0.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programmi\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programmi\Google\GoogleToolbarNotifier\5.6.5805.1910\swg.dll
O2 - BHO: OfferBox - {FC0D62C2-9640-4AEB-A5D5-CF25DF11FA8C} - C:\Programmi\OfferBox\OfferBoxBHO.dll
O3 - Toolbar: uTorrentBar_IT Toolbar - {4ae0c3d6-f713-4eed-bc65-25dc3ffdaac1} - C:\Programmi\uTorrentBar_IT\tbuTo0.dll
O3 - Toolbar: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Programmi\ConduitEngine\ConduitEngin0.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programmi\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [Lexmark 2200 Series] "C:\Programmi\Lexmark 2200 Series\lxbvbmgr.exe"
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programmi\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [Google Quick Search Box] "C:\Programmi\Google\Quick Search Box\GoogleQuickSearchBox.exe" /autorun
O4 - HKLM\..\Run: [Motive SmartBridge] C:\PROGRA~1\ALICET~1\SMARTB~1\MotiveSB.exe
O4 - HKLM\..\Run: [AliceRE_McciTrayApp] C:\PROGRA~1\ALICET~1\vendors\AliceRE\content\template\DRIVEN~1\syncer\MCCITR~1.EXE
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Programmi\Real\RealPlayer\update\realsched.exe" -osboot
O4 - HKLM\..\Run: [conhost] C:\Documents and Settings\Mortillaro\Dati applicazioni\Microsoft\conhost.exe
O4 - HKCU\..\Run: [Ordina_Menu] C:\WINDOWS\command\Regdelw.exe /q /n "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder"
O4 - HKCU\..\Run: [DIRECTX] REGEDIT /S C:\WINDOWS\system32\DirectX\Dinput\DIRECTX.REG
O4 - HKCU\..\Run: [ORDINA_MENU2] C:\WINDOWS\command\Regdelw.exe /q /n "HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder"
O4 - HKCU\..\Run: [swg] "C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [uTorrent] "C:\Documents and Settings\All Users\Menu Avvio\Programmi\VIDEO\uTorrent.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: MemInfo.lnk = C:\Programmi\MemInfo\meminfo.exe
O4 - Global Startup: MemInfo.lnk = C:\Programmi\MemInfo\meminfo.exe
O4 - Global Startup: Alice ti aiuta.lnk = C:\Programmi\Alice ti aiuta\bin\matcli.exe
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Programmi\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_E11712C84EA7E12B.dll/cmsidewiki.html
O9 - Extra button: Ricerche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: MUSICMATCH MX Web Player - {d81ca86b-ef63-42af-bee3-4502d9a03c2d} - http://wwws.musicmatch.com/mmz/openWebRadio.html (file missing)
O10 - Unknown file in Winsock LSP: c:\programmi\bonjour\mdnsnsp.dll
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O23 - Service: Avira AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Bonjour Service - Apple Inc. - C:\Programmi\Bonjour\mDNSResponder.exe
O23 - Service: Servizio di Google Update (gupdate) (gupdate) - Unknown owner - C:\Programmi\Google\Update\GoogleUpdate.exe" /svc (file missing)
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Network WanMiniport First Position - Unknown owner - C:\Programmi\Telecom Italia\WanMiniport1st\srvany.exe
O23 - Service: NMSAccess - Unknown owner - C:\Programmi\CDBurnerXP\NMSAccessU.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programmi\File comuni\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

Malwarebytes' Anti-Malware 1.50.1.1100
http://www.malwarebytes.org

Versione database: 5688

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

06/02/2011 9.32.25
mbam-log-2011-02-06 (09-32-19).txt

Tipo di scansione: Scansione veloce
Elementi esaminati: 141306
Tempo trascorso: 2 minuti, 51 secondi

Processi infetti in memoria: 2
Moduli di memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 3
Voci infette nei dati di registro: 4
Cartelle infette: 0
File infetti: 3

Processi infetti in memoria:
c:\documents and settings\mortillaro\dati applicazioni\dwm.exe (Trojan.Downloader) -> 1384 -> No action taken.
c:\documents and settings\mortillaro\dati applicazioni\microsoft\conhost.exe (Trojan.Downloader) -> 1468 -> No action taken.

Moduli di memoria infetti:
(Non sono stati rilevati elementi nocivi)

Chiavi di registro infette:
(Non sono stati rilevati elementi nocivi)

Valori di registro infetti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\conhost (Trojan.Downloader) -> Value: conhost -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\load (Trojan.Agent) -> Value: load -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Value: Shell -> No action taken.

Voci infette nei dati di registro:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Trojan.Downloader) -> Bad: (C:\DOCUME~1\MORTIL~1\IMPOST~1\Temp\csrss.exe) Good: () -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Cartelle infette:
(Non sono stati rilevati elementi nocivi)

File infetti:
c:\documents and settings\mortillaro\dati applicazioni\dwm.exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\mortillaro\dati applicazioni\microsoft\conhost.exe (Trojan.Downloader) -> No action taken.
c:\Documents and Settings\Mortillaro\Impostazioni locali\Temp\csrss.exe (Trojan.Downloader) -> No action taken.

1) Il fatto che sia presente il file exe in quella cartella è già un brutto sintomo di probabile infezione.
Comincia a fare una scansione con hijackthis e malwarebytes e posta i loro log.
2) http://www.MegaLab.it/5372/che-cos-e-e- ... onhost-exe
3) dvm.exe o dwm.exe ?

[crazy.cat]

Posto i log (copio-incollo sotto. Spero che sia questa la procedura esatta...).

No.
topic45943.html
Aggiorna anche hijackthis siamo arrivati alla versione 2.04.

Rifai la scansione, meglio quello completa che quella veloce, con malwarebytes e al termine digli di rimuovere tutto quello che trova con il pulsante in basso a sinistra.

Dopo malwarebytes controlla se nel log di hijackthis sono ancora presenti queste voci e nel caso selezioni le loro caselle e premi fix checked per eliminarle.
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:64848
F3 - REG:win.ini: load=C:\DOCUME~1\MORTIL~1\IMPOST~1\Temp\csrss.exe
O2 - BHO: PowerOffer - {3543619C-D563-43f7-95EA-4DA7E1CC396A} - C:\Documents and Settings\All Users\Documenti\PowerOffer\PowerOfferBHO.dll
O2 - BHO: OfferBox - {FC0D62C2-9640-4AEB-A5D5-CF25DF11FA8C} - C:\Programmi\OfferBox\OfferBoxBHO.dll
O4 - HKLM\..\Run: [conhost] C:\Documents and Settings\Mortillaro\Dati applicazioni\Microsoft\conhost.exe

O4 - HKCU\..\Run: [uTorrent] "C:\Documents and Settings\All Users\Menu Avvio\Programmi\VIDEO\uTorrent.exe" (HAI MESSO TU IN ESECUZIONE QUESTA VOCE?)

[bis_2]

Grazie, crazy.cat. Provvederò a fare quello che mi hai consigliato.
Prima ho dimenticato di dirti, con riguardo a csrss.exe, che un primo messaggio, dopo il boot, mi avverte che il file è in uso da altro programma. Ma, probabilmente, te ne sarai accorta dai log vhe ti ho spedito (scusa per la modalità sbagliata...).
Torrent in esecuzione non l'ho messo io. Anzi, avevo disattivato l'avvio automatico, ma si è riattivato da solo (almeno credo...).
Ciao.

[crazy.cat]

accorta

Accorto...sarebbe più adatto...

Torrent in esecuzione non l'ho messo io. Anzi, avevo disattivato l'avvio automatico, ma si è riattivato da solo (almeno credo...).

E' anche in una cartella strana, io lo farei analizzare sul sito www.virustotal.com per vedere se si tratta di un virus pure quello.

[bis_2]

Scusa.....

[bis_2]

Tutto OK! Operazione andata a buon fine. Grazie MILLE!!!

[Andrea12]

Sono curioso di provare PCtools 7 ma ma mi dice, prima di installarlo, che è presente ZA, e dire che ho dsinstallato tutto quello che c'era di Zonealarm....
Tra l'altro anche disattivando Windows firewall nella finestra giallina che appare in basso mi dice "Zone Alarm è disattivato" quando invece dovrebbe dire "nessun firewall attivato", come che ZA si fosse integrato a quello di Windows.
Ora provo ad ignorare la cosa e ad installare lo stesso PC tools: non scoppierà mica il computer!

[bis_2]

prova a disinstallare ZA con RevoUninstaller, che spazza via proprio tutto...

[Andrea12]

prova a disinstallare ZA con RevoUninstaller, che spazza via proprio tutto...

Non l'ho detto prima, ma l'avevo già fatto....